ہندوستان کی ڈیجیٹل سکیورٹی پر سوال، عالمی ٹیک کمپنیوں کے اقدامات تیز

ہندوستان کی ڈیجیٹل سرٹیفکیٹ فراہم کرنے والی کمپنی ای مُدرا سے متعلق سائبر سکیورٹی کے ایک سنگین معاملے کے بعد گوگل، موزیلا اور دیگر عالمی ٹیکنالوجی کمپنیوں نے حفاظتی اقدامات تیز کردیے ہیں۔

اس واقعہ کے بعد ان ویب سائٹس کی سلامتی اور دستیابی کے بارے میں خدشات پیدا ہوگئے ہیں جو متاثرہ ڈیجیٹل سرٹیفکیٹس پر انحصار کرتی ہیں۔ ان میں سرکاری ویب سائٹس اور آن لائن خدمات بھی شامل ہوسکتی ہیں، تاہم تمام سرکاری ویب سائٹس کے متاثر ہونے کی تصدیق نہیں ہوئی ہے۔

سکیورٹی محققین نے انکشاف کیا کہ ای مُدرا کی جانب سے جاری کردہ آٹھ درمیانی درجے کے ڈیجیٹل سرٹیفکیٹس سے وابستہ خفیہ کلیدیں انتہائی کمزور تھیں اور انہیں بہت کم کوشش کے ذریعے حاصل کیا جاسکتا تھا۔ اس انکشاف کے بعد گوگل، موزیلا اور دیگر ٹیکنالوجی کمپنیوں نے متاثرہ سرٹیفکیٹس کو بلاک کرنے اور اپنے حفاظتی نظام کو مضبوط بنانے کے اقدامات شروع کردیے۔

اس مسئلے کے باعث بعض جائز ویب سائٹس تک رسائی میں رکاوٹ پیدا ہوسکتی ہے، کیونکہ براؤزر متاثرہ سرٹیفکیٹس کو قبول کرنے سے انکار کرسکتے ہیں۔ اگر کسی سرکاری ویب سائٹ کا سکیورٹی سرٹیفکیٹ متاثرہ سرٹیفکیٹ یا اس سے منسلک سرٹیفکیٹ نظام پر منحصر ہے تو صارفین کو سکیورٹی وارننگ مل سکتی ہے یا ویب سائٹ کھولنے میں ناکامی کا سامنا کرنا پڑسکتا ہے۔ ایسی صورت میں متعلقہ ویب سائٹ کے منتظمین کو قابل اعتماد سرٹیفکیٹس حاصل کرکے انہیں نصب کرنا ہوگا۔

تاہم، اس مسئلے کا اثر تمام ویب سائٹس پر یکساں نہیں ہوگا۔ اس کا انحصار اس بات پر ہے کہ ویب سائٹ کون سا سرٹیفکیٹ استعمال کررہی ہے، متعلقہ براؤزر کی سکیورٹی پالیسی کیا ہے اور ویب سائٹ کے منتظمین نے متاثرہ سرٹیفکیٹ کی جگہ نیا سرٹیفکیٹ نصب کیا ہے یا نہیں۔ اس بات کا بھی کوئی مصدقہ ثبوت نہیں ہے کہ بھارت کی تمام سرکاری ویب سائٹس بڑے براؤزرز پر بند ہوجائیں گی یا ہندوستانی براؤزر اس مسئلے سے مکمل طور پر محفوظ رہیں گے۔

ای مُدرا سے متعلق سکیورٹی مسئلہ 17 اکتوبر کو سامنے آیا، جب ایک سکیورٹی محقق نے اطلاع دی کہ کمپنی کی جانب سے جاری کردہ آٹھ درمیانی درجے کے سرٹیفکیٹس کی خفیہ کلیدیں حاصل کی جاسکتی ہیں۔ موزیلا کی سکیورٹی ٹیم کے مطابق، متاثرہ سرٹیفکیٹس میں سے چھ ویب سائٹس کے ساتھ محفوظ رابطے قائم کرنے کے لیے استعمال ہونے والے ٹی ایل ایس سرٹیفکیٹس تھے، جبکہ دو سافٹ ویئر کوڈ کی تصدیق کے لیے استعمال ہوتے تھے۔

