இமுத்ரா எண்ம கையொப்ப சான்றுகளில் பாதுகாப்புக் குறைபாடு: 'CERT-In' இணைய அச்சுறுத்தல் எச்சரிக்கை

1. அறிமுகம் மற்றும் வரலாற்றுப் பின்னணி

டிஜிட்டல் இந்தியா மற்றும் காகிதமில்லா மின்-ஆளுமைத் திட்டங்களின் பிரதான முதுகெலும்பாக எண்ம (டிஜிட்டல்) கையொப்பங்கள் (Digital Signatures) விளங்குகின்றன.
2000-ஆம் ஆண்டு இயற்றப்பட்ட தகவல் தொழில்நுட்பச் சட்டம் (IT Act, 2000), மின்னணு ஆவணங்களுக்கும் டிஜிட்டல் கையொப்பங்களுக்கும் சட்டப்பூர்வ அந்தஸ்தை வழங்கியது.
மின்னணுப் பரிவர்த்தனைகள் மற்றும் ஆவணங்களை அங்கீகரிக்க 'பொது சாவி உள்கட்டமைப்பு' (Public Key Infrastructure - PKI) மற்றும் சான்றளிக்கும் அதிகார அமைப்புகள் (Certifying Authorities - CA) உருவாக்கப்பட்டன.
இந்தியாவில் உரிமம் பெற்ற முதன்மையான சான்றளிக்கும் அதிகார அமைப்புகளில் ஒன்றான 'இமுத்ரா' (eMudhra), அரசு டெண்டர்கள், கார்ப்பரேட் வங்கிப் பரிவர்த்தனைகள் மற்றும் வர்த்தகங்களுக்கு மில்லியன் கணக்கான சான்றிதழ்களை வழங்கியுள்ளது.
இந்நிலையில், இமுத்ரா நிறுவனத்தின் டிஜிட்டல் குறியீடுகளில் ஏற்பட்டுள்ள தொழில்நுட்பக் குறைபாடு நாட்டின் ஒட்டுமொத்த இணையப் பாதுகாப்பு வட்டாரத்தில் பெரும் அதிர்வலைகளை ஏற்படுத்தியுள்ளது.

2. முக்கிய நிகழ்வு மற்றும் விரிவான அம்சங்கள்

மத்திய அரசின் மின்னணு மற்றும் தகவல் தொழில்நுட்ப அமைச்சகத்தின் கீழ் செயல்படும் இணையப் பாதுகாப்பு அமைப்பான 'CERT-In' (இந்திய கணினி அவசர கால செயல்பாட்டுக் குழு), இமுத்ரா நிறுவனத்தின் உறுதிச் சான்றுகளில் ஏற்பட்டுள்ள கடுமையான பாதுகாப்புக் குறைபாடு குறித்து எச்சரிக்கை விடுத்துள்ளது.
இமுத்ரா வழங்கிய 8 டிஜிட்டல் உறுதிச் சான்றுகளுடன் தொடர்புடைய தனிப்பட்ட சாவிகளை (Private Keys) எளிதில் கண்டறியும் விதமாக அல்காரித குறைபாடு ஏற்பட்டுள்ளது கண்டுபிடிக்கப்பட்டுள்ளது.
இக்குறைபாட்டைப் பயன்படுத்தும் சர்வதேச ஹேக்கர்கள் மற்றும் மோசடி நபர்கள், போலி டிஜிட்டல் சான்றிதழ்களை உருவாக்கி நம்பகமான இணையதளங்கள் போல வேடமிட்டு வங்கி மற்றும் அரசுத் தளங்களில் சைபர் ஊடுருவலை நிகழ்த்த முடியும்.
இணையப் பயனாளர்களின் நிதித் தகவல்களும் கடவுச்சொற்களும் திருடப்படும் அபாயம் உள்ளதால், மொசில்லா பயர்பாக்ஸ், ஆப்பிள் சஃபாரி, கூகுள் குரோம் மற்றும் மைக்ரோசாப்ட் எட்ஜ் ஆகிய முன்னணி உலகளாவிய உலாவிகள் இச்சான்றுகளை உடனடியாக முடக்கி நடவடிக்கை எடுத்துள்ளன.
இவ்விவகாரத்தைக் தீவிரமாகக் கையில் எடுத்துள்ள மத்திய தகவல் தொழில்நுட்ப அமைச்சகம் (MeitY), மூத்த நிபுணர்கள் அடங்கிய உயர்மட்ட விசாரணைக் குழுவை அமைத்து விரிவான தணிக்கைக்கு உத்தரவிட்டுள்ளது.

