DigiNotar
डिजिनोटार एक डच प्रमाणपत्र प्राधिकरण था जिसका स्वामित्व वास्को डेटा सिक्योरिटी इंटरनेशनल, इंक. के पास था। अवलोकन 3 सितंबर, 2011 को, यह स्पष्ट होने के बाद कि सुरक्षा उल्लंघन के परिणामस्वरूप प्रमाणपत्रों को धोखाधड़ी से जारी किया गया था, डच सरकार ने डिजिनोटार के सिस्टम के परिचालन प्रबंधन को अपने हाथ में ले लिया। उसी महीने कंपनी को दिवालिया घोषित कर दिया गया था। डच सरकार द्वारा नियुक्त फॉक्स-आईटी कंसल्टेंसी द्वारा हैकिंग की एक जांच ने 300,000 ईरानी जीमेल उपयोगकर्ताओं की पहचान हैकिंग के मुख्य लक्ष्य के रूप में की (बाद में मैन-इन-द-मिडल हमलों का उपयोग करके लक्षित), और संदेह किया कि हैकिंग के पीछे ईरानी सरकार थी। जबकि किसी पर भी प्रमाणपत्रों को तोड़ने और समझौता करने का आरोप नहीं लगाया गया है, क्रिप्टोग्राफर ब्रूस श्नायर का कहना है कि हमला "या तो एनएसए का काम हो सकता है, या एनएसए द्वारा शोषण किया जा सकता है।" हालाँकि, यह विवादित रहा है, अन्य लोगों का कहना है कि एनएसए ने केवल नकली प्रमाणपत्रों का उपयोग करके एक विदेशी खुफिया सेवा का पता लगाया था। कथित तौर पर एक 21 वर्षीय ईरानी छात्र, तथाकथित कोमोडोहाकर द्वारा भी हैक करने का दावा किया गया है, जिसने कोमोडो सहित चार अन्य प्रमाणपत्र अधिकारियों को हैक करने का भी दावा किया है, यह दावा एफ-सिक्योर द्वारा प्रशंसनीय पाया गया है, हालांकि पूरी तरह से यह नहीं बताया गया है कि यह कैसे बाद में "ईरानी नागरिकों के व्यापक अवरोधन" का कारण बना। 500 से अधिक नकली डिजिनोटार प्रमाणपत्र पाए जाने के बाद, प्रमुख वेब ब्राउज़र निर्माताओं ने सभी डिजिनोटार प्रमाणपत्रों को ब्लैकलिस्ट करके प्रतिक्रिया व्यक्त की। घटना के पैमाने का उपयोग ENISA और AccessNow.org जैसे कुछ संगठनों द्वारा HTTPS के गहन सुधार का आह्वान करने के लिए किया गया था ताकि सबसे कमजोर लिंक संभावना को दूर किया जा सके कि एक समझौता किया गया CA कई उपयोगकर्ताओं को प्रभावित कर सकता है। कंपनी डिजिनोटार की मुख्य गतिविधि एक प्रमाण पत्र प्राधिकरण के रूप में थी, जो दो प्रकार के प्रमाण पत्र जारी करती थी। सबसे पहले, उन्होंने अपने नाम के तहत प्रमाण पत्र जारी किए (जहां मूल CA "डिजिनोटार रूट CA" था)। जुलाई 2010 से प्रवेश प्रमाण पत्र जारी नहीं किए गए थे, लेकिन कुछ अभी भी जुलाई 2013 तक वैध थे। दूसरा, उन्होंने डच सरकार के पी. के. आई. रंगभेद ("पी. के. आई. सरकार") कार्यक्रम के लिए प्रमाण पत्र जारी किए। यह जारी करना दो मध्यवर्ती प्रमाणपत्रों के माध्यम से था, जिनमें से प्रत्येक को दो "स्टेट डेर नेडरलैंडन" मूल सीए में से एक के साथ जोड़ा