تحقیقات میں معلوم ہوا کہ ان سرٹیفکیٹس کی خفیہ کلیدیں تیار کرتے وقت مناسب درجے کی اتفاقی اور غیر متوقع معلومات استعمال نہیں کی گئیں۔ حالانکہ ان سرٹیفکیٹس کے لیے پی 384 نامی جدید کرپٹوگرافک معیار استعمال کیا جانا تھا، لیکن خفیہ کلیدوں کی کمزوری اتنی شدید تھی کہ محققین انہیں تقریباً فوری طور پر حاصل کرنے میں کامیاب ہوگئے۔

ڈیجیٹل سکیورٹی میں خفیہ کلید ایک بنیادی حیثیت رکھتی ہے، کیونکہ اسے غیر متعلقہ افراد کی پہنچ سے دور رکھا جاتا ہے اور اسے اندازے سے حاصل کرنا عملی طور پر انتہائی مشکل ہونا چاہیے۔ اس معاملے میں کلیدوں کی کمزوری نے اسی بنیادی حفاظتی اصول کو متاثر کیا۔
متاثرہ خفیہ کلیدوں کا غلط استعمال کرتے ہوئے ایسے جعلی ڈیجیٹل سرٹیفکیٹس تیار کیے جاسکتے تھے جن کے ذریعے حملہ آور کسی دوسری تنظیم کی ویب سائٹ کی نقل کرسکتا تھا۔ بعض نیٹ ورک حالات میں اس طریقے سے صارفین اور ویب سائٹ کے درمیان ہونے والی گفتگو کو خفیہ طور پر پڑھنے یا اس میں تبدیلی کرنے کا خطرہ بھی پیدا ہوسکتا تھا۔ اسی وجہ سے یہ معاملہ صرف ای مُدرا تک محدود نہیں رہا بلکہ ان تمام براؤزرز اور آپریٹنگ سسٹمز کی سکیورٹی کے لیے اہم بن گیا جن کے نظام میں ان سرٹیفکیٹس پر اعتماد کیا جاتا تھا۔
ڈیجیٹل سرٹیفکیٹس انٹرنیٹ پر محفوظ رابطوں کے لیے انتہائی اہم ہیں۔ ایچ ٹی ٹی پی ایس کے ذریعے صارفین اور ویب سائٹس کے درمیان ہونے والی معلومات کی ترسیل کو خفیہ رکھا جاتا ہے۔ جب کوئی صارف محفوظ ویب سائٹ کھولتا ہے تو براؤزر اس کے سرٹیفکیٹ کی جانچ کرتا ہے کہ آیا وہ درست ہے، ویب سائٹ کے ڈومین سے مطابقت رکھتا ہے اور کسی قابل اعتماد سرٹیفکیٹ جاری کرنے والے ادارے سے منسلک ہے یا نہیں۔
اگر براؤزر کسی سرٹیفکیٹ یا اس کے سلسلے میں شامل کسی ادارے پر اعتماد ختم کردے تو وہ صارف کو سکیورٹی وارننگ دکھا سکتا ہے یا ویب سائٹ کا رابطہ روک سکتا ہے۔ اس صورت میں ویب سائٹ اصلی ہونے اور اس کے سرور کو ہیک نہ کیے جانے کے باوجود صارفین کو اس تک رسائی میں دشواری ہوسکتی ہے۔

سرکاری پورٹلز میں شہری خدمات، آن لائن درخواستوں، ادائیگیوں، دستاویزات ڈاؤن لوڈ کرنے اور دیگر ڈیجیٹل لین دین کی سہولتیں فراہم کرنے والی ویب سائٹس پر خصوصی توجہ دینے کی ضرورت ہے۔ تاہم، کسی ویب سائٹ کے سرکاری ڈومین پر موجود ہونے کی بنیاد پر یہ فرض نہیں کیا جاسکتا کہ وہ لازماً متاثر ہوئی ہے۔ ہر پورٹل کے سرٹیفکیٹ کی جانچ کے بعد ہی اس کے خطرے کی حقیقی سطح کا تعین کیا جاسکتا ہے۔

