eMudhra accidentally generated weak keys for eight intermediate certificates
Photo Credit: Pexels/Sora Shimazaki
eMudhra-কে নিয়ে ইন্টারনেট মহলে শোরগোল পড়তে অবশেষে মুখ খুললেন সংস্থা। বেঙ্গালুরুর ডিজিটাল সিগনেচার, ই-সাইন, ও ডিজিটাল পরিচয় যাচাইয়ের পরিষেবা প্রদানকারী প্রতিষ্ঠানটি জানিয়েছে, কোনও ওয়েবসাইটের সার্টিফিকেট তৈরিতে দুর্বল ক্রিপ্টোগ্রাফিক কী বা চাবি ব্যবহার করা হয়নি। সাইবার বিশেষজ্ঞদের দাবি ছিল, ই-মুদ্রার আটটি ইন্টারমিডিয়েট সার্টিফিকেট কী এতটাই দুর্বল ছিল যে সীমিত প্রযুক্তিগত জ্ঞান নিয়ে যে কেউ কম্পিউটার দিয়ে সেগুলো সহজেই অনুমান করতে পারতো। ফলে এই ত্রুটিকে কাছে লাগিয়ে জালিয়াতির আশঙ্কা তৈরি হয়। কারণ গোপন কী হাতিয়ে কোনও ওয়েবসাইট কর্তৃপক্ষের পরিচয় ব্যবহার করে নকল সাইটের জন্য সিকিউরিটি সার্টিফিকেট বানানো সম্ভব।
ই-মুদ্রা বিবৃতিতে জানিয়েছে, তারা ক্রিপ্টোগ্রাফিক চাবি তৈরির ত্রুটির কারণে প্রভাবিত সিকিউরিটি সার্টিফিকেট বদলানোর কাজ শুরু করেছে। এই পরিবর্তন সম্পূর্ণ করতে কয়েক দিন সময় লাগতে পারে। তাঁর দাবি, দুর্বল কী ব্যবহার করে কোনও ওয়েবসাইটে সার্টিফিকেট ইস্যু করা হয়নি।
eMudhra-র বিশ্বব্যাপী ওয়েবসাইট সুরক্ষা পরিষেবার জন্য গত বছর এপ্রিল 30 তৈরি করা আটটি ডিজিটাল চাবি নিয়ে সমস্যার সূত্রপাত। এটি কোনও ওয়েবসাইট আসল ও নিরাপদ কিনা, তা যাচাই করতে সাহায্য করে। চাবিটির মাধ্যমে ভুয়ো সিকিউরিটি সার্টিফিকেট তৈরির আশঙ্কা তৈরি হয়। কারণ আসল ওয়েবসাইটের পরিচয় নকল করে ব্রাউজারকে বোকা বানিয়ে ভুয়ো সাইটকে নিরাপদ বলে ইউজারদের পাঠানোর চেষ্টা করতে পারে হ্যাকাররা।
ই-মুদ্রার নিরাপত্তাগত ত্রুটির কথা Apple, Google, Microsoft, Cloudflare, এবং Mozilla-সহ একাধিক প্রযুক্তি সংস্থাকে জানানো হয়েছে। সংস্থাগুলি ইতিমধ্যেই সংশ্লিষ্ট আটটি দুর্বল সার্টিফিকেট ব্লক করে দিয়েছে, যাতে সেগুলো কাজে লাগিয়ে সাইবার জালিয়াতি চালানো না যায়।
ইন্টারনেটের শুরুর সময় থেকেই আসল দেখতে, কিন্তু ভুয়ো ও নকল ওয়েবসাইটের মাধ্যমে প্রতারণার ঘটনা ঘটেছে। তাই আপনি যে ব্যাঙ্ক বা সোশ্যাল নেটওয়ার্কিং সাইটে ঢুকছেন, তা সত্যিই আসল কিনা সেটা যাচাই করতে সাহায্য করে ডিজিটাল সার্টিফিকেট। এটি SSL বা TLS নামেই বেশি পরিচিত।
সার্টিফিকেটটি নিশ্চিত করে আপনি যে সাইটে আছেন, তা আসল প্রতিষ্ঠান বা ব্যক্তির মালিকানাধীন এবং আদানপ্রদান করা সমস্ত তথ্য এনক্রিপটেড। এই সার্টিফিকেট প্রদানকারী অন্যতম ভারতীয় সংস্থা হল eMudhra। গবেষকরা জানাচ্ছেন, তাদের ইস্যু করা আটটি ডিজিটাল সার্টিফিকেটের প্রাইভেট কী-তে 384 বিটের র্যান্ডম তথ্য থাকার কথা ছিল।
প্রাইভেট কী এত বড় সংখ্যার হয় যে তা অনুমান করে বের করা কার্যত অসম্ভব। কিন্তু বাস্তবে ই-মুদ্রার ইস্যু করা সিকিউরিটি সার্টিফিকেটের আটটি চাবিতে স্রেফ এক বাইটের সংখ্যা ছিল — 4, 56, 66, 115, 155, 156, 230, এবং 237। কোম্পানির দাবি, তাদের রুট সার্টিফিকেট অথরিটির প্রাইভেট কী ও অন্যান্য ইন্টারমিডিয়েট কী প্রভাবিত হয়নি। এখনও পর্যন্ত চাবির দুর্বলতাকে কাজে লাগিয়ে কোনও সাইবার হামলা চালানোর প্রমাণও প্রকাশ্যে আসেনি।
প্রযুক্তির সাম্প্রতিক খবর আর রিভিউস জানতে লাইক করুন আমাদের Facebook পেজ অথবা ফলো করুন Twitter আর সাবস্ক্রাইব করুন YouTube.