ఈముద్రా సెక్యూరిటీ వ్యవహారంలో అసలు తప్పు ఎక్కడ జరిగిందంటే?

భారతీయ సైబర్ సెక్యూరిటీ సంస్థ ఈముద్రా (eMudhra) బలహీనమైన క్రిప్టోగ్రాఫిక్ కీల వ్యవహారంపై పూర్తి వివరాలను వెల్లడించింది. గత నెలలో ఈ అంశం వెలుగులోకి రావడంతో ఇంటర్నెట్ భద్రతపై తీవ్ర ఆందోళనలు వ్యక్తమయ్యాయి. ఓపెన్ సోర్స్ బగ్ ట్రాకింగ్ ప్లాట్‌ఫామ్ బగ్‌జిల్లాలో ప్రచురించిన నివేదికలో, కస్టమ్ పైథాన్ స్క్రిప్ట్‌లో తలెత్తిన లోపమే ఈ సమస్యకు కారణమని సంస్థ పేర్కొంది. వెబ్‌సైట్లకు డిజిటల్ సర్టిఫికెట్లు జారీ చేయడానికి ఉపయోగించిన ఎనిమిది క్రిప్టోగ్రాఫిక్ కీలు బలహీనంగా మారినట్లు వెల్లడించింది. వెబ్‌సైట్ల గుర్తింపును ధృవీకరించడంతో పాటు బ్రౌజర్లలో సురక్షిత కనెక్షన్లను ఏర్పాటు చేయడంలో ఈ సర్టిఫికెట్లు కీలక పాత్ర పోషిస్తాయి. అయితే, ప్రభావితమైన కీల విలువలు చాలా చిన్నవిగా ఉండటంతో వాటిని సులభంగా ఊహించి, నకిలీ సర్టిఫికెట్లు పొందడం ద్వారా మోసపూరిత వెబ్‌సైట్లను సృష్టించే ప్రమాదం ఉందని నిపుణులు ఆందోళన వ్యక్తం చేశారు. ఒక సందర్భంలో కీ విలువ కేవలం 4గా ఉండటం ఈ సమస్య తీవ్రతను తెలియజేస్తోంది.

ఈముద్రా నివేదిక ప్రకారం, 2025 ఏప్రిల్ 30న నిర్వహించిన కీ జనరేషన్ ప్రక్రియలో హార్డ్‌వేర్ సెక్యూరిటీ మాడ్యూల్ (HSM) ద్వారా కీలను విజయవంతంగా రూపొందించారు. అయితే, వేరే ప్రాంతంలో ఉన్న మరో హార్డ్‌వేర్ పరికరానికి వాటిని బదిలీ చేయడానికి ముందు కస్టమ్ పైథాన్ స్క్రిప్ట్‌తో ప్రాసెస్ చేశారు. ఈ స్క్రిప్ట్‌లోని లోపం కారణంగా ఎనిమిది కీల విలువలు 4, 56, 66, 115, 155, 156, 230, 237 అనే చిన్న సంఖ్యలుగా మారిపోయాయి. ఈ విలువలను బహిరంగంగా అందుబాటులో ఉన్న సమాచారంతోనే ఎవరైనా సులభంగా గుర్తించగలిగేవారని సంస్థ అంగీకరించింది. ఈ బలహీనమైన కీలు సుమారు 18 నెలల పాటు గుర్తించబడలేదు. ఎందుకంటే అవి యథావిధిగా సర్టిఫికెట్లు జారీ చేస్తూనే ఉండటంతో వాటి భద్రతా సామర్థ్యాన్ని ప్రత్యేకంగా పరీక్షించలేదు. మరో ఎనిమిది కీల అసలు విలువలు మారకపోయినప్పటికీ, అదే స్క్రిప్ట్ వాటి కాపీలను సాధారణ కంప్యూటర్ మెమరీలో సృష్టించింది. ప్రభావితమైన కీలన్నీ తమ భద్రతా ప్రమాణాలకు అనుగుణంగా ఉన్నాయని హామీ ఇవ్వలేని కారణంగా, వాటికి సంబంధించిన మొత్తం 16 సర్టిఫికెట్లను రద్దు చేసినట్లు ఈముద్రా వెల్లడించింది.

వేర్వేరు భౌగోళిక ప్రాంతాల్లో ఉన్న హార్డ్‌వేర్ సెక్యూరిటీ మాడ్యూళ్ల మధ్య కీలను బదిలీ చేసేందుకు ఇలాంటి విధానాన్ని ఉపయోగించడం ఇదే తొలిసారని నివేదిక పేర్కొంది. ఈ ఘటన తర్వాత కీలను ఒక పరికరం నుంచి మరో పరికరానికి బదిలీ చేయాల్సిన అవసరం లేకుండా నేరుగా రూపొందిస్తున్నట్లు సంస్థ తెలిపింది. గత నెలలో వివాదం తీవ్రరూపం దాల్చిన నేపథ్యంలో ఈముద్రా TLS డిజిటల్ సర్టిఫికెట్ వ్యాపారం నుంచి పూర్తిగా వైదొలిగింది. ఈ ఘటనపై బహిరంగంగా క్షమాపణలు కూడా చెప్పింది. ఈ లోపం ఇంటర్నెట్ భద్రతకు తీవ్ర ముప్పుగా మారే అవకాశం ఉందని పలువురు సైబర్ సెక్యూరిటీ నిపుణులు హెచ్చరించారు. ఈ పరిణామాల తర్వాత గూగుల్, మొజిల్లా, యాపిల్, మైక్రోసాఫ్ట్ సంస్థలు కూడా భద్రతా అప్‌డేట్లను విడుదల చేశాయి. డిజిటల్ సర్టిఫికెట్ల వ్యవస్థలో కీల నిర్వహణ, నిరంతర భద్రతా పరీక్షలు, స్వతంత్ర ధృవీకరణ ఎంత ముఖ్యమో ఈ ఘటన మరోసారి స్పష్టం చేసింది.