பெங்களூருவைச் சேர்ந்த தொழில்நுட்ப நிறுவனமான இ-முத்ரா (eMudhra), இணையதளங்களின் நம்பகத்தன்மையை உறுதிப்படுத்தும் டிஜிட்டல் சான்றிதழ்களை வழங்கும் பணியில் ஈடுபட்டுள்ளது. இந்நிலையில், அந்நிறுவனம் வழங்கிய எட்டு இடைநிலை சான்றிதழ்களின் (intermediate certificates) ரகசிய குறியாக்க சாவிகள் (cryptographic keys) பலவீனமாக இருந்ததை அந்நிறுவனம் ஒப்புக்கொண்டுள்ளது.
இந்த பாதுகாப்பு குறைபாடு, இணையதளங்களை போலியாக உருவாக்கி, பாதுகாப்பான இணைப்புகளை இடைமறிக்க ஹேக்கர்களுக்கு வழிவகுக்கும் என்ற அச்சத்தை உலகளவில் ஏற்படுத்தியுள்ளது. கடந்த 2025 ஏப்ரல் 30 அன்று உருவாக்கப்பட்ட இந்த சாவிகளில் ஏற்பட்ட தொழில்நுட்பக் கோளாறு காரணமாக, அவை மிகவும் பலவீனமானதாக மாறியுள்ளன. பொதுவாக 384 பிட்கள் (116 இலக்கங்கள்) வலிமை கொண்டிருக்க வேண்டிய இந்த சாவிகள், வெறும் 3 முதல் 8 பிட்கள் என்ற அளவில் மிகக் குறைந்த பாதுகாப்புடன் இருந்தன.
'வெய்ன்' (Wayne) என்ற புனைபெயரில் செயல்படும் சுயாதீன ஆராய்ச்சியாளர் ஒருவர், செயற்கை நுண்ணறிவு தொழில்நுட்பத்தைப் பயன்படுத்தி இந்த சாவிகளைக் கண்டறிந்தார். இது குறித்து ஆப்பிள், கூகுள், மைக்ரோசாப்ட் மற்றும் மொஸில்லா போன்ற முன்னணி நிறுவனங்களுக்கு அவர் எச்சரிக்கை விடுத்ததைத் தொடர்ந்து, அந்த எட்டு சான்றிதழ்களும் முடக்கப்பட்டன.
இந்த சம்பவம் குறித்து சைபர் பாதுகாப்பு ஆராய்ச்சியாளர் கரண் சைனி கூறுகையில், "நிறுவனங்கள் விரைவாக செயல்படவில்லை என்றால், இந்த சம்பவம் பில்லியன் கணக்கான பயனர்களுக்குப் பேரழிவை ஏற்படுத்தியிருக்கும். மேலும், வரும் நாட்களில் இதன் விளைவுகள் தொடர வாய்ப்புள்ளது" என்று தெரிவித்தார். சைபர் பாதுகாப்பு ஆலோசனை நிறுவனமான பேன்பிரீச் (Banbreach) தலைமை நிர்வாகி சுமன் கர் இது குறித்து கூறுகையில், "ஒரு சான்றிதழ் அதிகார மையத்தை (Certificate Authority) நடத்தும் போது, இது போன்ற பாதுகாப்பு குறைபாடுகள் ஏற்படுவது மிகவும் தீவிரமான விஷயம்.
சாதனங்கள் இந்த சான்றிதழ்களை கண்மூடித்தனமாக நம்புவது, ஹேக்கர்கள் தகவல்களைத் திருட வழிவகுக்கும்" என்று குறிப்பிட்டார். இ-முத்ரா நிறுவனம் தனது உள்நாட்டு டிஜிட்டல் கையொப்பச் சான்றிதழ் (DSC) மற்றும் இ-சைன் (eSign) சேவைகளுக்கு எந்த பாதிப்பும் இல்லை என்று தெளிவுபடுத்தியுள்ளது. இந்திய மின்னணு மற்றும் தகவல் தொழில்நுட்ப அமைச்சகமும் (MeitY), இ-முத்ராவின் சர்வதேச TLS வணிகமும், இந்திய சேவைகளும் முற்றிலும் வேறுபட்டவை என்று உறுதிப்படுத்தியுள்ளது.
இந்த விவகாரம் குறித்து விசாரிக்க சிறப்பு குழு அமைக்கப்பட்டுள்ளதாக அமைச்சகம் தெரிவித்துள்ளது. இருப்பினும், முன்னெச்சரிக்கை நடவடிக்கையாக கூகுள் நிறுவனம், இ-முத்ராவின் 'emSign ECC Root CA – G3' என்ற ரூட் சான்றிதழை தனது குரோம் பிரவுசரில் இருந்து நீக்குவதாக அறிவித்துள்ளது. இந்திய கணினி அவசரக்கால பதில் குழு (CERT-In) வெளியிட்டுள்ள ஆலோசனையில், இந்த பலவீனமான சாவிகளைப் பயன்படுத்தி ஹேக்கர்கள் போலி சான்றிதழ்களை உருவாக்க வாய்ப்புள்ளதாக எச்சரித்துள்ளது.
பாதிக்கப்பட்ட வாடிக்கையாளர்களுக்கு மாற்று சான்றிதழ்களை வழங்கும் பணியில் ஈடுபட்டுள்ளதாக இ-முத்ரா நிறுவனம் தெரிவித்துள்ளது.