गया था। सरकार के लिए सेवाएं प्रदान करने वाले राष्ट्रीय और स्थानीय डच अधिकारी और संगठन जो सुरक्षित इंटरनेट संचार के लिए प्रमाणपत्रों का उपयोग करना चाहते हैं, वे इस तरह के प्रमाण पत्र का अनुरोध कर सकते हैं। डच सरकारों द्वारा दी जाने वाली कुछ सबसे अधिक उपयोग की जाने वाली इलेक्ट्रॉनिक सेवाओं में डिजिनोटार के प्रमाणपत्रों का उपयोग किया जाता था। प्रमाणीकरण अवसंरचना डिजीडी और केंद्रीय कार-पंजीकरण संगठन (आरडीडब्ल्यू) इसके उदाहरण थे। डिजिनोटार के मूल प्रमाणपत्रों को 29 अगस्त, 2011 को या उसके आसपास सभी प्रमुख वेब ब्राउज़रों और उपभोक्ता ऑपरेटिंग सिस्टम की विश्वसनीय-मूल सूचियों से हटा दिया गया था; "स्टेट डेर नेडरलैंडन" मूल को शुरू में रखा गया था क्योंकि माना जाता था कि उनसे समझौता नहीं किया गया था। हालाँकि, उन्हें तब से रद्द कर दिया गया है। डिजिनोटार की स्थापना मूल रूप से 1998 में बेवरविजक के डच नोटरी डिक बैटनबर्ग और डच नागरिक कानून नोटरी के लिए राष्ट्रीय निकाय द्वारा की गई थी। केएनबी नोटरी को सभी प्रकार की केंद्रीय सेवाएं प्रदान करता है, और क्योंकि नोटरी द्वारा प्रदान की जाने वाली कई सेवाएं आधिकारिक कानूनी प्रक्रियाएं हैं, संचार में सुरक्षा महत्वपूर्ण है। केएनबी ने अपने सदस्यों को अपने व्यवसाय में इलेक्ट्रॉनिक सेवाओं को लागू करने के बारे में सलाहकार सेवाओं की पेशकश की; इनमें से एक गतिविधि सुरक्षित प्रमाण पत्र प्रदान करना था। डिक बैटनबर्ग और केएनबी ने समूह टी. टी. पी. नोटरीसन (टी. टी. पी. नोटरीज़) का गठन किया, जहाँ टी. टी. पी. का अर्थ विश्वसनीय तृतीय पक्ष है। यदि कोई नोटरी कुछ नियमों का पालन करता है तो वह टी. टी. पी. नोटरीसेन का सदस्य बन सकता है। यदि वे प्रशिक्षण और कार्य प्रक्रियाओं पर अतिरिक्त नियमों का पालन करते हैं, तो वे एक मान्यता प्राप्त टी. टी. पी. नोटरी बन सकते हैं। हालाँकि डिजिनोटार कई वर्षों से एक सामान्य-उद्देश्य वाला सीए था, फिर भी उन्होंने नोटरी और अन्य पेशेवरों के लिए बाजार को लक्षित किया। 10 जनवरी, 2011 को कंपनी को वास्को डेटा सिक्योरिटी इंटरनेशनल को बेच दिया गया था। डिजिनोटार द्वारा अपने सिस्टम पर पहली बार एक घटना का पता लगाने के एक दिन बाद 20 जून, 2011 को एक वास्को प्रेस विज्ञप्ति में वास्को के अध्यक्ष और सीओओ जान वाल्के को यह कहते हुए उद्धृत किया गया है कि "हम मानते हैं कि डिजिनोटार के प्रमाण पत्र इस क्षेत्र में सबसे विश्वसनीय हैं।" दिवालियापन 20 सितंबर, 2011 को, वास्को ने घोषणा की कि हार्लेम अदालत में स्वैच्छिक दिवालियापन के लिए दायर करने के बाद इसकी सहायक कंपनी डिजिनोटार को दिवालिया घोषित