2026 ഒക്ടോബർ 21 –
ബെംഗളൂരു ആസ്ഥാനമായ ഇമുദ്ര എന്ന സ്ഥാപനത്തിന്റെ എട്ട് വെബ് സുരക്ഷാ സാക്ഷ്യപത്രങ്ങളുമായി ബന്ധപ്പെട്ട രഹസ്യത്താക്കോലുകൾ ചോർന്നതായി പുറത്തുവന്ന വിവരം ഡിജിറ്റൽ സുരക്ഷയെക്കുറിച്ച് ഗൗരവമായ ആശങ്കകൾ ഉയർത്തുന്നു. സർക്കാർ വകുപ്പുകളും പൊതുമേഖലാ സ്ഥാപനങ്ങളും ഉൾപ്പെടെയുള്ള ഉപഭോക്താക്കൾക്ക് ഡിജിറ്റൽ ഒപ്പും വെബ് സുരക്ഷാ സാക്ഷ്യപത്രങ്ങളും നൽകുന്ന സ്ഥാപനമാണ് ഇമുദ്ര. 2026 ഒക്ടോബറിൽ പുറത്തുവന്ന ഈ സംഭവത്തിൽ, ചില രഹസ്യത്താക്കോലുകൾ വളരെ എളുപ്പത്തിൽ കണ്ടെത്താൻ കഴിയുന്നത്ര ദുർബലമായിരുന്നുവെന്നാണ് സുരക്ഷാ വിദഗ്ധരുടെ കണ്ടെത്തൽ. ഇതിലൂടെ വ്യാജ സുരക്ഷാ സാക്ഷ്യപത്രങ്ങൾ സൃഷ്ടിക്കാനുള്ള സാധ്യതയുണ്ടായെങ്കിലും, എല്ലാ സർക്കാർ വെബ്‌സൈറ്റുകളും ആക്രമിക്കപ്പെട്ടുവെന്നോ ഉപഭോക്താക്കളുടെ വിവരങ്ങൾ വ്യാപകമായി മോഷ്ടിക്കപ്പെട്ടുവെന്നോ ഇതുവരെ സ്ഥിരീകരിച്ചിട്ടില്ല.
ഡിജിറ്റൽ ഒപ്പ് എന്നത് എന്താണ്?
നമ്മൾ ഒരു കടലാസ് രേഖയിൽ ഒപ്പിടുമ്പോൾ അത് ആരാണ് അംഗീകരിച്ചതെന്ന് തിരിച്ചറിയാൻ കഴിയും. ഇതിന് സമാനമായ രീതിയിൽ ഇലക്ട്രോണിക് രേഖയിൽ ഒപ്പിട്ടത് ആരാണെന്നും ഒപ്പിട്ടശേഷം രേഖയിൽ മാറ്റം വരുത്തിയിട്ടുണ്ടോ എന്നും പരിശോധിക്കാൻ സഹായിക്കുന്ന സംവിധാനമാണ് ഡിജിറ്റൽ ഒപ്പ്.
ഇതിനായി രണ്ട് ബന്ധമുള്ള താക്കോലുകൾ ഉപയോഗിക്കുന്നു. രഹസ്യത്താക്കോൽ ഉപയോഗിച്ചാണ് ഡിജിറ്റൽ ഒപ്പ് സൃഷ്ടിക്കുന്നത്. അതുമായി ബന്ധപ്പെട്ട പൊതുതാക്കോൽ ഉപയോഗിച്ച് ഒപ്പ് ശരിയാണോ എന്ന് പരിശോധിക്കാം. രഹസ്യത്താക്കോൽ മറ്റൊരാളുടെ കൈയിലെത്തിയാൽ, യഥാർഥ വ്യക്തി ഒപ്പിട്ടതുപോലെ തോന്നിക്കുന്ന വ്യാജ രേഖകൾ സൃഷ്ടിക്കാനുള്ള സാധ്യതയുണ്ട്.
ഇമുദ്ര എന്താണ് ചെയ്യുന്നത്?
