ઇન્ટરનેટ સિક્યોરિટી કીમાં મોટી ખામી નેટ યુઝર્સ માટે અત્યંત જોખમી

આજના ડિજિટલ યુગમાં બેંકિંગ, ઓનલાઇન શોપિંગ કે સરકારી સેવાઓનો ઉપયોગ કરતી વખતે ડેટાની સુરક્ષા સુનિશ્ચિત કરવા માટે ડિજિટલ સર્ટિફિકેટ્સ (TLS/SSL) અને ડિજિટલ કીનો ઉપયોગ થાય છે. પરંતુ જ્યારે આ સુરક્ષાની મુખ્ય ચાવીઓમાં જ ખામી રહી જાય, ત્યારે આખું ઇન્ટરનેટ નેટવર્ક જોખમમાં મૂકાઈ જાય છે. તાજેતરમાં ભારતીય ડિજિટલ ટ્રસ્ટ કંપની ઈ-મુદ્રાના ૮ ઇન્ટરમીડિએટ સર્ટિફિકેટ ઓથોરિટીઝની પ્રાઇવેટ કી પબ્લિક સર્ટિફિકેટ્સ પરથી સહેલાઈથી ચોરી થઈ જવાની એક ગંભીર સિક્યોરિટી ઘટના સામે આવી છે. આ ઘટનાએ સાબિત કર્યું છે કે ડિજિટલ ટ્રસ્ટ સિસ્ટમ્સમાં રહેલી હાર્ડવેર અને ક્રિપ્ટોગ્રાફિક ખામીઓ, નબળું રેન્ડમાઇઝેશન, સર્વર-સાઇડ એપ્લિકેશન્સમાં અપડેટનો અભાવ અને નકલી વેબસાઇટ્સ બનાવવા જેવા ભયાનક જોખમો ઊભા કરી શકે છે, જેનાથી હેકર્સ યુઝર્સ અને બેંકિંગ સિસ્ટમ્સ વચ્ચેથી ડેટા ચોરી કરી શકે છે.

સિક્યોરિટી કીના મુખ્ય જોખમો, તેના કારણો અને પરિણામો 

કોઈપણ સુરક્ષિત પ્રાઇવેટ કી બનાવવા માટે જટિલ અને અનુમાન ન લગાવી શકાય તેવા રેન્ડમ નંબર્સનો ઉપયોગ થાય છે. ઈ-મુદ્રા કેસમાં કી-જનરેશન સેરેમની દરમિયાન ‘કી-વ્રેપિંગ અને અનવ્રેપિંગ’ સ્ટેપમાં ગંભીર ભૂલ થઈ હતી. આના કારણે કીની વેલ્યુ ખૂબ જ નાની (P-384 એલિપ્ટિક-કર્વમાં ૨૫૬ થી પણ નાની) બની ગઈ હતી. ક્લાઉડ સેકનાના સીઈઓ રાહુલ શાસીના જણાવ્યા મુજબ, આ એવું હતું કે જાણે વિશ્વના સૌથી સુરક્ષિત તિજોરીના લોકનો પાસવર્ડ 0000 સેટ કરી દેવા બરાબર હતું. સામાન્ય રીતે ડિજિટલ કી શોધવી એ આખા બ્રહ્માંડમાંથી ઘાસના ઢગલામાંથી સોય શોધવા જેવું મુશ્કેલ હોય છે. પરંતુ આ કેસમાં કીની શક્યતાઓ માત્ર ૨૫૫ જેટલી જ મર્યાદિત હતી, જેથી એક સામાન્ય કોમ્પ્યુટરે પણ થોડી જ સેકન્ડોમાં સાચી કી શોધી શકાય. પરિણામે સાયબર ક્રિમિનલ્સ કોઈપણ રોકાણ કે મોટા હેકિંગ વગર સિક્યોરિટી કી કલોન કરી શકે છે. બજારમાં સુરક્ષાની જે સિસ્ટમ હતી તે મૂળથી જ તૂટેલી સાબિત થાય છે.

નકલી વેબસાઇટ બનાવવી અને ઓળખ ચોરી 

સિક્યોરિટી કી અથવા પ્રાઇવેટ કી એ વેબસાઇટની ખરી ઓળખનું પ્રતીક છે. જો કી હેકરના હાથમાં આવી જાય, તો તે અધિકૃત બેંક કે જાણીતી ઇ-કોમર્સ સાઇટના નામે બોગસ ડિજિટલ સર્ટિફિકેટ જનરેટ કરી શકે છે. કોઈ સાયબર હુમલાખોર ઈ મુદ્રાની લીક થયેલી કીનો ઉપયોગ કરીને [www.yourbank.com](https://www.yourbank.com) નામનું બોગસ TLS સર્ટિફિકેટ બનાવી લે છે. પરિણામે ગ્રાહક જ્યારે પોતાની બેંકની વેબસાઇટ ખોલશે ત્યારે બ્રાઉઝર તેને ‘સુરક્ષિત’ (Green Lock) બતાવશે, પરંતુ વાસ્તવમાં તે નકલી સાઇટ હશે. તેનાથી યુઝરના યુઝરનેમ, પાસવર્ડ, અને ક્રેડિટ કાર્ડ વિગતો સીધી હેકર્સ પાસે જતી રહેશે.

