eMudhra ਦੀਆਂ ਕਮਜ਼ੋਰ ਸੁਰੱਖਿਆ ਕੁੰਜੀਆਂ ਦੀ ਜਾਂਚ ਲਈ ਵਿਸ਼ੇਸ਼ ਟੀਮ, ਭਾਰਤੀ DSC ਤੇ eSign ਸੇਵਾਵਾਂ ਸੁਰੱਖਿਅਤ

ਨਵੀਂ ਦਿੱਲੀ: ਇਲੈਕਟ੍ਰਾਨਿਕਸ ਅਤੇ ਸੂਚਨਾ ਤਕਨਾਲੋਜੀ ਮੰਤਰਾਲੇ (MeitY) ਨੇ eMudhra ਦੇ ਅੱਠ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ (CA) ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ ਜੁੜੀਆਂ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਦੀ ਸੁਰੱਖਿਆ ਖ਼ਾਮੀ ਦੀ ਜਾਂਚ ਲਈ ਵਿਸ਼ੇਸ਼ ਟੀਮ ਬਣਾਈ ਹੈ। ਮੰਤਰਾਲੇ ਅਨੁਸਾਰ ਭਾਰਤੀ ਵੈੱਬਸਾਈਟਾਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਉੱਤੇ ਇਸ ਦਾ ਅਸਰ ਬਹੁਤ ਸੀਮਤ ਅਤੇ ਬਹੁਤ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਰਿਹਾ ਹੈ।

ਸਰਕਾਰ ਨੇ ਸਪੱਸ਼ਟ ਕੀਤਾ ਹੈ ਕਿ ਭਾਰਤ ਵਿੱਚ ਕੰਟਰੋਲਰ ਆਫ਼ ਸਰਟੀਫਾਇੰਗ ਅਥਾਰਟੀਜ਼ (CCA) ਅਧੀਨ ਆਉਂਦੀਆਂ ਡਿਜੀਟਲ ਸਿਗਨੇਚਰ ਸਰਟੀਫਿਕੇਟ (DSC) ਅਤੇ eSign ਸੇਵਾਵਾਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੋਈਆਂ। ਮਾਮਲਾ ਕੰਪਨੀ ਦੇ ਅੰਤਰਰਾਸ਼ਟਰੀ ਸਰਟੀਫਿਕੇਟ ਕਾਰੋਬਾਰ ਨਾਲ ਸਬੰਧਤ ਹੈ, ਜਿਸ ਦੇ ਸਰਟੀਫਿਕੇਟ ਵੈੱਬਸਾਈਟਾਂ, ਸਾਫਟਵੇਅਰ ਅਤੇ ਆਨਲਾਈਨ ਸੰਚਾਰ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ।

ਕੀ ਸੀ ਸੁਰੱਖਿਆ ਖ਼ਾਮੀ?

ਦਿੱਤੀ ਜਾਣਕਾਰੀ ਅਨੁਸਾਰ 17 ਅਕਤੂਬਰ 2026 ਨੂੰ ‘Wayne’ ਨਾਂ ਨਾਲ ਜਾਣੇ ਜਾਂਦੇ ਖੋਜਕਰਤਾ ਨੇ Mozilla, Google, Apple, Microsoft ਅਤੇ eMudhra ਨੂੰ ਇਸ ਖ਼ਾਮੀ ਬਾਰੇ ਸੂਚਿਤ ਕੀਤਾ ਸੀ। ਕੰਪਨੀ ਦੇ emSign ਬ੍ਰਾਂਡ ਅਧੀਨ ਜਾਰੀ ਅੱਠ ਇੰਟਰਮੀਡੀਏਟ CA ਸਰਟੀਫਿਕੇਟਾਂ ਦੀਆਂ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਉਨ੍ਹਾਂ ਦੀ ਜਨਤਕ ਜਾਣਕਾਰੀ ਤੋਂ ਹੀ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਸਨ।

ਇਹ ਕੁੰਜੀਆਂ 30 ਅਪ੍ਰੈਲ 2025 ਦੀ ਕੁੰਜੀ-ਨਿਰਮਾਣ ਪ੍ਰਕਿਰਿਆ ਦੌਰਾਨ ਬਣਾਈਆਂ ਗਈਆਂ ਸਨ। P-384 elliptic-curve ਤਕਨੀਕ ਵਰਤਣ ਦੇ ਬਾਵਜੂਦ ਇਨ੍ਹਾਂ ਦੀਆਂ ਗੁਪਤ ਸੰਖਿਆਵਾਂ 256 ਤੋਂ ਘੱਟ ਸਨ। ਰਿਪੋਰਟ ਕੀਤੀਆਂ ਸੰਖਿਆਵਾਂ 4, 56, 66, 115, 155, 156, 230 ਅਤੇ 237 ਸਨ। ਇਸ ਕਾਰਨ ਸੰਭਾਵਿਤ ਮੁੱਲਾਂ ਦੀ ਬਹੁਤ ਛੋਟੀ ਗਿਣਤੀ ਦੀ ਜਾਂਚ ਕਰਕੇ ਕੁੰਜੀਆਂ ਲੱਭਣੀਆਂ ਆਸਾਨ ਹੋ ਗਈਆਂ।

