ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന ഇന്ത്യയിലെ പ്രമുഖ സൈബർ സുരക്ഷാ കമ്പനിയായ 'ഇമുദ്ര'യുടെ (eMudhra) ഡിജിറ്റൽ സെക്യൂരിറ്റി കീകളിൽ ഗുരുതര സുരക്ഷാവീഴ്ച കണ്ടെത്തി. ബാങ്കിങ് വെബ്‌സൈറ്റുകൾ ഉൾപ്പെടെയുള്ളവയുടെ സുരക്ഷയ്ക്കും ഉപയോക്താക്കളുടെ ഡിജിറ്റൽ സിഗ്നേച്ചറിനും വേണ്ടി ഉപയോഗിക്കുന്നത് ഇത്തരം സുരക്ഷാ കീകളാണ്. ഇന്റർനെറ്റിന്റെ സുരക്ഷാ അടിത്തറയെത്തന്നെ ചോദ്യംചെയ്യുന്നതാണ് ഈ സംഭവം. ഇതിനെത്തുടർന്ന് ഗൂഗിൾ ക്രോം, മോസില്ല ഫയർഫോക്സ്, ആപ്പിൾ, മൈക്രോസോഫ്റ്റ് എന്നീ പ്രമുഖ ബ്രൗസറുകളും ഓപ്പറേറ്റിങ് സിസ്റ്റങ്ങളും കമ്പനിയുടെ ഈ സർട്ടിഫിക്കറ്റുകൾ അടിയന്തരമായി ബ്ലോക്ക് ചെയ്തു.

To advertise here,

സുരക്ഷാ വീഴ്ചയുടെ കാരണം

2025 ഏപ്രിൽ 30-ന് ഇമുദ്രയുടെ ഹാർഡ്‌വെയർ സെക്യൂരിറ്റി മോഡ്യൂളിൽ സൃഷ്ടിച്ച എട്ട് കീകളാണ് ഇപ്പോൾ പ്രശ്നമായിരിക്കുന്നത്. വെബ്‌സൈറ്റ് സുരക്ഷയ്ക്കായും സോഫ്റ്റ്‌വെയറുകൾ ഡിജിറ്റലായി ഒപ്പിടുന്നതിനുമായിട്ടായിരുന്നു ഇവ രൂപകൽപ്പന ചെയ്തത്. എന്നാൽ, ഈ കീകൾ നിർമിക്കുമ്പോൾ നടത്തേണ്ട പരിശോധനയിലെ പിഴവ് കാരണം ശക്തമായ കീകൾക്കൊപ്പം ദുർബലമായ കീകളും സൃഷ്ടിക്കപ്പെടുകയും അവ ഉപയോഗിക്കപ്പെടുകയും ചെയ്തു.

സാധാരണയായി 384-ബിറ്റ് (P-384) എൻക്രിപ്ഷൻ മാനദണ്ഡമനുസരിച്ച് 116 അക്കങ്ങളുള്ള വലിയ സംഖ്യകളാണ് പ്രൈവറ്റ് കീകളായി ഉപയോഗിക്കുന്നത്. എന്നാൽ, ഇമുദ്രയുടെ പ്രക്രിയയിൽ സൃഷ്ടിക്കപ്പെട്ട കീകൾ 4, 56, 66, 115, 155, 156, 230, 237 എന്നിങ്ങനെ വെറും ഒന്നുമുതൽ മൂന്നുവരെ അക്കങ്ങൾ മാത്രമുള്ള സംഖ്യകളായിരുന്നു. ഒരു സാങ്കേതികവിദഗ്ധന് ഒരു സാധാരണ കമ്പ്യൂട്ടർ ഉപയോഗിച്ച് വളരെ എളുപ്പം ഈ കീകൾ കണ്ടുപിടിക്കാൻ സാധിക്കുമായിരുന്നു.

ഉടൻ നടപടിയെടുത്ത് വൻകിട കമ്പനികൾ

ഒക്ടോബർ 17-ന് വെയ്ൻ (Wayne) എന്ന സുരക്ഷാ ഗവേഷകനാണ് ഈ ദുർബലമായ പ്രൈവറ്റ് കീകൾ കണ്ടെത്തി ആപ്പിൾ, ഗൂഗിൾ, മൈക്രോസോഫ്റ്റ്, മോസില്ല, ഇമുദ്ര എന്നീ സ്ഥാപനങ്ങളെ വിവരം അറിയിച്ചത്. ഈ കീകൾ ചോർന്നെന്ന് തെളിയിക്കാനായി 'emudhra.we-have-a-problem.com' എന്ന ലൈവ് ടെസ്റ്റ് സൈറ്റ് ഉണ്ടാക്കുകയും, ദുർബലമായ പ്രൈവറ്റ് കീകളിൽ ഒന്ന് ഉപയോഗിച്ച് അവിടെ ഡിജിറ്റൽ സൈൻ ചെയ്യുകയും ചെയ്തു. തുടർന്നാണ് കമ്പനികൾ അടിയന്തര നടപടികൾ സ്വീകരിച്ചത്.