ഇന്ത്യയിൽ ഡിജിറ്റൽ ഒപ്പിനും ഇലക്ട്രോണിക് വിശ്വാസസേവനങ്ങൾക്കും ആവശ്യമായ സാക്ഷ്യപത്രങ്ങൾ നൽകുന്ന സ്ഥാപനമാണ് ഇമുദ്ര. വ്യക്തികൾക്കും കമ്പനികൾക്കും കമ്പ്യൂട്ടർ സംവിധാനങ്ങൾക്കും ഉപയോഗിക്കാവുന്ന ഡിജിറ്റൽ സാക്ഷ്യപത്രങ്ങൾ, ഇലക്ട്രോണിക് ഒപ്പിടൽ സേവനങ്ങൾ, വെബ്‌സൈറ്റുകൾക്കുള്ള സുരക്ഷാ സാക്ഷ്യപത്രങ്ങൾ തുടങ്ങിയവയാണ് പ്രധാന സേവനങ്ങൾ.
സർക്കാർ ഓഫീസുകളിൽ ഇലക്ട്രോണിക് രേഖകളിൽ ഒപ്പിടുന്നതിനും നികുതി സംബന്ധമായ ഓൺലൈൻ ഇടപാടുകൾക്കും കരാറുകൾക്കും വെബ്‌സൈറ്റുകൾ തമ്മിലുള്ള സുരക്ഷിത ആശയവിനിമയത്തിനും ഇത്തരം സംവിധാനങ്ങൾ പ്രയോജനപ്പെടുന്നു. എന്നാൽ ഇമുദ്രയുടെ സേവനങ്ങൾ ഉപയോഗിക്കുന്ന എല്ലാ സർക്കാർ വകുപ്പുകളുടെയും പൊതുമേഖലാ സ്ഥാപനങ്ങളുടെയും പൂർണമായ പട്ടിക ലഭ്യമല്ല. അതിനാൽ പ്രത്യേക വകുപ്പുകൾ ഈ സംഭവത്തിൽ നേരിട്ട് ബാധിക്കപ്പെട്ടുവെന്ന് ഉറപ്പിച്ച് പറയാനാവില്ല.
സുരക്ഷാ സംവിധാനത്തിൽ സംഭവിച്ച വീഴ്ച
രഹസ്യത്താക്കോലുകൾ മറ്റുള്ളവർക്ക് ഊഹിച്ചെടുക്കാൻ കഴിയാത്തവിധം സങ്കീർണമായിരിക്കണം. എന്നാൽ ചോർന്നതായി കണ്ടെത്തിയ ചില താക്കോലുകൾ വളരെ എളുപ്പത്തിൽ കണ്ടെത്താൻ കഴിയുന്നത്ര ദുർബലമായിരുന്നുവെന്നാണ് റിപ്പോർട്ടുകൾ സൂചിപ്പിക്കുന്നത്.
ഈ താക്കോലുകളുമായി ബന്ധപ്പെട്ട സാക്ഷ്യപത്രങ്ങൾ ഉപയോഗിച്ച് വ്യാജ വെബ് സുരക്ഷാ സാക്ഷ്യപത്രങ്ങൾ സൃഷ്ടിക്കാൻ കഴിയുമെന്നതാണ് പ്രധാന അപകടം. ഉദാഹരണത്തിന്, ഒരു ഉപഭോക്താവ് യഥാർഥ ബാങ്കിന്റെ വെബ്‌സൈറ്റാണെന്ന് കരുതി മറ്റൊരു വ്യാജ വെബ്‌സൈറ്റുമായി ബന്ധപ്പെടാൻ ഇടയുണ്ട്. അങ്ങനെ സംഭവിച്ചാൽ രഹസ്യവാക്കുകളും മറ്റ് വ്യക്തിഗത വിവരങ്ങളും തട്ടിയെടുക്കപ്പെടാനുള്ള സാധ്യതയുണ്ട്.
എന്നാൽ ഈ ദുർബലമായ താക്കോലുകൾ സൃഷ്ടിക്കപ്പെട്ടതിന്റെ കൃത്യമായ കാരണം എന്താണെന്നത് അന്വേഷണത്തിലൂടെ മാത്രമേ വ്യക്തമാകൂ. അതിന് പിന്നിൽ ഒരു പ്രത്യേക വ്യക്തിയുടെ അശ്രദ്ധയാണെന്നോ മനഃപൂർവമായ നീക്കമാണെന്നോ തെളിവില്ലാതെ പറയാനാവില്ല.