कर दिया गया था। तत्काल प्रभाव से अदालत ने एक रिसीवर, एक अदालत द्वारा नियुक्त ट्रस्टी को नियुक्त किया, जो डिजिनोटार के सभी मामलों का प्रबंधन संभालता है क्योंकि यह दिवालियापन प्रक्रिया के माध्यम से परिसमापन के लिए आगे बढ़ता है। रिपोर्ट प्रकाशित करने से इनकार क्यूरेटर (अदालत द्वारा नियुक्त रिसीवर) नहीं चाहते थे कि आई. टी. एस. ई. सी. की रिपोर्ट प्रकाशित हो, क्योंकि इससे डिजिनोटार के खिलाफ अतिरिक्त दावे हो सकते हैं। रिपोर्ट में कंपनी के संचालन के तरीके और 2011 के हैक का विवरण शामिल था जिसके कारण यह दिवालिया हो गई थी। यह रिपोर्ट डच पर्यवेक्षी एजेंसी ओ. पी. टी. ए. के अनुरोध पर बनाई गई थी, जिसने रिपोर्ट को प्रकाशित करने से इनकार कर दिया था। एक पत्रकार द्वारा शुरू की गई सूचना की स्वतंत्रता () प्रक्रिया में, प्राप्तकर्ता ने अदालत को इस रिपोर्ट के प्रकाशन की अनुमति नहीं देने के लिए मनाने की कोशिश की, और ऐसा करने के लिए ओ. पी. टी. ए. के प्रारंभिक इनकार की पुष्टि की। रिपोर्ट जारी करने का आदेश दिया गया था, और अक्टूबर 2012 में सार्वजनिक किया गया था। यह प्रणालियों के लगभग पूर्ण समझौते को दर्शाता है। धोखाधड़ी प्रमाण पत्र जारी करना 10 जुलाई, 2011 को, डिजिनोटार के सिस्टम तक पहुंच रखने वाले एक हमलावर ने गूगल के लिए वाइल्डकार्ड प्रमाण पत्र जारी किया। इस प्रमाणपत्र का उपयोग बाद में ईरान में अज्ञात व्यक्तियों द्वारा गूगल सेवाओं के खिलाफ एक मध्य-व्यक्ति हमला करने के लिए किया गया था। 28 अगस्त, 2011 को ईरान में कई इंटरनेट सेवा प्रदाताओं पर प्रमाणपत्र की समस्याएं देखी गईं। धोखाधड़ी का प्रमाण पत्र पेस्टबिन पर पोस्ट किया गया था। वास्को द्वारा बाद में जारी एक समाचार विज्ञप्ति के अनुसार, डिजिनोटार ने 19 जुलाई, 2011 को अपने प्रमाणपत्र प्राधिकरण के बुनियादी ढांचे में घुसपैठ का पता लगाया था। डिजिनोटार ने उस समय सार्वजनिक रूप से सुरक्षा उल्लंघन का खुलासा नहीं किया था। इस प्रमाणपत्र के मिलने के बाद, डिजिनोटार ने देर से स्वीकार किया कि दर्जनों धोखाधड़ी वाले प्रमाणपत्र बनाए गए थे, जिनमें याहू!, मोज़िला, वर्डप्रेस और द टोर प्रोजेक्ट के डोमेन के लिए प्रमाण पत्र शामिल थे। डिजिनोटार इस बात की गारंटी नहीं दे सका कि ऐसे सभी प्रमाणपत्र रद्द कर दिए गए हैं। गूगल ने क्रोमियम में 247 प्रमाणपत्रों को काली सूची में डाल दिया, लेकिन अंतिम ज्ञात गलत जारी किए गए प्रमाणपत्रों की कुल संख्या कम से कम 531 है। एफ-सिक्योर द्वारा की गई जाँच से यह भी पता चला कि 2009 में तुर्की और ईरानी हैकरों द्वारा डिजिनोटार की वेबसाइट को विकृत कर दिया गया था। प्रतिक्रिया