eMudhra ग्लोबल वेबसाइट सिक्योरिटी बिजनेस से बाहर होगी, डिजिटल कुंजियों में खामी के बाद बड़ा फैसला !

भारत की डिजिटल सिक्योरिटी कंपनी eMudhra ग्लोबल वेबसाइट सिक्योरिटी सर्टिफिकेट बिजनेस से बाहर निकलने जा रही है। कंपनी के बोर्ड ने 22 अक्टूबर 2026 को इस संबंध में फैसला लिया। यह कदम उसके ग्लोबल सर्टिफिकेट कारोबार में सामने आई गंभीर तकनीकी खामी के बाद उठाया गया है।

इस मामले में अप्रैल 2025 में तैयार किए गए आठ Intermediate Certificate Authority (CA) सर्टिफिकेट्स से जुड़ी Private Keys में कमजोरी सामने आई थी। इसके बाद प्रमुख ब्राउजर कंपनियों ने प्रभावित सर्टिफिकेट्स पर भरोसा रोकने के लिए सुरक्षा कदम उठाए।

कंपनी का ग्लोबल SSL/TLS सर्टिफिकेट कारोबार उसके कुल रेवेन्यू में लगभग 1% योगदान देता है। रिपोर्टों के मुताबिक, सुरक्षा घटना के साथ-साथ बढ़ती अनुपालन लागत, ऑपरेशनल जटिलताओं और कारोबार की घटती व्यावसायिक व्यवहार्यता ने भी बाहर निकलने के फैसले में भूमिका निभाई।
यह फैसला eMudhra के पूरे कारोबार को बंद करने से जुड़ा नहीं है। कंपनी भारत में Digital Signature Certificate (DSC) और eSign जैसी सेवाएं जारी रखेगी।

eMudhra Security Certificate Flaw क्या है?

यह मामला डिजिटल सर्टिफिकेट बनाने के दौरान Private Keys तैयार करने की प्रक्रिया में हुई तकनीकी गलती से जुड़ा है। डिजिटल सर्टिफिकेट वेबसाइट या डिजिटल सेवा की पहचान प्रमाणित करने और सुरक्षित कनेक्शन स्थापित करने में मदद करते हैं।

eMudhra के मुताबिक, 30 अप्रैल 2025 को हुई Key Generation Ceremony के दौरान Key Wrap और Unwrap प्रक्रिया में खामी के कारण आठ Intermediate CA सर्टिफिकेट्स से संबंधित कमजोर Keys का एक अतिरिक्त सेट तैयार हो गया। इनमें इस्तेमाल हुई क्रिप्टोग्राफिक प्रक्रिया पर्याप्त सुरक्षित नहीं थी।

CERT-In के अनुसार, प्रभावित P-384 Elliptic Curve Private Keys के संख्यात्मक मान 256 से छोटे थे। इसका मतलब यह नहीं है कि उनकी लंबाई 256 बिट से कम थी। कमजोरी के कारण संबंधित Public Keys से Private Keys को लगभग तुरंत निकाला जा सकता था।

यहां ध्यान देने वाली बात है कि खामी P-384 क्रिप्टोग्राफिक एल्गोरिदम में नहीं, बल्कि Private Keys तैयार करने की प्रक्रिया में थी।

आठ प्रभावित सर्टिफिकेट्स और छह TLS सर्टिफिकेट्स में क्या अंतर है ?

इस मामले में कुल आठ प्रभावित Intermediate CA सर्टिफिकेट्स की पहचान की गई। हालांकि, Google की आधिकारिक जानकारी में छह प्रभावित TLS Intermediate CA सर्टिफिकेट्स का उल्लेख है, जिन्हें Chrome में ब्लॉक किया गया।

इसलिए आठ प्रभावित सर्टिफिकेट्स और छह TLS Intermediate CAs को एक ही संख्या या एक ही श्रेणी के रूप में नहीं समझना चाहिए। आठ सर्टिफिकेट्स इस घटना से प्रभावित Intermediate CAs की कुल संख्या है, जबकि छह का आंकड़ा Google द्वारा बताए गए प्रभावित TLS Intermediate CAs से संबंधित है।

eMudhra के अनुसार, प्रभावित आठ Intermediate CAs में से केवल एक प्रोडक्शन में इस्तेमाल हुआ था। कंपनी ने यह भी कहा कि इनमें से किसी ने भी वेबसाइटों या अंतिम उपयोगकर्ताओं को End-Entity Certificates जारी नहीं किए थे।

Google और Mozilla ने क्या कार्रवाई की ?