یہ مسئلہ صرف سرکاری ویب سائٹس تک محدود نہیں ہے۔ نجی کمپنیاں، مالیاتی ادارے، آن لائن پلیٹ فارمز اور دیگر تنظیمیں بھی متاثر ہوسکتی ہیں، اگر وہ متاثرہ سرٹیفکیٹ نظام استعمال کررہی ہوں۔

گوگل کی کروم سکیورٹی ٹیم نے 20 اکتوبر کو بتایا کہ اسے متاثرہ خفیہ کلیدوں کے بارے میں اطلاع ملی تھی اور اس نے تحقیقات کے بعد ان نتائج کی تصدیق کی۔ اس کے بعد کروم نے سرٹیفکیٹ ری ووکیشن لسٹ سیٹس نامی نظام کے ذریعے متاثرہ درمیانی سرٹیفکیٹس کی شناخت سے متعلق حفاظتی پابندیاں نافذ کردیں۔ گوگل کے مطابق، یہ تحفظ فراہم کرنے کے لیے صارفین کو براؤزر اپ ڈیٹ نصب کرنے یا کروم کو دوبارہ شروع کرنے کی ضرورت نہیں تھی۔

گوگل نے اس کے ساتھ ایک اور اہم قدم اٹھانے کا اعلان بھی کیا۔ کمپنی نے کروم روٹ اسٹور سے ای ایم سائن ای سی سی روٹ سی اے۔ جی تھری سرٹیفکیٹ کو ہٹانے کا فیصلہ کیا ہے۔ یہ تبدیلی 27 اکتوبر 2026 کو پیسیفک ڈے لائٹ ٹائم کے مطابق جاری کی جانے والی اپ ڈیٹ کے ذریعے ان آلات تک پہنچانے کا منصوبہ ہے جو کروم کے روٹ اسٹور پر انحصار کرتے ہیں۔ اس تبدیلی کو کروم کے ابتدائی آزمائشی ورژنز میں پہلے بھی متعارف کرایا جاسکتا ہے۔

اس وسیع تر اقدام کے نتیجے میں ایسی جائز ویب سائٹس بھی متاثر ہوسکتی ہیں جن کے سرٹیفکیٹس اسی بنیادی سرٹیفکیٹ سے منسلک ہیں، چاہے ان ویب سائٹس کی جانب سے متاثرہ خفیہ کلیدوں کا غلط استعمال نہ کیا گیا ہو۔ گوگل نے متعلقہ ویب سائٹس کے منتظمین سے کہا ہے کہ وہ کسی دوسرے قابل اعتماد سرٹیفکیٹ نظام سے نئے ٹی ایل ایس سرٹیفکیٹس حاصل کرکے نصب کریں۔

یہاں دو اقدامات کے درمیان فرق کو سمجھنا ضروری ہے۔ متاثرہ درمیانی سرٹیفکیٹس کو بلاک کرنے کا مقصد فوری سکیورٹی خطرے کو کم کرنا ہے، جبکہ بنیادی سرٹیفکیٹ کو کروم کے قابل اعتماد سرٹیفکیٹس کی فہرست سے ہٹانے کے نتیجے میں اس نظام پر انحصار کرنے والی مزید ویب سائٹس کو اپنے سرٹیفکیٹس تبدیل کرنے کی ضرورت پڑسکتی ہے۔

موزیلا نے بھی متاثرہ درمیانی سرٹیفکیٹس کو فائر فاکس براؤزر میں اپنے ون سی آر ایل نظام کے ذریعے بلاک کردیا۔ کمپنی کے مطابق، یہ حفاظتی اقدام 17 اکتوبر کو ان صارفین تک پہنچ گیا تھا جن کے براؤزر کی ترتیبات معمول کے مطابق تھیں۔ اس کے لیے براؤزر اپ ڈیٹ کرنے یا اسے دوبارہ شروع کرنے کی ضرورت نہیں تھی۔

