eMudhra की सुरक्षा में कहां हुई चूक, क्या सरकार के पास भी सुरक्षित नहीं है आपका डेटा?

SBI से eMudhra तक, सवाल सिर्फ डेटा लीक का नहीं, उस सिस्टम पर भरोसे का है जिसे प्रशासन हम पर थोपी तो नहीं पर लगातार बढ़ावा ज़रूर दे रही है. प्रशासन चाहती है कि हम हर काम डिजिटल तरीके से करें. बैंकिंग ऑनलाइन हो, डॉक्यूमेंट ऑनलाइन हों, पहचान डिजिटल हो और प्रशासनी सेवाओं के लिए भी हमें ऑनलाइन सिस्टम से होकर गुजरना पड़े. Digital India को देश के विकास और आधुनिक हिंदुस्तान की पहचान के तौर पर पेश किया जाता है.

लेकिन एक सवाल है जिस पर उतनी चर्चा नहीं होती जब प्रशासन हमें अपना डेटा डिजिटल सिस्टम में रखने के लिए कह रही है, तो क्या उस डेटा और सिस्टम की सुरक्षा भी उतनी ही मज़बूत है?

हाल ही में SBI के ग्राहकों की जानकारी कथित तौर पर डार्क वेब पर लिक होने की समाचार आई थी. अब eMudhra के मामले ने डिजिटल सुरक्षा को लेकर एक और गंभीर सवाल खड़ा कर दिया है. SBI और eMudhra के मामले अलग हैं, लेकिन दोनों हमें यह सोचने पर मजबूर करते हैं कि डिजिटल सिस्टम पर भरोसा करने वाले आम लोगों की डेटा की सुरक्षा कैसे होगी जब प्रशासन अपने ही डेटा को नहीं संभाल पा रही है.

पहले समझिए, eMudhra करती क्या है?

eMudhra कोई साधारण टेक कंपनी नहीं है. यह डिजिटल सिग्नेचर, इलेक्ट्रॉनिक साइन और डिजिटल सर्टिफिकेट जैसी सेवाएँ देती है. आसान भाषा में समझें तो जब आपको किसी प्रशासनी या कारोबारी दस्तावेज़ पर डिजिटल सिग्नेचर करना होता है, तो डिजिटल सिग्नेचर सर्टिफिकेट आपकी पहचान साबित करने में मदद करता है. इसी तरह, जब आप किसी वेबसाइट को खोलते हैं, तो आपका ब्राउज़र उसके डिजिटल सर्टिफिकेट की मदद से यह जाचता है कि वह सही वेबसाइट से जुड़ रहा है या नहीं.

यानी डिजिटल दुनिया में किस पर भरोसा करना है, तो यह तय करने में ऐसे सर्टिफिकेट की अहम भूमिका होती है. eMudhra के कारोबार का एक हिस्सा वेबसाइटों और सॉफ्टवेयर के लिए ऐसे सर्टिफिकेट जारी करने से जुड़ा है, जिन पर दुनिया भर के ब्राउज़र और ऑपरेटिंग सिस्टम भरोसा करते हैं. अब सोचिए, अगर इसी सिस्टम में कोई बड़ी खामी आ जाए, तो मामला कितना गंभीर हो सकता है.

इससे क्या खतरा पैदा हो सकता था?

अगर किसी साइबर हैकर के पास ऐसी private key आ जाए, तो वह उसके आधार पर फर्जी डिजिटल सर्टिफिकेट बनाने की कोशिश कर सकता है. इसका मतलब यह हो सकता है कि कोई नकली वेबसाइट असली वेबसाइट जैसी दिखे और कुछ परिस्थितियों में ब्राउज़र भी उसे असली समझ ले. ऐसे में हैकर के पास यह भी कण्ट्रोल होगा की वह नेटवर्क ट्रैफिक को भी बीच में रोक दे. जिससे यूजर को नुकसान होगा.

सॉफ्टवेयर के सर्टिफिकेटों से जुड़ी चाबियों (Keys) का गलत इस्तेमाल करके नकली सॉफ्टवेयर को भरोसेमंद दिखाने का खतरा भी हो सकता है. यानी यह सिर्फ किसी कंपनी के कंप्यूटर में आई खराबी नहीं थी. यह उस व्यवस्था से जुड़ी खामी थी, जिस पर इंटरनेट पर वेबसाइटों और सॉफ्टवेयर की पहचान के लिए भरोसा किया जाता है. हालांकि, अभी तक उपलब्ध जानकारी से बड़े पैमाने पर किसी नुकसान की पुष्टि नहीं होती.

लेकिन सवाल फिर भी बना रहता है, जब इतनी बुनियादी सुरक्षा खामी मौजूद थी, तो इसका पता पहले क्यों नहीं चला?