ਅੱਠ ਵਿੱਚੋਂ ਛੇ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਵੈੱਬਸਾਈਟਾਂ ਲਈ TLS ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨ ਅਤੇ ਦੋ ਕੋਡ ਸਾਈਨਿੰਗ ਨਾਲ ਸਬੰਧਤ ਸਨ। ਇਨ੍ਹਾਂ ਦੇ Sectigo ਵੱਲੋਂ ਕਰਾਸ-ਸਾਈਨ ਕੀਤੇ ਰੂਪ ਵੀ ਮੌਜੂਦ ਸਨ, ਜਿਸ ਨਾਲ ਸਬੰਧਤ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਕੁੱਲ ਗਿਣਤੀ 16 ਬਣਦੀ ਸੀ।

ਕੰਪਨੀ ਨੇ ਪ੍ਰਕਿਰਿਆ ਦੀ ਗ਼ਲਤੀ ਦੱਸੀ

eMudhra ਦੀ ਮੁੱਢਲੀ ਵਿਆਖਿਆ ਅਨੁਸਾਰ ਕੁੰਜੀਆਂ ਬਣਾਉਣ ਵਾਲੀ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਖ਼ਾਮੀ ਕਾਰਨ wrap/unwrap ਪੜਾਅ ਦੌਰਾਨ ਮਜ਼ਬੂਤ ਕੁੰਜੀਆਂ ਦੇ ਨਾਲ ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਦਾ ਦੂਜਾ ਸੈੱਟ ਵੀ ਬਣ ਗਿਆ ਸੀ। ਮਿਲਦੇ-ਜੁਲਦੇ ਲੇਬਲਾਂ ਅਤੇ ਮਨੁੱਖੀ ਗ਼ਲਤੀ ਕਾਰਨ ਸਰਟੀਫਿਕੇਟ ਸਾਈਨਿੰਗ ਬੇਨਤੀਆਂ ਵਿੱਚ ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਵਰਤੀਆਂ ਗਈਆਂ।

ਕੰਪਨੀ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਉਸ ਦੀਆਂ ਰੂਟ ਕੁੰਜੀਆਂ ਅਤੇ ਹੋਰ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੋਏ। ਉਸ ਨੇ ਆਪਣੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਘੁਸਪੈਠ ਜਾਂ ਡਾਟਾ ਚੋਰੀ ਹੋਣ ਤੋਂ ਵੀ ਇਨਕਾਰ ਕੀਤਾ ਹੈ। ਕੰਪਨੀ ਅਨੁਸਾਰ ਪ੍ਰਭਾਵਿਤ ਅੱਠ ਇੰਟਰਮੀਡੀਏਟ ਅਥਾਰਟੀਆਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੇ ਅੰਤਿਮ ਵਰਤੋਂਕਾਰਾਂ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਨਹੀਂ ਕੀਤੇ ਸਨ, ਹਾਲਾਂਕਿ ਇੱਕ ਨੂੰ ਉਤਪਾਦਨ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਤਾਇਨਾਤ ਕੀਤਾ ਗਿਆ ਸੀ।

eMudhra ਨੇ ਪ੍ਰਭਾਵਿਤ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰ ਦਿੱਤੇ ਹਨ ਅਤੇ ਸਬੰਧਤ ਹਾਇਰਾਰਕੀ ਅਧੀਨ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨੇ ਰੋਕ ਦਿੱਤੇ ਹਨ। ਕੰਪਨੀ ਕੁੰਜੀਆਂ ਬਣਾਉਣ ਦੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਸਮੀਖਿਆ ਅਤੇ ਸਬੰਧਤ ਸੰਸਥਾਵਾਂ ਨਾਲ ਸਹਿਯੋਗ ਕਰ ਰਹੀ ਹੈ।

ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਬਣਨ ਦਾ ਖ਼ਤਰਾ

ਪ੍ਰਾਈਵੇਟ CA ਕੁੰਜੀ ਮਿਲਣ ਨਾਲ ਕੋਈ ਹਮਲਾਵਰ ਜਾਅਲੀ ਵੈੱਬਸਾਈਟ ਸਰਟੀਫਿਕੇਟ ਤਿਆਰ ਕਰ ਸਕਦਾ ਹੈ। ਜੇ ਕਿਸੇ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਪ੍ਰਭਾਵਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਉੱਤੇ ਭਰੋਸਾ ਬਰਕਰਾਰ ਹੋਵੇ ਅਤੇ ਹਮਲਾਵਰ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਦੇ ਵਿਚਕਾਰ ਦਖ਼ਲ ਦੇ ਸਕੇ, ਤਾਂ ਵੈੱਬਸਾਈਟ ਦੀ ਨਕਲ ਕਰਨ ਜਾਂ ਸੰਚਾਰ ਵਿੱਚ ਦਖ਼ਲ ਦਾ ਖ਼ਤਰਾ ਬਣ ਸਕਦਾ ਹੈ। ਕੋਡ ਸਾਈਨਿੰਗ ਨਾਲ ਜੁੜੀਆਂ ਕੁੰਜੀਆਂ ਦੀ ਦੁਰਵਰਤੋਂ ਖ਼ਤਰਨਾਕ ਸਾਫਟਵੇਅਰ ਨੂੰ ਭਰੋਸੇਯੋਗ ਦਿਖਾਉਣ ਲਈ ਵੀ ਹੋ ਸਕਦੀ ਹੈ।

21 ਅਕਤੂਬਰ ਤੱਕ ਸਾਹਮਣੇ ਆਏ ਜਨਤਕ ਖੁਲਾਸਿਆਂ ਵਿੱਚ ਇਨ੍ਹਾਂ ਕੁੰਜੀਆਂ ਦੀ ਪੁਸ਼ਟੀਸ਼ੁਦਾ ਦੁਰਵਰਤੋਂ ਸਥਾਪਤ ਨਹੀਂ ਹੋਈ ਸੀ। Google ਮੁਤਾਬਕ ਉਸ ਦੀ ਰੋਕ ਲਾਗੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਛੇ ਪ੍ਰਭਾਵਿਤ TLS ਇੰਟਰਮੀਡੀਏਟ ਅਥਾਰਟੀਆਂ ਨਾਲ ਜੁੜੇ ਸਰਟੀਫਿਕੇਟ Certificate Transparency ਲਾਗਾਂ ਵਿੱਚ ਦਰਜ ਨਹੀਂ ਸਨ। ਹਾਲਾਂਕਿ ਇਸ ਨਾਲ ਹਰ ਕਿਸਮ ਦੇ ਸਾਫਟਵੇਅਰ ਵਿੱਚ ਖ਼ਤਰਾ ਖ਼ਤਮ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੁੰਦੀ।

ਬ੍ਰਾਊਜ਼ਰ ਕੰਪਨੀਆਂ ਨੇ ਲਗਾਈ ਰੋਕ

Google ਨੇ 17 ਅਕਤੂਬਰ ਨੂੰ Chrome ਵਿੱਚ ਪ੍ਰਭਾਵਿਤ TLS ਕੁੰਜੀਆਂ ਨੂੰ CRLSet ਰਾਹੀਂ ਬਲਾਕ ਕੀਤਾ। Mozilla ਨੇ ਵੀ ਉਸੇ ਦਿਨ OneCRL ਰਾਹੀਂ ਰੋਕ ਲਗਾਈ ਅਤੇ Firefox ਤੇ ESR ਲਈ ਸੁਰੱਖਿਆ ਅਪਡੇਟ ਜਾਰੀ ਕੀਤੇ। Mozilla ਨੇ ਆਪਣੇ NSS ਟਰੱਸਟ ਸਟੋਰ ਵਿੱਚੋਂ emSign ECC Root CA - G3 ਨੂੰ ਵੀ ਹਟਾਇਆ ਹੈ।

Apple ਅਤੇ Microsoft ਨੇ ਵੀ ਪ੍ਰਭਾਵਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਖ਼ਿਲਾਫ਼ ਕਦਮ ਚੁੱਕੇ ਹਨ, ਜਦਕਿ Sectigo ਨੇ ਕਰਾਸ-ਸਾਈਨ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕੀਤੇ ਹਨ। Chrome Root Store ਵਿੱਚੋਂ emSign ECC Root CA - G3 ਨੂੰ ਹਟਾਉਣ ਵਾਲਾ ਬਦਲਾਅ ਲਗਭਗ 27 ਅਕਤੂਬਰ ਤੋਂ ਸਬੰਧਤ ਡਿਵਾਈਸਾਂ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਉਮੀਦ ਹੈ।