3. அரசியலமைப்பு மற்றும் சட்ட விதிகள்

தகவல் தொழில்நுட்பச் சட்டம், 2000 (Information Technology Act, 2000): பிரிவு 35-ன் கீழ் டிஜிட்டல் கையொப்ப சான்றிதழ்களை வழங்குவதற்கான அதிகார வரம்புகளை நிர்ணயிக்கிறது.
தகவல் தொழில்நுட்பச் சட்டம் பிரிவு 70B: இந்திய கணினி அவசர கால செயல்பாட்டுக் குழுவை (CERT-In) நாட்டின் இணையப் பாதுகாப்பு அச்சுறுத்தல்களைக் கண்காணித்து தேசிய எச்சரிக்கை விடுக்கும் உச்ச அமைப்பாக அங்கீகரிக்கிறது.
சான்றளிக்கும் அதிகாரிகளின் கட்டுப்பாட்டாளர் (Controller of Certifying Authorities - CCA): ஐடி சட்டம் பிரிவு 17-ன் படி சான்றிதழ் வழங்கும் நிறுவனங்களுக்கு உரிமம் வழங்கவும், அவற்றைத் தணிக்கை செய்யவும் அதிகாரமளிக்கிறது.
தகவல் தொழில்நுட்பச் சட்டம் பிரிவு 43 மற்றும் 66: கணினி அமைப்புகளில் அங்கீகாரமின்றி ஊடுருவுதல், தரவுகளைத் திருடுதல் மற்றும் ஹேக்கிங் செய்தலுக்கு அபராதமும் 3 ஆண்டுகள் வரை சிறைத் தண்டனையும் விதிக்கிறது.
டிஜிட்டல் தனிநபர் தரவுப் பாதுகாப்புச் சட்டம், 2023 (DPDP Act, 2023): குடிமக்களின் டிஜிட்டல் தரவுகளின் பாதுகாப்பை உறுதி செய்யத் தவறும் பெருநிறுவனங்களுக்கு ₹250 கோடி வரை அபராதம் விதிக்க வகைசெய்கிறது.

4. தமிழ்நாடு சமச்சீர் பள்ளிப் பாடப்புத்தக இணைப்பு

தமிழ்நாடு சமச்சீர் கல்வி 11-ஆம் வகுப்பு கணினி பயன்பாடுகள் அலகு 4 (மின்-வணிகப் பாதுகாப்பு அமைப்புகள்): டிஜிட்டல் கையொப்பங்கள் மற்றும் டிஜிட்டல் சான்றிதழ்களின் (Digital Certificates) அடிப்படை தொழில்நுட்பத்தை விளக்குகிறது.
டிஜிட்டல் கையொப்பம் என்பது பொது சாவி குறியாக்கவியல் (Asymmetric Cryptography) மூலம் செயல்பட்டு, ஆவணங்களை அனுப்பியவரின் நம்பகத்தன்மை (Authentication) மற்றும் தரவு ஒருமைப்பாட்டை (Data Integrity) உறுதி செய்வதாகப் பாடநூல் கூறுகிறது.
அசிமெட்ரிக் குறியாக்கத்தில் இரு வேறு சாவிகள் பயன்படுத்தப்படுகின்றன: தகவலைக் குறியாக்கம் செய்ய 'பொது சாவி' (Public Key), அதனை மீட்டெடுக்க ரகசியமான 'தனிப்பட்ட சாவி' (Private Key) பயன்படுத்தப்படுகிறது.
12-ஆம் வகுப்பு கணினி அறிவியல் அலகு 3 (கணினி வலைப்பின்னல் மற்றும் சைபர் குற்றங்கள்): இணைய அச்சுறுத்தல்கள், ஃபிஷிங் மோசடிகள், டிஜிட்டல் சான்றிதழ் முறைகேடுகள் மற்றும் தகவல் தொழில்நுட்ப சட்டப் பிரிவுகளை விரிவாக அலசுகிறது.
11-ஆம் வகுப்பு அரசியல் அறிவியல் அலகு 15 (மின்-ஆளுமை): குடிமக்கள் மற்றும் அரசு இடையேயான மின்-சேவைகளின் பாதுகாப்பான பரிவர்த்தனைகளுக்கு PKI கட்டமைப்பு இன்றியமையாதது என்பதை விளக்குகிறது.