20 اکتوبر کو موزیلا نے فائر فاکس کے ڈیسک ٹاپ اور اینڈرائڈ ورژنز کے علاوہ اپنے ایکسٹینڈڈ سپورٹ ریلیز ورژنز کے لیے بھی اپ ڈیٹس جاری کرنے کا اعلان کیا، تاکہ ایسے صارفین کو بھی تحفظ فراہم کیا جاسکے جن کی براؤزر ترتیبات کے باعث پہلے حفاظتی اقدامات ان تک نہیں پہنچ سکے تھے۔

اطلاعات کے مطابق، ایپل اور مائیکروسافٹ کو بھی اس معاملے سے آگاہ کیا گیا ہے اور انہوں نے اپنے متعلقہ سکیورٹی نظاموں میں متاثرہ سرٹیفکیٹس سے نمٹنے کے لیے اقدامات کیے ہیں یا انہیں شروع کردیا ہے۔ مختلف ٹیکنالوجی کمپنیوں کے ان اقدامات سے ظاہر ہوتا ہے کہ اس مسئلے کو کسی ایک ویب سائٹ کی کمزوری کے بجائے انٹرنیٹ کے وسیع تر سکیورٹی نظام سے متعلق معاملہ سمجھا جارہا ہے۔

تاہم، مختلف براؤزرز، آپریٹنگ سسٹمز، ایپلی کیشنز اور ڈیولپمنٹ ٹولز میں سرٹیفکیٹس پر اعتماد کرنے کا طریقہ مختلف ہوسکتا ہے۔ اس لیے بعض ایپلی کیشنز اس وقت تک خطرے سے دوچار رہ سکتی ہیں جب تک انہیں ضروری سکیورٹی اپ ڈیٹس فراہم نہیں کردی جاتیں۔

دوسری جانب، ای مُدرا نے 20 اکتوبر کو جاری اپنے بیان میں کہا کہ یہ معاملہ مخصوص درمیانی سرٹیفکیٹس سے متعلق ہے، جنہیں اپریل 2025 میں خفیہ کلیدیں تیار کرنے کے ایک عمل کے دوران بنایا گیا تھا۔ کمپنی کے مطابق، متاثرہ سرٹیفکیٹس میں سے صرف ایک کے علاوہ باقی کو عملی نظام میں استعمال نہیں کیا گیا تھا، جبکہ ان میں سے کسی نے بھی صارفین یا اداروں کو جاری کیے جانے والے آخری درجے کے سرٹیفکیٹس جاری نہیں کیے تھے۔

کمپنی نے کہا کہ اس کی داخلی تحقیقات اور عوامی طور پر دستیاب سرٹیفکیٹ ٹرانسپیرنسی ریکارڈز بھی اس جائزے کی تائید کرتے ہیں۔ ای مُدرا کے مطابق، اس نے واقعے سے نمٹنے کے لیے کارروائی شروع کردی ہے، متاثرہ سرٹیفکیٹس کے خطرے کو محدود کرنے کے اقدامات کیے ہیں اور براؤزرز و بنیادی سرٹیفکیٹ نظام کے منتظمین کے ساتھ مل کر کام کررہی ہے۔

ای مُدرا نے یہ بھی کہا کہ اس واقعے سے اس کی بنیادی سرٹیفکیٹ اتھارٹی کی خفیہ کلیدیں اور اس کے دیگر درمیانی سرٹیفکیٹ ادارے متاثر نہیں ہوئے ہیں۔

کمپنی کا یہ بیان واقعے کے فوری اثرات کا اندازہ لگانے کے لیے اہم ہے۔ تاہم، براؤزر کمپنیوں کی جانب سے متاثرہ سرٹیفکیٹس کو بلاک کرنے اور گوگل کی جانب سے متعلقہ بنیادی سرٹیفکیٹ کو کروم کے قابل اعتماد نظام سے ہٹانے کے فیصلے کے باعث ان ویب سائٹس کے لیے الگ نوعیت کی مشکلات پیدا ہوسکتی ہیں جو اس سرٹیفکیٹ نظام پر انحصار کرتی ہیں۔

