ഡിജിറ്റൽ ഒപ്പുകളും വെബ് സെക്യൂരിറ്റി സംവിധാനങ്ങളും സുരക്ഷാ ഭീഷണിയിൽ; ഇ-മുദ്ര സെക്യൂരിറ്റി കീകളിൽ ചോര്‍ച്ച

ബെംഗളൂരു: കേന്ദ്ര സര്‍ക്കാര്‍ സ്ഥാപനങ്ങൾക്കും പൊതു-സ്വകാര്യ മേഖലകളിലെ നിരവധിയായ ഐടി സംവിധാനങ്ങൾക്കും ഉൾപ്പെടെ സുരക്ഷാ സേവനം നൽകുന്ന മുൻനിര ഡിജിറ്റൽ സെക്യൂരിറ്റി ഏജൻസിയായ ഇ മുദ്രയുടെ പ്രൈവറ്റ് സെക്യൂരിറ്റി കീകൾ ചോര്‍ന്നതായി കണ്ടെത്തി. വെബ് സെക്യൂരിറ്റി സര്‍ട്ടിഫിക്കറ്റുകൾ നൽകുന്നതിലും ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ തയാറാക്കി നൽകുന്നതിലും രാജ്യത്തെ ഏറ്റവും വിശ്വസ്തമായ സ്ഥാപനമാണ് ഇ-മുദ്ര.

വാര്‍ത്ത പുറത്തെത്തിയതോടെ ക്രോം, മോസില്ല, മൈക്രോസോഫ്റ്റ്, ആപ്പിൾ തുടങ്ങിയ ആഗോള ബ്രൗസറുകളും ഓപ്പറേറ്റിംഗ് സിസ്റ്റം നിർമ്മാതാക്കളും സിസ്റ്റം സുരക്ഷ ഉറപ്പാക്കുന്നതിനായി അടിയന്തര മുൻകരുതലുകൾ ഏ‍ർപ്പെടുത്തി തുടങ്ങി. എട്ട് കീകളിലാണ് ചോര്‍ച്ച കണ്ടെത്തിയത്. ചോർച്ച സംഭവിച്ച കീകളിൽ ആറ് എണ്ണവും വെബ്‌സൈറ്റുകളുടെ വിലാസം സാക്ഷ്യപ്പെടുത്താൻ (TLS/SSL) ഉപയോഗിക്കുന്നവയാണ്. ഇത് ഉപയോഗിച്ച് ഹാക്കർമാർക്ക് ഉപയോക്താക്കളെ വ്യാജ വെബ്‌സൈറ്റുകളിലേക്ക് തിരിച്ചുവിട്ട് വിവരങ്ങൾ ചോർത്താൻ സാധിച്ചേക്കും.

ഇലക്ട്രോണിക് ഒപ്പുകൾ ചോരുമോ

ഇ-മുദ്ര പ്രധാനമായും നൽകുന്നത് ഇലക്ട്രോണിക് രേഖകൾ ഒപ്പുവെക്കാനുള്ള 'ഡിജിറ്റൽ സിഗ്നേച്ചർ സർട്ടിഫിക്കറ്റുകൾ' (DSC) ആണ്. ജനങ്ങളുടെ വ്യക്തിഗത ഡിജിറ്റൽ ഒപ്പുകൾ നേരിട്ട് നിർമ്മിക്കാൻ ചോര്‍ന്നതായി കണ്ടെത്തിയിട്ടുള്ള ഈ ഇന്റർമീഡിയറ്റ് കീകൾ ഉപയോഗിച്ചിട്ടില്ല എന്നാണ് കമ്പനി പറയുന്നത്. ഈ സാഹചര്യത്തിൽ ഇലക്ട്രോണിക് ഒപ്പുകൾക്ക് ഇതുവരെ ഭീഷണിയില്ല എന്നാണ് വിശദീകരിച്ചത്.

ബ്രൗസറുകളുടെ കാര്യത്തിൽ അതത് കമ്പനികൾ അപ്ഡേറ്റ് വഴി സുരക്ഷ ഉറപ്പാക്കാൻ നടപടി തുടങ്ങിയിട്ടുണ്ട്. വെബ്സൈറ്റ് വിവരങ്ങളും പാസ് വേര്‍ഡ് ഉൾപ്പെടെ രഹസ്യ കോഡുകളും ചോരുന്നത് ഇതുവഴി തടയപ്പെടുമെന്ന് കമ്പനി പറയുന്നു. എന്നാൽ ഉടനുടൻ അപ്ഡേഷൻ ഇല്ലാത്ത കമ്പ്യൂട്ടര്‍ സിസ്റ്റങ്ങളെ ഇതു ബാധിച്ചേക്കാം എന്ന ആശങ്കയുണ്ട്. ഓൺലൈൻ സെക്യൂരിറ്റി അപ്ഡേറ്റുകൾക്ക് പുറത്തായിരിക്കും അത്തരം സിസ്റ്റങ്ങൾ. വല്ലപ്പോഴും തുറക്കുന്നവയും അപ്ഡേഷന് വിധേയമാകുന്നവയും ആകും.