ഈ വീഴ്ചയുടെ അപകട സാധ്യതയെന്ത്?

വെബ്‌സൈറ്റുകളുടെ ഡൊമെയ്ൻ, ഓർഗനൈസേഷൻ, എക്സ്റ്റെൻഡഡ് വാലിഡേഷനുകൾക്കായി ഉപയോഗിക്കുന്ന 6 ടിഎൽഎസ് (TLS/SSL) സർട്ടിഫിക്കറ്റുകളേയും സോഫ്റ്റ്‌വെയറുകൾ ഔദ്യോഗികമായി ഡിജിറ്റൽ സൈൻ ചെയ്യുന്നതിനുള്ള രണ്ട് കോഡ് സൈനിങ് (Code Signing) സർട്ടിഫിക്കറ്റുകളെയുമാണ് ഈ വീഴ്ച ബാധിച്ചത്.

അതായത്, ഒരു വെബ്സൈറ്റ് യഥാർഥമാണെന്ന് ഉപയോക്താക്കൾ സ്ഥിരീകരിക്കുന്നത് യുആർഎലിനൊപ്പമുള്ള പാഡ്‌ലോക്ക് കണ്ടിട്ടാണ്. എസ്എസ്എൽ സർട്ടിഫിക്കറ്റുള്ള വെബ്‌സൈറ്റുകളിലാണ് ഇതുണ്ടാവുക. ചോർന്ന പ്രൈവറ്റ് കീകൾ ഉപയോഗിച്ച് ആക്രമണകാരികൾക്ക് ലോകത്തിലെ ഏത് വെബ്‌സൈറ്റിന്റെയും വ്യാജ സർട്ടിഫിക്കറ്റുകൾ നിർമിച്ച് യഥാർത്ഥ വെബ്‌സൈറ്റാണെന്ന് ഉപയോക്താക്കളെ വിശ്വസിപ്പിക്കാൻ കഴിയുമായിരുന്നു.

ഉപയോക്താക്കളുടെ എൻക്രിപ്റ്റ് ചെയ്ത വെബ് ട്രാഫിക് ചോർത്തുന്ന 'മാൻ-ഇൻ-ദി-മിഡിൽ' (MitM) ആക്രമണങ്ങൾ നടത്താനും ഇതുവഴി സാധിക്കുമായിരുന്നു. കൂടാതെ വ്യാജ സോഫ്റ്റ്‌വെയറുകൾ വിശ്വസനീയമാണെന്ന് വരുത്തിത്തീർക്കാൻ ഈ കോഡ് സൈനിങ് കീകൾ ദുരുപയോഗം ചെയ്യാമായിരുന്നു.

എന്നാൽ, നിലവിൽ ഈ സുരക്ഷാപഴുത് ദുരുപയോഗം ചെയ്യപ്പെട്ടതായി തെളിവുകൾ ലഭിച്ചിട്ടില്ലെന്ന് ഗൂഗിളും ഇന്ത്യൻ കംപ്യൂട്ടർ എമർജൻസി റെസ്പോൺസ് ടീമും അറിയിച്ചു. സുരക്ഷാ ഗവേഷകൻ റിപ്പോർട്ട് ചെയ്ത ഉടൻതന്നെ ഗൂഗിളും മോസില്ലയും ഇടപെട്ട് ബ്രൗസറുകളിൽ ഈ കീകൾ തടഞ്ഞതിനാൽ വലിയൊരു ദുരന്തം ഒഴിവായെന്ന് പറയാം.

ഇമുദ്രയുടെ പ്രതികരണം

ഇമുദ്രയുടെ സ്വന്തം ആഭ്യന്തര സിസ്റ്റങ്ങളിൽ സുരക്ഷാ വീഴ്ചയോ ഡാറ്റ ചോർച്ചയോ ഉണ്ടായിട്ടില്ലെന്ന് കമ്പനി വ്യക്തമാക്കി. കൂടാതെ, ഇന്ത്യയിലെ ഉപയോക്താക്കൾ ഉപയോഗിക്കുന്ന ഡിജിറ്റൽ സിഗ്നേച്ചർ സർട്ടിഫിക്കറ്റ് (DSC), ഇ-സൈൻ (eSign) സേവനങ്ങളെ ഈ സുരക്ഷാവീഴ്ച ബാധിച്ചിട്ടില്ല. ആഗോള ടിഎൽഎസ് (TLS) വെബ്‌സൈറ്റ് സർട്ടിഫിക്കറ്റ് ബിസിനസിൽനിന്ന് തികച്ചും വ്യത്യസ്തമായ ഇൻഫ്രാസ്ട്രക്ചറിലാണ് ഇമുദ്രയുടെ ഇന്ത്യയിലെ DSC/eSign സേവനങ്ങൾ പ്രവർത്തിക്കുന്നത്. ഇന്ത്യൻ വെബ്‌സൈറ്റുകളെയും ആപ്പുകളെയും ഇത് ബാധിച്ചത് വളരെ കുറഞ്ഞ സമയത്തേക്ക് മാത്രമാണെന്നും കമ്പനി വ്യക്തമാക്കുന്നു.