eMudhra, ভারতীয় সাইবার সিকিউরিটি ফার্ম যেটি গত মাসে ইন্টারনেটকে সতর্কতামূলকভাবে দুর্বল নিরাপত্তা কীগুলির কারণে সতর্ক করে দিয়েছিল, তার সম্পূর্ণ প্রতিবেদনে ঘটনাটি প্রকাশ করেছে। ওপেন-সোর্স বাগ ট্র্যাকিং সিস্টেম বাগজিলায় প্রকাশিত প্রতিবেদনটি পাইথন স্ক্রিপ্টিং ত্রুটির জন্য দায়ী করে।
এই ঘটনাটি আটটি দুর্বল নিরাপত্তা কী থেকে উদ্ভূত হয়েছে যেগুলি ওয়েবসাইটগুলির জন্য ডিজিটাল শংসাপত্র ইস্যু করার জন্য eMudhra ব্যবহার করেছিল। এই দুর্বল কীগুলি যে কাউকে এই ধরনের শংসাপত্র পেতে এবং ব্যবহারকারীদের কেলেঙ্কারি করার জন্য অনলাইনে জাল ওয়েবসাইট সেট আপ করার অনুমতি দিতে পারে। যদিও ঘটনাটি প্রকাশ্যে আনার পর, গুগল, মজিলা, অ্যাপল এবং মাইক্রোসফ্ট নিরাপত্তা আপডেট প্রকাশ করতে ছুটে আসে।
ইমুধরার ঘটনা কীভাবে ঘটল?
eMudhra হল একটি সার্টিফিকেট অথরিটি (CA) যা ওয়েবসাইটগুলিতে ডিজিটাল সার্টিফিকেট প্রদানের জন্য দায়ী। এই শংসাপত্রগুলি যাচাই করা ওয়েবসাইটগুলিকে দেওয়া হয় একটি উপায় প্রমাণ হিসাবে যে তারা নিরাপদ ছিল - ব্রাউজারগুলিতে URL এর পাশে একটি প্যাডলক চিহ্ন যুক্ত করা৷ যাইহোক, eMudhra-এর ক্ষেত্রে, এই কীগুলি, যা 115 ডিজিটের লম্বা হওয়ার কথা ছিল, খুব ছোট হয়ে গেছে। একটি ক্ষেত্রে, চাবিটি ছিল মাত্র 4 নম্বর, এটিকে হ্যাক করা উদ্বেগজনকভাবে সহজ করে তোলে।
eMudhra-এর সম্পূর্ণ প্রতিবেদনে গিয়ে, ঘটনাটি একটি পাইথন স্ক্রিপ্টিং ত্রুটির কারণে ঘটেছিল। সংস্থাটি বলেছে যে 30 এপ্রিল 2025-এ একটি অনুষ্ঠানের সময় যখন কীগুলি তৈরি করা হয়েছিল, সেগুলি একটি "হার্ডওয়্যার সুরক্ষা মডিউল" বা এইচএসএম-এ সফলভাবে তৈরি হয়েছিল।
এই মূল প্রজন্মের অনুষ্ঠানের সময়, কোম্পানি একটি ভিন্ন হার্ডওয়্যার ডিভাইসে স্থানান্তরের প্রস্তুতির জন্য একটি কাস্টম পাইথন স্ক্রিপ্ট ব্যবহার করে সেগুলিকে প্রক্রিয়া করে। স্ক্রিপ্টের একটি বাগ গত মাসে পাওয়া ছোট সংখ্যাগুলির মধ্যে আটটি কী সঙ্কুচিত করে। eMudhra স্বীকার করেছে যে এই সংখ্যাগুলি - 4, 56, 66, 115, 155, 156, 230 এবং 237 - এত ছোট যে যে কেউ পাবলিক ডোমেইন থেকে এগুলি তৈরি করতে পারত।
এই চাবিগুলি আঠারো মাস ধরে অলক্ষিত ছিল কারণ এগুলি এখনও উদ্দেশ্য অনুযায়ী শংসাপত্র জারি করেছে এবং কেউ তাদের শক্তি পরীক্ষা করেনি৷
একই সময়ে, আরও আটটি কী, eMudhra যোগ করে, অক্ষত ছিল, কিন্তু একই স্ক্রিপ্ট একটি সাধারণ কম্পিউটারের মেমরিতে সেই কীগুলির অনুলিপি তৈরি করেছিল। eMudhra বলেছে যে এটি এই প্রভাবিত কীগুলির সাথে সংযুক্ত সমস্ত 16টি শংসাপত্র প্রত্যাহার করেছে কারণ এটি নিশ্চিত করতে পারে না যে তারা এর নিজস্ব নিরাপত্তা নীতি পূরণ করেছে৷
প্রতিবেদনে বলা হয়েছে যে এই প্রথমবার ইমুধরা বিভিন্ন ভূ-অবস্থানে হার্ডওয়্যার নিরাপত্তা মডিউল (এইচএসএম) এর মধ্যে কী স্থানান্তর করতে এই ধরনের একটি প্রক্রিয়া ব্যবহার করেছে। তারপর থেকে, কোম্পানি তাদের স্থানান্তর না করেই কী তৈরি করেছে।
গত মাসে ইন্টারনেট মেলডাউনের পরে, eMudhra সম্পূর্ণরূপে ডিজিটাল সার্টিফিকেট ব্যবসা থেকে বেরিয়ে এসেছে। ঘটনাটি যখন অনলাইনে ছড়িয়ে পড়ে, তখন অনেক বিশেষজ্ঞ শঙ্কিত হয়েছিলেন, কেউ কেউ দাবি করেছিলেন যে এটি ইন্টারনেটকে ভেঙে দিতে পারে। এই ঘটনার জন্য প্রকাশ্যে ক্ষমা চেয়েছে সংস্থাটি।
- শেষ