അത്ര ലളിതമല്ല കാര്യങ്ങൾ

IoT (Internet of Things) ഉപകരണങ്ങൾ, ലിനക്സ് (Linux) സിസ്റ്റങ്ങൾ, ഡോക്കർ കണ്ടെയ്നറുകൾ (Docker Containers), പൈത്തൺ (Python) ടൂളുകൾ തുടങ്ങിയവയിൽ ഇത് അപ്‌ഡേറ്റ് ചെയ്യുക എന്നത് കഠിനവും മാസങ്ങളോ വർഷങ്ങളോ എടുക്കുന്നതുമായ പ്രക്രിയയാണെന്ന് വിദഗ്ദ്ധര്‍ ചൂണ്ടികാട്ടുന്നു. ബ്രൗസറുകൾ പെട്ടെന്ന് അപ്‌ഡേറ്റ് ആയെങ്കിലും, ഇന്റർനെറ്റുമായി ബന്ധിപ്പിച്ചിട്ടുള്ള ദശലക്ഷക്കണക്കിന് മറ്റ് ഉപകരണങ്ങളിലും സെർവറുകളിലും ഈ സെക്യൂരിറ്റി പാച്ച് എത്തിയെന്ന് ഉറപ്പാക്കാൻ ആഗോളതലത്തിൽ വലിയ അധ്വാനവും സമയവും വേണ്ടിവരും.

കമ്പനിയുടെ വിശദീകരണം

"സംഭവം ശ്രദ്ധയിൽപ്പെട്ട ഉടൻ തന്നെ കമ്പനി അടിയന്തര നടപടികൾ സ്വീകരിക്കുകയും ബാധിക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ നിയന്ത്രണവിധേയമാക്കുകയും ചെയ്തു. ഗ്ലോബൽ ബ്രൗസർ കമ്പനികളുമായി ചേർന്ന് ഉപയോക്താക്കളുടെ വിവര സുരക്ഷ ഉറപ്പാക്കാൻ ഒന്നിച്ച് പ്രവർത്തിച്ചു വരികയാണ്. ഈ സർട്ടിഫിക്കറ്റുകളിൽ ഒന്നുപോലും യഥാർത്ഥ ഉപയോക്താക്കൾക്ക് (End-entity certificates) ഇഷ്യൂ ചെയ്തിട്ടില്ലെന്ന് ഇന്റേണൽ പരിശോധനയിലും സെർട്ടിഫിക്കറ്റ് ട്രാൻസ്പരൻസി (CT) റെക്കോർഡുകളിലും വ്യക്തമായിട്ടുണ്ട്."

എന്നാൽ, മുമ്പ് ലോകത്തെ വിറപ്പിച്ച 'ഹാർട്ട്ബ്ലീഡ്' (Heartbleed) സുരക്ഷാ വീഴ്ചയേക്കാൾ വ്യാപ്തിയുള്ളതും ദീർഘകാല പ്രത്യാഘാതം ഉണ്ടാക്കുന്നതുമായ പ്രതിസന്ധിയാണിതെന്ന് പ്രമുഖ ക്രിപ്റ്റോഗ്രാഫി വിദഗ്ധർ മുന്നറിയിപ്പ് നൽകി.

എന്താണ് സംഭവിച്ചത്

ആഗോളതലത്തിൽ പ്രധാന ബ്രൗസറുകളെല്ലാം വിശ്വസിക്കുന്ന ഇന്ത്യയിലെ ഏക റൂട്ട് സര്‍ട്ടിഫിക്കറ്റ് അതോറിറ്റിയാണ് ഇ-മുദ്ര. ഈ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്ന വെബ്‌സൈറ്റുകളുടെ വിശ്വസനീയതയെയും അവയുടെ സുരക്ഷാ സിസ്റ്റങ്ങളെയുമാണ് പ്രധാനമായും ആശങ്കയിലാക്കിയിരിക്കുന്നത്. ഇത് ആളുകളുടെ വ്യക്തിഗത ഡിജിറ്റൽ ഒപ്പുകളെ നേരിട്ട് ബാധിച്ചിട്ടില്ല എന്ന് കമ്പനി അവകാശപ്പെടുന്നു.

