इंटरनेट पर वेबसाइटों की पहचान और सुरक्षा सुनिश्चित करने वाली व्यवस्था में गंभीर कमजोरियां सामने आई हैं। बेंगलुरु स्थित भारतीय कंपनी eMudhra की ओर से जारी आठ सिक्योरिटी सर्टिफिकेट्स की प्राइमरी सिक्योरिटी की कमजोर पाई गईं। इनमें इस्तेमाल की गई संख्याएं इतनी छोटी थीं कि उन्हें सामान्य कंप्यूटर से भी खोजा जा सकता था।
डिजिटल सर्टिफिकेट किसी वेबसाइट के पहचान पत्र की तरह काम करता है। यह ब्राउजर को वेबसाइट की प्रामाणिकता जांचने में मदद करता है। गूगल क्रोम, फायरफॉक्स और सफारी जैसे ब्राउजर सर्टिफिकेट अथॉरिटीज की ओर से जारी प्रमाणपत्रों पर भरोसा करते हैं।
एक सिक्योरिटी रिसर्चर के मुताबिक, eMudhra के आठ सर्टिफिकेट्स में 4, 56, 66, 115, 155, 156, 230 और 237 जैसी संख्याओं का इस्तेमाल किया गया था। यदि इनकी कमजोरियों का फायदा उठाया जाता, तो नकली डिजिटल पहचान पत्र बनाकर लोगों को ठगने का खतरा पैदा हो सकता था।
मोजिला ने इस घटना के संभावित प्रभाव को बेहद गंभीर बताया। इसके बाद गूगल, मोजिला, ऐपल और माइक्रोसॉफ्ट ने संदिग्ध सर्टिफिकेट्स को ब्लॉक कर दिया। हालांकि, पुराने डिवाइस और ऐसे सिस्टम जो सुरक्षा जांच को बायपास करते हैं, उन्हें मैन्युअल अपडेट की जरूरत पड़ सकती है।
PHP की खामियों से दुनिया भर की वेबसाइटों पर खतरा
दूसरा मामला PHP प्रोग्रामिंग भाषा से जुड़ा है, जिसका इस्तेमाल वेबसाइटों और वेब सर्वर पर बड़े पैमाने पर होता है। गूगल की पैरेंट कंपनी Alphabet के स्वामित्व वाली सुरक्षा फर्म Wiz के अनुसार, इस खामी से इंटरनेट के लगभग 70 प्रतिशत हिस्से के प्रभावित होने की आशंका है। WordPress, Drupal, Joomla और Magento जैसे प्लेटफॉर्म भी PHP का इस्तेमाल करते हैं।
दोनों सुरक्षा खामियों को CVSS पैमाने पर 9.2 का गंभीर स्कोर दिया गया है। CERT-EU के अनुसार, इनका फायदा उठाकर हमलावर बिना यूजरनेम और पासवर्ड के सर्वर पर रिमोट कोड चला सकते हैं। इससे डेटा चोरी, वेबसाइट में अनधिकृत बदलाव और सर्वर पर कब्जे का खतरा पैदा हो सकता है।
कई देशों ने एहतियातन बंद कीं इंटरनेट सेवाएं
ब्रिटेन के नेशनल साइबर सिक्योरिटी सेंटर और CERT-EU ने उन विभागों को वेबसाइटें ऑफलाइन करने की सलाह दी, जो समय पर सुरक्षा पैच लागू नहीं कर सकते थे। फिनलैंड सरकार ने अपनी सार्वजनिक इंटरनेट सेवाएं बंद कर दीं। नीदरलैंड्स में भी राष्ट्रीय और स्थानीय सरकारी विभागों की वेबसाइटें प्रभावित हुईं। इससे 100 से अधिक नगर निगम और जल बोर्ड ठप हो गए। वियना और फ्रीबर्ग के विश्वविद्यालयों ने भी एहतियातन अपनी वेबसाइटें इंटरनेट से हटा लीं।
AI की मदद से मिलीं कमजोरियां, जारी हुए सुरक्षा पैच
PHP डेवलपर्स ने चार सुरक्षा पैच जारी कर यूजर्स को तुरंत अपडेट करने की सलाह दी है। Wiz के अनुसार, OpenAI के उन्नत AI टूल्स की मदद से एक ऐसी खामी का पता चला, जो दस साल से अधिक समय से कोड में मौजूद थी। eMudhra मामले में भी AI की मदद से कमजोर सिक्योरिटी की की पहचान की गई। विशेषज्ञों ने चेतावनी दी है कि सुरक्षा पैच जारी होने के बाद अपडेट न किए गए सर्वर हमलावरों के निशाने पर आ सकते हैं।
आम यूजर्स और वेबसाइट संचालक क्या करें?
यूजर्स को अपने मोबाइल, कंप्यूटर और ब्राउजर अपडेट रखने चाहिए। वेबसाइट के सर्टिफिकेट से जुड़ी चेतावनी मिलने पर उसे खोलने से बचना चाहिए। वेबसाइट संचालकों को PHP का नवीनतम सुरक्षा अपडेट लागू करना चाहिए। यदि तत्काल पैच लगाना संभव न हो, तो सुरक्षा सुनिश्चित करने के लिए वेबसाइट को अस्थायी रूप से ऑफलाइन करना एक विकल्प हो सकता है।