5. சமூக-பொருளாதார மற்றும் நிர்வாக தாக்கம்

டிஜிட்டல் சான்றிதழ்களில் ஏற்படும் குறைபாடுகள் அரசு-கார்ப்பரேட் மின்-டெண்டர்கள், ஜிஎஸ்டி மற்றும் வருமான வரித் தாக்கல் அமைப்புகளின் நம்பகத்தன்மையை நிலைகுலையச் செய்யும் அபாயம் கொண்டவை.
நிகழ்நேர மொத்தத் தீர்வு (RTGS) மற்றும் தேசிய மின்னணு நிதிப் பரிவர்த்தனை (NEFT) ஆகியவற்றைப் பயன்படுத்தும் வர்த்தக நிறுவனங்கள் நிதி மோசடி அச்சுறுத்தலுக்கு ஆளாகின்றன.
இந்தியாவின் முன்னணி டிஜிட்டல் பாதுகாப்பு நிறுவனங்கள் சர்வதேச அளவில் தங்களின் நற்பெயரையும் உலகளாவிய இணைய உலாவிகளின் அங்கீகாரத்தையும் இழக்கும் அபாயம் எழுகிறது.
அரசு நிர்வாகத்தில் 'முகமற்ற மின்-நிர்வாகம்' (Faceless Governance) நடைமுறைப்படுத்தப்பட்டு வரும் வேளையில் இத்தகைய குறைபாடுகள் பொதுமக்களிடையே டிஜிட்டல் பரிவர்த்தனை குறித்த தயக்கத்தை உருவாக்கும்.
சைபர் பாதுகாப்புக் குறைபாடுகளை உடனடியாகக் களைவதன் மூலம் மட்டுமே இந்தியாவின் 1 டிரில்லியன் டாலர் டிஜிட்டல் பொருளாதார இலக்கு பாதுகாப்பாக அடையப்பட முடியும்.

6. சவால்கள் மற்றும் விமர்சனப் பகுப்பாய்வு

டிஜிட்டல் சான்றிதழ் வழங்கும் தனியார் நிறுவனங்களின் மீது மத்திய அரசு நடத்தும் தொழில்நுட்ப பாதுகாப்புத் தணிக்கைகள் (Security Audits) போதுமான இடைவெளியில் தீவிரமாக நடத்தப்படுவதில்லை.
சர்வதேச இணைய உலாவிகளான கூகுள், மைக்ரோசாப்ட் போன்ற நிறுவனங்கள் தங்களின் சொந்த பாதுகாப்பு விதிகளின்படி இந்திய சான்றிதழ்களைத் தடை செய்வது இந்தியாவின் இணைய இறையாண்மைக்கு (Cyber Sovereignty) சவாலாக உள்ளது.
குறியாக்க அல்காரிதங்கள் (Encryption Algorithms) அதிநவீன குவாண்டம் கம்ப்யூட்டிங் மற்றும் ஏஐ வளர்ச்சியால் எளிதில் சிதைக்கப்படும் அபாயம் அதிகரித்து வருகிறது.
சிறு மற்றும் நடுத்தர தொழில் நிறுவனங்களுக்கு சைபர் பாதுகாப்பு விழிப்புணர்வும், போலி டிஜிட்டல் சான்றிதழ்களைக் கண்டறியும் தொழில்நுட்ப அறிவும் மிகக் குறைவாகவே உள்ளது.
பாதுகாப்புக் குறைபாடு கண்டறியப்பட்டவுடன் லட்சக்கணக்கான பயனாளர்களின் சான்றிதழ்களை மீண்டும் வழங்குவதில் (Certificate Revocation and Re-issuance) ஏற்படும் பெரும் நிர்வாகச் செலவும் தாமதமும் சவாலாகும்.