સર્વર-સાઇડ અને PHP એપ્લિકેશન્સમાં અપડેટનો અભાવ 

ગલ ક્રોમ, મોઝિલા ફાયરફોક્સ કે એપલ જેવા બ્રાઉઝર્સ કોઈપણ સિક્યોરિટી ઇન્સિડન્ટ પછી તુરંત પોતાની સિસ્ટમને અપડેટ કરીને નબળા સર્ટિફિકેટ્સને ‘બ્લોક’ કરી દે છે. પરંતુ, પિએચપી (PHP) અને અન્ય બેકએન્ડ સર્વર એપ્લિકેશન્સ જૂના OS સર્ટિફિકેટ બંડલ્સ અથવા ડિપેન્ડન્સીઝ પર ચાલતી હોય છે, જે ઓટોમેટિક અપડેટ થતી નથી. એક ઇ-કોમર્સ વેબસાઇટ પોતાના બેકએન્ડમાં પેમેન્ટ ગેટવે સાથે જોડાયેલી છે. જો તે વેબસાઇટની પીએચપી એપ્લિકેશનનું સર્ટિફિકેટ બંડલ અપડેટ ન થયું હોય, તો તે રદ થયેલા સર્ટિફિકેટ પર પણ વિશ્વાસ કરવાનું ચાલુ રાખશે. તેથી હેકર્સ પેમેન્ટ ગેટવે અને સાઇટ વચ્ચેના કનેક્શનને ઇન્ટરસેપ્ટ કરી શકે છે. તેઓ બનાવટી પેમેન્ટ રેસ્પોન્સ મોકલીને ‘ગ્રાહકે પૈસા ચૂકવી દીધા છે’ એવો ખોટો મેસેજ સેટ કરી શકે છે અથવા એપીઆઈ કી (API Keys) ચોરી શકે છે.

કોડ-સાઇનિંગ કીનું લીકેજ અને માલવેર પ્રસાર 

ઈ મુદ્રાના કેસમાં જે ૮ સર્ટિફિકેટ્સ લીક થયા, તેમાંથી ૨ સર્ટિફિકેટ્સ કોડ સાઈનિંગ માટેના હતા. કોડ સાઇનિંગ સર્ટિફિકેટ્સ સોફ્ટવેર બનાવનાર કંપનીની ઓળખ દર્શાવે છે. કોઈ હેકર આ લીક થયેલી કોડ સાઇનિંગ કીનો ઉપયોગ કરીને એક ખતરનાક વાયરસ/માલવેર સોફ્ટવેર બનાવે છે અને તેના પર અધિકૃત સાઇન લગાવી દે છે.  યુઝરના કમ્પ્યુટર કે ઓપરેટિંગ સિસ્ટમ તે માલવેરને ‘ઓરિજિનલ સિક્યોર સોફ્ટવેર’ ગણીને ઇન્સ્ટોલ કરવાની મંજૂરી આપી દેશે, જેનાથી આખા નેટવર્કમાં વાયરસ ફેલાઈ શકે છે.

જોખમોથી બચવા માટેના અધિકૃત ઉપાયો

સર્ટ-ઈન, ગૂગલ ક્રોમ રૂટ પ્રોગ્રામ, સોફોસ,ક્લાઉડફ્લેર અને એક્રોનિસ જેવા અધિકૃત સિક્યોરિટી સોર્સના આધારે બચાવના પગલાં નીચે મુજબ છે. ડેવલપર્સ અને આઈટી ટીમોએ બધાં સી.એ. બંડલ્સ અપડેટ કરવા પડે છે. ઓપરેટિંગ સિસ્ટમ CA બંડલ્સ, PHP ડિપેન્ડન્સીઝ, cURL સર્ટિફિકેટ સ્ટોર્સ અને Docker Container Images ને તાત્કાલિક અપડેટ કરો. બે, માત્ર બ્રાઉઝરમાં ચેક કરવાથી ગ્રાન્ટ મળતી નથી. એપ્લિકેશનના પિએચપી/એપીઆઇ (API) બેકએન્ડથી બહાર મોકલાતા HTTPS રિક્વેસ્ટની ચકાસણી કરો કે તે રદ થયેલા સર્ટિફિકેટ્સને નકારે છે કે નહીં. ત્રણ, મુશ્કેલીથી બચવા માટે કોડમાં SSL Verification = False કરવાની ભૂલ ક્યારેય ન કરો, આનાથી સિસ્ટમ સંપૂર્ણપણે અસુરક્ષિત થઈ જાય છે. ચાર, સોફોસના જણાવ્યા મુબજ જે કટોકટીપૂર્ણ સિસ્ટમ્સમાં પેચ કે અપડેટ ઇન્સ્ટોલ થઈ શકે તેમ ન હોય, તેને જ્યાં સુધી  સુરક્ષિત ન કરાય ત્યાં સુધી ઇન્ટરનેટ કનેક્શનથી અલગ (Isolate) રાખવી.

સામાન્ય યુઝર્સ માટે

ગુગલ ક્રોમ, આઇફોન (iOS), વિન્ડોઝ અને મેક OS માં આવતા તમામ સિક્યોરિટી અપડેટ્સ તુરંત ઇન્સ્ટોલ કરો. જ્યારે બ્રાઉઝર “Your connection is not private” અથવા “Certificate Invalid” ની ચેતવણી આપે, ત્યારે ‘Proceed Anyway’ કરીને આગળ વધશો નહીં.

• નોંધ (ભારતીય ડિજિટલ સિગ્નેચર અંગે): CERT-In ના સ્પષ્ટીકરણ મુજબ, આ ઘટનાથી ભારતના સ્થાનિક Digital Signature Certificate (DSC) કે eSign સેવાઓ પર કોઈ અસર પડી નથી, તેથી સામાન્ય ભારતીય ડિજિટલ સાઇન યુઝર્સે ગભરાવાની જરૂર નથી.