പ്രശ്നം പരിഹരിക്കാൻ സ്വീകരിച്ച നടപടികൾ
ഗൂഗിൾ ക്രോം, മോസില്ല ഫയർഫോക്സ് തുടങ്ങിയ വെബ് ബ്രൗസറുകൾ ബാധിച്ച സാക്ഷ്യപത്രങ്ങളെ വിശ്വസിക്കാതിരിക്കാനുള്ള നടപടികൾ സ്വീകരിച്ചു. ഇമുദ്രയും ബാധിച്ച എട്ട് സാക്ഷ്യപത്രങ്ങൾ റദ്ദാക്കുകയും സംഭവത്തിന്റെ കാരണങ്ങൾ പരിശോധിക്കുകയും ചെയ്തതായി റിപ്പോർട്ടുകളിലുണ്ട്.
എങ്കിലും, പഴയ സോഫ്റ്റ്‌വെയറുകൾ ഉപയോഗിക്കുന്നതോ സാക്ഷ്യപത്രങ്ങൾ റദ്ദാക്കിയ വിവരം പരിശോധിക്കാത്തതോ ആയ ചില സംവിധാനങ്ങളിൽ അപകടസാധ്യത നിലനിൽക്കാം. ബാധിച്ച സാക്ഷ്യപത്രങ്ങൾ ഉപയോഗിച്ചിരുന്ന വെബ്‌സൈറ്റുകൾക്ക് പുതിയ സാക്ഷ്യപത്രങ്ങൾ ആവശ്യമായി വരാനും സാധ്യതയുണ്ട്.
പ്രത്യാഘാതങ്ങൾ എന്തൊക്കെയാകും?
ഈ സംഭവം ഒരു സ്ഥാപനത്തിന്റെ സുരക്ഷാ പ്രശ്നം മാത്രമല്ല. ഡിജിറ്റൽ ഒപ്പുകൾ, സർക്കാർ ഓൺലൈൻ സേവനങ്ങൾ, ബാങ്കിങ് സംവിധാനങ്ങൾ എന്നിവയുടെ വിശ്വാസ്യത ഉറപ്പാക്കുന്ന സംവിധാനങ്ങൾ എത്രത്തോളം ശക്തമായിരിക്കണം എന്നതിന്റെ ഓർമപ്പെടുത്തലാണിത്. വ്യാജ സാക്ഷ്യപത്രങ്ങൾ ദുരുപയോഗം ചെയ്യപ്പെട്ടാൽ ഉപഭോക്താക്കളെ തെറ്റായ വെബ്‌സൈറ്റുകളിലേക്ക് നയിക്കാനും വിവരങ്ങൾ ചോർത്താനും സാധ്യതയുണ്ട്.
അതേസമയം, താക്കോലുകൾ ചോർന്നുവെന്ന വിവരം മാത്രം കൊണ്ട് വിവരമോഷണം നടന്നുവെന്നോ എല്ലാ ഉപഭോക്താക്കളും അപകടത്തിലാണെന്നോ നിഗമനം ചെയ്യരുത്. സുരക്ഷാ സംവിധാനങ്ങളുടെ പരിശോധന, ദുർബലമായ താക്കോലുകൾ കണ്ടെത്തൽ, ബാധിച്ച സാക്ഷ്യപത്രങ്ങൾ ഉടൻ റദ്ദാക്കൽ, പുതിയ താക്കോലുകൾ സുരക്ഷിതമായി സൃഷ്ടിക്കൽ എന്നിവയാണ് ഇത്തരം സംഭവങ്ങൾ ആവർത്തിക്കാതിരിക്കാൻ നിർണായകം.
Sources
Controller of Certifying Authorities, Government of India — Official list of licensed certifying authorities.
Google Security Blog — Security response to compromised eMudhra intermediate certificates.
Mozilla Security Blog — Response to the eMudhra certificate incident.
eMudhra — Public statement regarding the certificate security incident.