7. TNPSC தேர்வு முக்கியத்துவம் (முதல்நிலை & முதன்மைத் தேர்வு)

• முதல்நிலைத் தேர்வு (Prelims): தகவல் தொழில்நுட்பச் சட்டம் இயற்றப்பட்ட ஆண்டு - 2000; CERT-In அதிகாரப்பூர்வமாகத் தொடங்கப்பட்ட ஆண்டு - 2004.
• CERT-In சட்டம்: தகவல் தொழில்நுட்பத் திருத்தச் சட்டம் 2008, பிரிவு 70B-ன் கீழ் நாட்டின் முதன்மை இணையப் பாதுகாப்பு முகமையாகச் செயல்படுகிறது.
• குறியாக்கவியல் கோட்பாடு: டிஜிட்டல் கையொப்பங்கள் செயல்படுவது அசிமெட்ரிக் குறியாக்கவியல் (Asymmetric Key Cryptography) அடிப்படையில்; இதில் பொது சாவி மற்றும் தனிப்பட்ட சாவி என இரு சாவிகள் உள்ளன.
• சான்றளிக்கும் கட்டுப்பாட்டாளர்: CCA (Controller of Certifying Authorities) - மத்திய MeitY அமைச்சகம்.
• முதன்மைத் தேர்வு வினா (Mains Question): 'டிஜிட்டல் கையொப்பங்கள் செயல்படும் பொது சாவி உள்கட்டமைப்பை (PKI) விளக்கி, நாட்டின் இணையப் பாதுகாப்பைப் பேண CERT-In முகமைக்கு வழங்கப்பட்டுள்ள சட்டப்பூர்வ அதிகாரங்களை மதிப்பிடுக.'

8. எதிர்கால நோக்கு மற்றும் முடிவுரை

மத்திய அரசு அனைத்து சான்றளிக்கும் அதிகார அமைப்புகளையும் (CAs) சர்வதேச பாதுகாப்புத் தரத்திற்கு (WebTrust / ISO 27001) இணங்க கடுமையான காலமுறை தணிக்கைக்கு உட்படுத்த வேண்டும்.
எதிர்கால குவாண்டம் கணினி அச்சுறுத்தல்களை எதிர்கொள்ளும் வகையில் 'குவாண்டம்-பின் குறியாக்கவியல்' (Post-Quantum Cryptography - PQC) தொழில்நுட்பங்களுக்கு இந்திய நிறுவனங்கள் மாற வேண்டும்.
தேசிய இணையப் பாதுகாப்பு ஒருங்கிணைப்பாளர் (NCSC) மற்றும் CERT-In இணைந்து உள்நாட்டு இணைய பாதுகாப்பு வன்பொருள் மற்றும் மென்பொருள் சூழலைத் தற்சார்புடன் உருவாக்க வேண்டும்.
சான்றிதழ் ரத்து செய்யப்பட்ட தகவல்களை உடனுக்குடன் சரிபார்க்கும் 'ஆன்லைன் சான்றிதழ் நிலை நெறிமுறை' (OCSP - Online Certificate Status Protocol) கட்டமைப்பை நவீனப்படுத்த வேண்டும்.
டிஜிட்டல் இந்தியாவில் இணையப் பாதுகாப்பு என்பது வெறுமனே ஒரு தகவல் தொழில்நுட்ப அம்சம் மட்டுமல்ல, அது நாட்டின் தேசியப் பாதுகாப்பு மற்றும் இறையாண்மையின் பிரிக்க முடியாத தூணாகும்.