कमजोर डिजिटल सर्टिफिकेट्स सामने आने के बाद ब्राउजर कंपनियों ने उन्हें भरोसेमंद मानने से रोकने के लिए कदम उठाए।

• Google: कंपनी ने छह प्रभावित TLS Intermediate CAs की पहचान से जुड़े Public Key Hashes को Chrome में ब्लॉक किया। उसने Android सुरक्षा के लिए भी संबंधित अपडेट की जानकारी दी।

• Mozilla: Mozilla ने छह प्रभावित TLS Intermediate Certificates को OneCRL के जरिए ब्लॉक किया और अपनी ट्रस्ट लिस्ट में बदलाव किया।

• Chrome Root Store: Google ने emSign ECC Root CA - G3 को Chrome Root Store से हटाने की प्रक्रिया की भी घोषणा की। इससे इस Root CA के तहत जारी कुछ वैध सर्टिफिकेट्स पर भरोसा प्रभावित हो सकता है। Google के अनुसार, इस बदलाव का रोलआउट 27 अक्टूबर 2026 से अपेक्षित था।

Google ने यह भी बताया कि ब्लॉक किए जाने से पहले प्रभावित छह TLS Intermediate CAs के तहत जारी TLS सर्टिफिकेट्स Certificate Transparency लॉग में दर्ज नहीं मिले।

कमजोर Private Keys से क्या खतरा हो सकता था ?

Private Key डिजिटल सर्टिफिकेट की सुरक्षा का महत्वपूर्ण हिस्सा होती है। यदि कोई हमलावर इसे हासिल कर ले, तो वह सर्टिफिकेट का दुरुपयोग कर सकता है।

ऐसी स्थिति में संभावित जोखिमों में शामिल हैं:


• फर्जी वेबसाइट सर्टिफिकेट: हमलावर ऐसे डोमेन के लिए धोखाधड़ी वाले सर्टिफिकेट हासिल करने या जारी करने की कोशिश कर सकता है, जिन पर उसका नियंत्रण नहीं है।

• वेबसाइट की नकल: फर्जी सर्टिफिकेट के जरिए किसी वैध वेबसाइट की पहचान की नकल करने का प्रयास किया जा सकता है।

• Man-in-the-Middle Attack: कुछ परिस्थितियों में हमलावर नेटवर्क ट्रैफिक को बीच में रोककर देखने या उसमें हस्तक्षेप करने की कोशिश कर सकता है।

• Code Signing का दुरुपयोग: प्रभावित सर्टिफिकेट के प्रकार के आधार पर डिजिटल रूप से हस्ताक्षरित सॉफ्टवेयर या कोड की विश्वसनीयता को नुकसान पहुंचाने का जोखिम हो सकता है।
ये संभावित सुरक्षा जोखिम हैं। उपलब्ध सार्वजनिक जानकारी के आधार पर 21 अक्टूबर 2026 तक इस खामी के जरिए वास्तविक दुर्भावनापूर्ण हमले की पुष्टि नहीं हुई थी।

क्या eMudhra के भारतीय ग्राहकों पर असर पड़ेगा ?

eMudhra और CERT-In के मुताबिक, यह घटना कंपनी के ग्लोबल ब्राउजर-ट्रस्टेड सर्टिफिकेट कारोबार से संबंधित है। भारत में इस्तेमाल होने वाली Digital Signature Certificate (DSC) और eSign सेवाएं इससे प्रभावित नहीं हुईं।

भारतीय DSC और eSign सेवाओं का नियामकीय ढांचा और संबंधित इंफ्रास्ट्रक्चर ग्लोबल वेबसाइट TLS सर्टिफिकेट कारोबार से अलग है। इसलिए इस घटना को eMudhra की सभी डिजिटल सेवाओं में सुरक्षा खामी के रूप में देखना सही नहीं होगा।

कंपनी ने यह भी कहा कि उसके इंफ्रास्ट्रक्चर में सेंध या डेटा लीक नहीं हुआ। यह कंपनी का बयान है; इसे स्वतंत्र रूप से प्रमाणित निष्कर्ष के रूप में प्रस्तुत नहीं किया जाना चाहिए।

eMudhra के कारोबार पर क्या असर होगा?

ग्लोबल SSL/TLS सर्टिफिकेट बिजनेस से बाहर निकलने का फैसला कंपनी के अंतरराष्ट्रीय वेबसाइट ऑथेंटिकेशन कारोबार को प्रभावित करेगा। हालांकि, इस सेगमेंट का योगदान कंपनी के कुल रेवेन्यू में लगभग 1% बताया गया है।

सुरक्षा घटना के बाद सर्टिफिकेट्स पर भरोसा बहाल करने, अनुपालन संबंधी जरूरतों को पूरा करने और कारोबार चलाने की जटिलताओं ने इस सेगमेंट को जारी रखने की चुनौती बढ़ाई। कंपनी का यह फैसला उसके पूरे डिजिटल सिक्योरिटी कारोबार से बाहर निकलने के बराबर नहीं है।

निष्कर्ष

eMudhra ग्लोबल SSL/TLS सर्टिफिकेट बिजनेस से बाहर हो रही है, लेकिन उसका पूरा कारोबार बंद नहीं हो रहा। कमजोर Private Keys से जुड़ी घटना के बाद प्रभावित सर्टिफिकेट्स पर सुरक्षा कार्रवाई की गई है, जबकि कंपनी के मुताबिक भारत की DSC और eSign सेवाएं अप्रभावित हैं।