اس معاملے میں یہ جاننا بھی ضروری ہے کہ خفیہ کلیدیں تیار کرنے کے عمل میں کمزوری کیسے پیدا ہوئی، سرٹیفکیٹس کے اجرا کے نظام میں کون سی خامیاں موجود تھیں اور مستقبل میں ایسے واقعات کو روکنے کے لیے کیا اقدامات کیے جانے چاہییں۔

اس واقعے کے بعد یہ سوال بھی اٹھ رہا ہے کہ آیا ہندوستانی براؤزرز کے ذریعے متاثرہ ویب سائٹس تک رسائی برقرار رہے گی۔ ماہرین کے مطابق، صرف ہندوستان میں تیار کیا گیا براؤزر ہونے کی بنیاد پر کسی ویب سائٹ تک محفوظ رسائی کی ضمانت نہیں دی جاسکتی۔
کسی بھی براؤزر کے ذریعے ویب سائٹ کھلنے یا نہ کھلنے کا انحصار اس کے قابل اعتماد سرٹیفکیٹس کے نظام، سرٹیفکیٹ کی تصدیق کے طریقہ کار اور موصول ہونے والی سکیورٹی اپ ڈیٹس پر ہوتا ہے۔ اگر کوئی ہندوستانی براؤزر بھی اسی متاثرہ سرٹیفکیٹ نظام پر انحصار کرتا ہے، یا اس کے قابل اعتماد سرٹیفکیٹس کی فہرست سے بھی متعلقہ سرٹیفکیٹ ہٹا دیا گیا ہے، تو اس میں بھی ویب سائٹ کھولنے میں ناکامی ہوسکتی ہے۔

اس کے برعکس، اگر کسی براؤزر کو ابھی تک سرٹیفکیٹ منسوخی سے متعلق معلومات موصول نہیں ہوئی ہیں تو ممکن ہے کہ وہ ایسے سرٹیفکیٹ کو قبول کرتا رہے جسے دوسرے براؤزرز مسترد کررہے ہوں۔ لیکن اس کا مطلب یہ نہیں کہ اس براؤزر کے ذریعے رابطہ زیادہ محفوظ ہے۔

صارفین کو مشورہ دیا گیا ہے کہ وہ کسی ویب سائٹ تک رسائی حاصل کرنے کے لیے سکیورٹی وارننگ کو نظر انداز نہ کریں اور نہ ہی محض اس وجہ سے براؤزر تبدیل کریں کہ دوسرا براؤزر ویب سائٹ کو غیر محفوظ قرار دے رہا ہے۔ ایسا کرنے سے وہ جعلی ویب سائٹس، شناخت کی نقل اور معلومات کی چوری جیسے خطرات سے دوچار ہوسکتے ہیں۔

اس مسئلے کا مناسب حل یہی ہے کہ ویب سائٹس کے منتظمین متاثرہ سرٹیفکیٹس کی جگہ نئے اور قابل اعتماد سرٹیفکیٹس نصب کریں، جبکہ براؤزر اور سافٹ ویئر تیار کرنے والی کمپنیاں ضروری حفاظتی اپ ڈیٹس فراہم کریں۔

یہ واقعہ ہندوستان کے تیزی سے پھیلتے ہوئے ڈیجیٹل نظام کے لیے بھی ایک اہم سبق ہے۔ سرکاری پورٹلز، آن لائن ادائیگیوں، الیکٹرانک دستخطوں اور مختلف ڈیجیٹل خدمات کی سلامتی کا انحصار ڈیجیٹل سرٹیفکیٹس پر ہوتا ہے۔ براؤزر کمپنیوں نے جعلی سرٹیفکیٹس کے ممکنہ غلط استعمال سے پیدا ہونے والے فوری خطرات کو کم کرنے کے لیے اقدامات کیے ہیں، لیکن مکمل طور پر مسئلے پر قابو پانے کے لیے متاثرہ ویب سائٹس کے منتظمین اور سافٹ ویئر فراہم کرنے والوں کو ضروری تبدیلیاں جلد از جلد مکمل کرنا ہوں گی۔