दो साल तक ऑडिट, फिर भी इतनी बड़ी चूक कैसे?

इस मामले में सबसे ज़रूरी सवाल सुरक्षा जाँच को लेकर है. रिपोर्टों के मुताबिक, eMudhra के संबंधित अंतरराष्ट्रीय कारोबार का स्वतंत्र ऑडिट हुआ था. इसके बावजूद private keys बनाने की प्रक्रिया में गंभीर कमजोरी सामने आई. कंपनी ने अपनी शुरुआती सफाई में कहा कि एक प्रक्रिया में हुई गलती से सही keys के साथ कमजोर keys का दूसरा सेट बन गया. दोनों के नाम मिलते-जुलते थे, जिसके कारण गलत keys इस्तेमाल हो गईं. लेकिन यहाँ सवाल सिर्फ कंपनी की सफाई का नहीं है.

अगर किसी सिस्टम की सुरक्षा की जाच हो रही है, तो क्या उसमें यह भी देखा जाता है कि keys सही तरीके से बनाई जा रही हैं या नहीं? क्या जांच करने वालों ने इस प्रक्रिया को ठीक से परखा था? और अगर जांच हुई थी, तो इतनी बड़ी गलती पकड़ में क्यों नहीं आई?

इन सवालों के जवाब सामने आना जरूरी है. क्योंकि ऑडिट सिर्फ कागज पर टिक लगाने का नाम नहीं होना चाहिए. उसका मकसद ही यह है कि ऐसी गलतिया समय रहते पकड़ी जाए, इससे पहले कि वे बड़े खतरे में बदले.

रिपोर्ट्स ने भी उठाए सुरक्षा जांच पर सवाल

eMudhra की सुरक्षा में सामने आई खामी के बाद सवाल उठ रहे हैं कि आखिर इतनी बड़ी गलती सुरक्षा जांच के दौरान पकड़ में क्यों नहीं आई. Internet Freedom Foundation (IFF) ने 22 अक्टूबर 2026 को प्रकाशित अपनी रिपोर्ट में कंपनी की सुरक्षा व्यवस्था, जांच और प्रशासनी निगरानी पर सवाल उठाए. संगठन ने eMudhra, CERT-In और MeitY से मामले की विस्तृत जांच कराने और उसकी रिपोर्ट सार्वजनिक करने की मांग की.

वहीं, Google ने 20 अक्टूबर को जारी अपनी रिपोर्ट में बताया कि eMudhra के आठ डिजिटल सर्टिफिकेटों से जुड़ी गुप्त चाबियां (Private Keys) बनाते समय सुरक्षा से जुड़ी गंभीर गलती हुई थी. ये Keys इतनी मजबूत और सुरक्षित नहीं थी. कोई भी आसानी से पता लगा सकता था. अगर किसी के हाथ ऐसी Key लग जाए, तो वह उसका गलत इस्तेमाल करके फर्जी डिजिटल सर्टिफिकेट बनाने की कोशिश कर सकता है. इससे कुछ परिस्थितियों में नकली वेबसाइट को असली दिखाने या इंटरनेट पर भेजी जा रही जानकारी पर खतरा हो सकता है.

प्रशासन की जिम्मेदारी कहां से शुरू होती है?

अब सबसे अहम सवाल प्रशासन से है.

eMudhra की हिंदुस्तानीय डिजिटल सिग्नेचर और eSign सेवाओं की निगरानी MeitY के तहत आने वाला Controller of Certifying Authorities करता है. लेकिन जिस घटना की चर्चा हो रही है, वह कंपनी के अंतरराष्ट्रीय वेबसाइट सर्टिफिकेट कारोबार से जुड़ी है. CERT-In ने साफ किया है कि हिंदुस्तान की घरेलू डिजिटल सिग्नेचर और eSign सेवाएं इस घटना से प्रभावित नहीं बताई गई हैं. इस अंतर को समझना जरूरी है. इसका मतलब यह नहीं कि हिंदुस्तान की हर डिजिटल सेवा खतरे में थी. लेकिन प्रशासन की जिम्मेदारी पर सवाल फिर भी उठता है. जब देश में डिजिटल सेवाओ का इस्तेमाल बढ़ाया जा रहा है, तो उन सेवाओ और उनसे जुड़े इंफ्रास्ट्रक्चर की सुरक्षा पर निगरानी कितनी प्रभावी है?

क्या सुरक्षा मानकों की जाच सिर्फ नियम पूरे करने के लिए होती है, या वास्तव में सिस्टम की कमजोरियों को पकड़ने के लिए भी होता है? अगर किसी कंपनी के सिस्टम में इतनी बड़ी खामी सामने आती है, तो उसकी वजह पता लगाने और भविष्य में ऐसी गलती रोकने के लिए क्या किया जाएगा? और सबसे महत्वपूर्ण बात, क्या जांच के नतीजे आम लोगों के सामने साफ-साफ रखे जाएंगे?