ਸਰਵਰਾਂ ਅਤੇ ਹੋਰ ਸਾਫਟਵੇਅਰ ਲਈ ਵੀ ਚੇਤਾਵਨੀ

Red Hat ਨੇ 21 ਅਕਤੂਬਰ ਨੂੰ RHSB-2026-012 ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ ਜਾਰੀ ਕੀਤਾ। ਇਸ ਅਨੁਸਾਰ RHEL 6 ਤੋਂ 10 ਤੱਕ ਦੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ca-certificates ਪੈਕੇਜ ਰਾਹੀਂ ਮਿਲਦੇ ਟਰੱਸਟ ਸਟੋਰ ਪ੍ਰਭਾਵਿਤ ਸਰਟੀਫਿਕੇਟ ਚੇਨਾਂ ਉੱਤੇ ਭਰੋਸਾ ਕਰ ਸਕਦੇ ਹਨ। ਕੰਪਨੀ ਨੇ ਸਪੱਸ਼ਟ ਕੀਤਾ ਕਿ ਇਹ Red Hat ਦੇ ਸਾਫਟਵੇਅਰ ਦੀ ਖ਼ਾਮੀ ਨਹੀਂ, ਸਗੋਂ ਤੀਜੀ ਧਿਰ ਦੀ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਨਾਲ ਜੁੜਿਆ ਮਾਮਲਾ ਹੈ।

ਖ਼ਤਰਾ ਉਨ੍ਹਾਂ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਬਣ ਸਕਦਾ ਹੈ ਜੋ ਹਾਲੇ ਵੀ ਪ੍ਰਭਾਵਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਉੱਤੇ ਭਰੋਸਾ ਕਰਦੀਆਂ ਹਨ ਅਤੇ ਜਿੱਥੇ ਹਮਲਾਵਰ ਕੋਲ ਸਬੰਧਤ ਕੁੰਜੀ ਦੇ ਨਾਲ ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਵਿੱਚ ਦਖ਼ਲ ਦੇਣ ਦੀ ਸਮਰੱਥਾ ਹੋਵੇ। RHEL ਜਾਂ UBI ਆਧਾਰਿਤ ਕੰਟੇਨਰਾਂ ਅਤੇ ਉਨ੍ਹਾਂ ਉੱਤੇ ਨਿਰਭਰ ਸੇਵਾਵਾਂ ਦੀ ਵੀ ਸਮੀਖਿਆ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ ਹੈ।

ਇਸ ਮਾਮਲੇ ਦਾ ਅਸਰ ਬ੍ਰਾਊਜ਼ਰਾਂ ਤੱਕ ਸੀਮਤ ਨਹੀਂ ਹੈ। ਆਪਣੇ ਵੱਖਰੇ CA ਬੰਡਲ ਵਰਤਣ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਪ੍ਰੋਗਰਾਮਿੰਗ ਰਨਟਾਈਮ, ਕੰਟੇਨਰਾਂ, ਨੈੱਟਵਰਕ ਉਪਕਰਣਾਂ ਅਤੇ ਐਂਬੈਡਡ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਵੀ ਸਬੰਧਤ ਅਪਡੇਟ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ।

ਵਰਤੋਂਕਾਰ ਅਤੇ ਪ੍ਰਬੰਧਕ ਕੀ ਕਰਨ?

ਆਮ ਵਰਤੋਂਕਾਰ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਅਤੇ ਐਪਸ ਅਪਡੇਟ ਰੱਖਣ। ਵੈੱਬਸਾਈਟ ਪ੍ਰਬੰਧਕ ਅਤੇ ਡਿਵੈਲਪਰ ਆਪਣੇ ਸਰਵਰਾਂ ਦੇ ਟਰੱਸਟ ਸਟੋਰ ਅਤੇ ca-certificates ਪੈਕੇਜ ਲਈ ਉਪਲਬਧ ਸੁਰੱਖਿਆ ਅਪਡੇਟ ਲਾਗੂ ਕਰਨ।

ਪ੍ਰਭਾਵਿਤ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟਾਂ ਜਾਂ emSign ECC Root CA - G3 ਨਾਲ ਜੁੜੀਆਂ ਸਰਟੀਫਿਕੇਟ ਚੇਨਾਂ ਦੀ ਪਛਾਣ ਕਰਕੇ ਲੋੜ ਅਨੁਸਾਰ ਬਦਲਵੇਂ ਸਰਟੀਫਿਕੇਟ ਲਗਾਏ ਜਾਣ। ਕੰਟੇਨਰਾਂ ਨੂੰ ਅਪਡੇਟ ਕੀਤੀਆਂ ਬੇਸ ਇਮੇਜਾਂ ਨਾਲ ਮੁੜ ਬਣਾਉਣ ਅਤੇ ਵੱਖਰੇ CA ਬੰਡਲ ਵਰਤਣ ਵਾਲੇ ਸਾਫਟਵੇਅਰ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਵੀ ਸਲਾਹ ਦਿੱਤੀ ਗਈ ਹੈ।

MeitY ਨੇ ਕਿਹਾ ਹੈ ਕਿ ਜਾਂਚ ਪੂਰੀ ਹੋਣ ਮਗਰੋਂ ਹੋਰ ਜਾਣਕਾਰੀ ਸਾਂਝੀ ਕੀਤੀ ਜਾਵੇਗੀ।