വെബ് സെക്യൂരിറ്റി സങ്കേതങ്ങളിൽ (SSL/TLS) വിവരങ്ങൾ ചോരാതിരിക്കാൻ സങ്കീർണ്ണമായ 384-ബിറ്റ് പ്രൈവറ്റ് കീകളാണ് സാധാരണയായി ഉപയോഗിക്കാറുള്ളത്. ഇതിനായി തയാറാക്കിയ ഇ-മുദ്രയുടെ എട്ട് ഇന്റർമീഡിയറ്റ് സർട്ടിഫിക്കറ്റുകളിൽ ഉണ്ടാക്കി വച്ചിരുന്ന പ്രൈവറ്റ് കീകൾ 1-നും 256-നും ഇടയിലുള്ള വളരെ ലളിതമായ സംഖ്യകളായിരുന്നുവെന്ന് ഒരു അജ്ഞാത സുരക്ഷാ ഗവേഷകൻ കണ്ടെത്തി. ഇതോടെയാണ് ചോര്‍ച്ച പുറത്തായത്. ഇ-മുദ്രയുടെ ചോർന്ന പ്രൈവറ്റ് കീ ഉപയോഗിച്ച് ഡിജിറ്റൽ ഒപ്പിട്ടാണ് അദ്ദേഹം ഇത് ലോകത്തെ അറിയിച്ചത്. ഇതോടെയാണ് തകരാറിന്റെ ഗൗരവം സുരക്ഷാ ഏജൻസികൾ തിരിച്ചറിഞ്ഞത്.

ഇതിലൊരു പ്രൈവറ്റ് കീ 383 പൂജ്യങ്ങൾക്ക് ശേഷം വരുന്ന '4' എന്ന ഒറ്റ അക്ക സംഖ്യ മാത്രമായിരുന്നു. ഇത് സൈബർ ക്രിമിനലുകൾക്ക് വളരെ എളുപ്പത്തിൽ ഹാക്ക് ചെയ്യാവുന്ന ഒന്നായിരുന്നുവെന്ന് ചൂണ്ടികാണിക്കപ്പെട്ടു. സാധാരണയായി ഇത്തരം സുരക്ഷാ കീകളിൽ (NIST P-384) 384-ബിറ്റ് സങ്കീർണ്ണതയാണുണ്ടാവുക (116 അക്കങ്ങളുള്ള കൂറ്റൻ സംഖ്യാ സാധ്യതകൾ). എന്നാൽ ഇ-മുദ്രയുടെ ചോർന്ന കീകളുടെ എൻട്രോപ്പി വെറും 3 മുതൽ 8 ബിറ്റ് വരെ മാത്രമായിരുന്നു എന്നും പറയുന്നു. ഇത്തരത്തിൽ ചോർന്ന 8 പ്രൈവറ്റ് കീകളുടെ യഥാർത്ഥ മൂല്യങ്ങൾ 4, 56, 66, 115, 155, 156, 230, 237 എന്നിവ മാത്രമായിരുന്നു. ഇത് ആർക്കും എളുപ്പത്തിൽ ഊഹിച്ചെടുക്കാവുന്നത്ര ലളിതമാണ്.

നഷ്ടമായ വിശ്വാസം

ഇലക്ട്രോണിക്സ് ആൻഡ് ഐടി മന്ത്രാലയം (MeitY), ഇന്ത്യൻ കമ്പ്യൂട്ടർ എമർജൻസി റെസ്‌പോൺസ് ടീം (CERT-In) എന്നിവർ വിഷയത്തിൽ ഔദ്യോഗിക പ്രതികരണം ഒന്നും തന്നെ ഇതുവരെ നടത്തിയിട്ടില്ല.

2014 ൽ നരേന്ദ്ര മോദി സര്‍ക്കാര്‍ ഭരണത്തിൽ ഏറിയതിന് പിന്നാലെ നാഷണൽ ഇൻഫോമാറ്റിക്സ് സെന്റർ ഇത്തരം വിവാദത്തിൽ അകപ്പെട്ടിരുന്നു. ഇന്ത്യയിലെ ഗവൺമെന്റ് ഏജൻസിയായ NIC (National Informatics Centre), പ്രമുഖ ഇന്റർനെറ്റ് കമ്പനികളായ ഗൂഗിൾ, യാഹൂ എന്നിവയുടെ പേരിൽ വ്യാജമായി നിരവധി SSL/TLS വെബ് സുരക്ഷാ സർട്ടിഫിക്കറ്റുകൾ ഇഷ്യൂ ചെയ്തു എന്നായിരുന്നു ഇത്.

ഇന്ത്യയിലെ 'കൺട്രോളർ ഓഫ് സെർട്ടിഫൈയിങ് അതോറിറ്റീസ്' (CCA) അംഗീകരിക്കുന്ന ഇന്ത്യൻ റൂട്ട് സർട്ടിഫിക്കറ്റുകളുടെ സുരക്ഷാ മാനദണ്ഡങ്ങളിൽ ആഗോള ടെക് കമ്പനികൾക്ക് ഇത് കടുത്ത അവിശ്വാസം ഉണ്ടാക്കി. പൊതുമേഖലയിൽ ഇത്തരത്തിൽ ഒന്ന് ഉയ‍ര്‍ത്തിക്കൊണ്ടു വരാനുള്ള ശ്രമം പിന്നീട് സര്‍ക്കാര്‍ നടത്തിയില്ല. വെല്ലുവിളി ഏൽക്കാതെ കൈ ഒഴിഞ്ഞു. ഇതിന് ശേഷം ആഗോള തലത്തിൽ വിശ്വസ്യത നേടിയ ഏക സ്ഥാപനമായിരുന്നു ഇ-മുദ്ര