प्रशासन ने इस मामले की जांच के लिए एक विशेष टीम बनाई है. CERT-In ने एडवाइजरी जारी की और Google तथा Mozilla जैसे ब्राउजर बनाने वाली कंपनियों ने प्रभावित सर्टिफिकेटों को ब्लॉक कर दिया है. लेकिन किसी समस्या के सामने आने के बाद कार्रवाई करना और ऐसी समस्या को पहले ही रोक पाने की व्यवस्था बनाना, दोनों अलग बात हैं.

अगर Google और Mozilla ने कार्रवाई की, तो सवाल और भी ज़रूरी है

इस घटना में Google और Mozilla ने प्रभावित सर्टिफिकेटों को ब्लॉक किया. इससे उन ब्राउज़रो में जोखिम कम करने में मदद मिली जो उनके सुरक्षा अपडेट और सर्टिफिकेट ब्लॉक करने वाली व्यवस्था का इस्तेमाल करते हैं. यह अच्छी बात है कि सुरक्षा शोधकर्ताओं और ब्राउजर कंपनियों ने समस्या को पहचाना और कार्रवाई की. लेकिन इससे एक सवाल निकलता है, क्या डिजिटल सुरक्षा के इतने अहम हिस्से में किसी बड़ी कमजोरी का पता लगने के बाद ही कार्रवाई होनी चाहिए? क्या ऐसी व्यवस्था नहीं होनी चाहिए जो गलती को पहले पहचान सके?

यहा प्रशासन से सवाल करना गलत नहीं है. प्रशासन हर निजी कंपनी की हर तकनीकी गलती के लिए सीधे जिम्मेदार नहीं होती, लेकिन सुरक्षा के नियम बनाना, उनकी निगरानी करना और गंभीर घटनाओं के बाद जवाबदेही तय करने की व्यवस्था सुनिश्चित करना उसकी अहम जिम्मेदारी है. Digital India की बात करते समय इस जिम्मेदारी को नजरअंदाज नहीं किया जा सकता है.

Digital India में सिर्फ इंटरनेट नहीं, सुरक्षा भी चाहिए

डिजिटल सेवाओ का विस्तार होना चाहिए या नहीं, बहस यह नहीं है. ऑनलाइन बैंकिंग, डिजिटल सिग्नेचर और प्रशासनी सेवाओं से लोगों को सुविधा मिलती है. लेकिन सुविधा के साथ सुरक्षा भी उतनी ही जरूरी है. अगर प्रशासन लोगों से कहती है कि वे अपने डॉक्यूमेंट और काम डिजिटल सिस्टम से जोड़ें, तो उसे यह भी सुनिश्चित करना होगा कि सुरक्षा के नियम प्रभावी हों, ऑडिट ठीक से हों और किसी बड़ी खामी के सामने आने पर लोगों को सही जानकारी मिले.

eMudhra के मामले में अभी तक यह साबित नहीं हुआ है कि हिंदुस्तानीय नागरिकों का निजी डेटा बड़े पैमाने पर चोरी हुआ. कंपनी और CERT-In के मुताबिक, हिंदुस्तान की घरेलू eSign और डिजिटल सिग्नेचर सेवाएं इस घटना से प्रभावित नहीं थी. लेकिन इसका मतलब यह नहीं कि सवाल खत्म हो जाते हैं. किसी सिस्टम से नुकसान होने के बाद सवाल पूछना जरूरी है, लेकिन उससे भी ज़्यादा जरूरी यह है कि ऐसी गलती हुई ही क्यों और उसे रोकने की जिम्मेदारी किसकी थी.

Digital India सिर्फ ऐप, वेबसाइट और ऑनलाइन सेवाओं का नाम नहीं होना चाहिए. इसका मतलब ऐसी डिजिटल व्यवस्था भी होना चाहिए जिस पर लोग भरोसा कर सके और जिसमें कोई बड़ी गलती होने पर जिम्मेदार संस्थाओं से जवाब मागा जा सके. क्योंकि जब प्रशासन नागरिको से डिजिटल होने की उम्मीद करती है, तो नागरिको को भी यह उम्मीद रखने का पूरा हक है कि उनकी सुरक्षा को गंभीरता से लिया जाएगा.

आखिर में सवाल वही है, अगर डिजिटल हिंदुस्तान में भरोसा सबसे जरूरी चीज है, तो उस भरोसे की सुरक्षा की जवाबदेही कौन लेगा?

The post eMudhra की सुरक्षा में कहां हुई चूक, क्या प्रशासन के पास भी सुरक्षित नहीं है आपका डेटा? appeared first on Naya Vichar.