इंटरनेट पर HTTPS और ताले को भरोसे का प्रतीक माना जाता है, लेकिन eMudhra की एक तकनीकी चूक इस भरोसे को चुनौती देती है।

eMudhra एक भारतीय कंपनी है जो डिजिटल सिग्नेचर (DSC) और eSign जैसी सेवाएँ देती है, साथ ही अंतरराष्ट्रीय स्तर पर वेबसाइट‑सुरक्षा सर्टिफिकेट जारी करती है।

हाल ही में CERT‑In ने बताया कि कंपनी के आठ इंटरमीडिएट CA में इस्तेमाल हुई प्राइवेट‑की बहुत छोटी थी; कुछ की की वैल्यू 4, 56, 66, 115, 155, 156, 230 और 237 तक गिर गई थी, जबकि P‑384 एलिप्टिक कर्व के लिए सामान्यतः 2^384‑के करीब संख्या चाहिए होती है।

ऐसी छोटी वैल्यू के कारण संभावित हमलावर सार्वजनिक जानकारी से प्राइवेट‑की निकाल कर फर्जी सर्टिफिकेट बना सकता था, जिससे ब्राउज़र द्वारा भरोसा बनाए रखा जाता तो उपयोगकर्ता का ट्रैफ़िक मैन‑इन‑द‑मिडल के जोखिम में पड़ जाता।

Google, Mozilla, Apple और Microsoft ने तुरंत प्रभावित सर्टिफिकेट को ब्लॉक कर दिया और Chrome, Firefox, Edge में सुरक्षा अपडेट जारी किया। Cloudflare ने भी अपने सिस्टम में समान उपाय लागू किए, लेकिन उसने कोई दुरुपयोग का प्रमाण नहीं पाया।

eMudhra ने कहा कि इन सर्टिफिकेटों में से केवल एक ही प्रोडक्शन में इस्तेमाल हुआ था और कंपनी के इन्फ्रास्ट्रक्चर में कोई समझौता नहीं हुआ। अब तक यह साबित नहीं हुआ कि कोई यूज़र का डेटा चोरी हुआ हो।

भारत सरकार ने MeitY के तहत एक विशेष टीम गठित की है, जिससे यह जांच होगी कि घरेलू DSC और eSign सेवाओं पर कोई असर पड़ा या नहीं। मंत्रालय ने स्पष्ट किया कि भारतीय डिजिटल सिग्नेचर सेवाएँ इस घटना से अप्रभावित हैं।

विशेषज्ञों का मानना है कि ऐसी चूक केवल की‑जनरेशन प्रक्रिया में त्रुटि के कारण हुई, न कि P‑384 एल्गोरिदम की कमजोरी के कारण। ऑडिट और निगरानी में लापरवाही के सवाल उठ रहे हैं।

आम उपयोगकर्ता क्या कर सकते हैं? ब्राउज़र और ऑपरेटिंग सिस्टम को नियमित रूप से अपडेट रखें, सर्टिफिकेट चेतावनी को नजरअंदाज न करें, और यदि आप वेबसाइट ऑपरेटर हैं तो अपने सर्टिफिकेट चेन की जाँच करें।

आगे की स्थिति जांच पर निर्भर है; सरकार को पूरी घटना रिपोर्ट सार्वजनिक करनी चाहिए और भविष्य में ऐसी कमजोरी दोबारा न हो, इसके लिए नियामक उपाय तेज करने चाहिए।