में, मोज़िला ने अपने फ़ायरफ़ॉक्स ब्राउज़र के सभी समर्थित संस्करणों में डिजिनोटार रूट प्रमाणपत्र में विश्वास को रद्द कर दिया और माइक्रोसॉफ्ट ने माइक्रोसॉफ्ट विंडोज के सभी समर्थित संस्करणों पर अपने ब्राउज़र के साथ विश्वसनीय प्रमाणपत्रों की सूची से डिजिनोटार रूट प्रमाणपत्र को हटा दिया। क्रोमियम/गूगल क्रोम अपने "सर्टिफिकेट पिनिंग" सुरक्षा सुविधा के कारण धोखाधड़ी वाले *. गूगल. कॉम प्रमाणपत्र का पता लगाने में सक्षम था; हालाँकि, यह सुरक्षा गूगल डोमेन तक सीमित थी, जिसके परिणामस्वरूप गूगल ने विश्वसनीय प्रमाणपत्र जारीकर्ताओं की अपनी सूची से डिजिनोटार को हटा दिया। ओपेरा हमेशा प्रमाणपत्र जारीकर्ता की प्रमाणपत्र रद्द करने की सूची की जांच करता है और इसलिए उन्होंने शुरू में कहा कि उन्हें सुरक्षा अद्यतन की आवश्यकता नहीं है। हालाँकि, बाद में उन्होंने अपने ट्रस्ट स्टोर से जड़ भी हटा दी। 9 सितंबर, 2011 को एप्पल ने मैक ओएस एक्स 10.6.8 और 10.7.1 के लिए सुरक्षा अद्यतन 2011-005 जारी किया, जो डिगिनोटार को विश्वसनीय मूल प्रमाणपत्रों और ईवी प्रमाणपत्र प्राधिकरणों की सूची से हटा देता है। इस अद्यतन के बिना, सफारी और मैक ओएस एक्स प्रमाण पत्र के निरसन का पता नहीं लगाते हैं, और उपयोगकर्ताओं को प्रमाण पत्र को मैन्युअल रूप से हटाने के लिए कीचेन उपयोगिता का उपयोग करना चाहिए। एप्पल ने आई. ओ. एस. 5 के जारी होने के साथ 13 अक्टूबर, 2011 तक आई. ओ. एस. को पैच नहीं किया था। डिजिनोटार एक मध्यवर्ती प्रमाणपत्र को भी नियंत्रित करता था जिसका उपयोग डच सरकार के सार्वजनिक प्रमुख बुनियादी ढांचे "पीकेआईओवरहाइड" कार्यक्रम के हिस्से के रूप में प्रमाण पत्र जारी करने के लिए किया जाता था, जो आधिकारिक डच सरकार प्रमाणन प्राधिकरण (स्टेट डेर नेडरलैंडन) तक सीमित था। एक बार जब इस मध्यवर्ती प्रमाणपत्र को ब्राउज़र द्वारा रद्द कर दिया गया या अविश्वसनीय के रूप में चिह्नित कर दिया गया, तो उनके प्रमाणपत्रों के लिए विश्वास की श्रृंखला टूट गई, और पहचान प्रबंधन मंच डिजीडी और कर और सीमा शुल्क प्रशासन जैसी सेवाओं तक पहुंचना मुश्किल हो गया। , डच कंप्यूटर आपातकालीन प्रतिक्रिया दल, शुरू में यह नहीं मानता था कि पी. के. आई. रंगभेद प्रमाणपत्रों से समझौता किया गया था, हालांकि सुरक्षा विशेषज्ञ अनिश्चित थे। क्योंकि इन प्रमाणपत्रों को शुरू में सुरक्षा उल्लंघन से समझौता नहीं किया गया था, उन्हें डच अधिकारियों के अनुरोध पर, ट्रस्ट को हटाने से छूट दी गई थी-हालांकि दोनों में से एक, सक्रिय "स्टेट डेर नेडरलैंडन-जी2" मूल प्रमाणपत्र, मोज़िला इंजीनियरों द्वारा अनदेखी की गई थी और गलती से फ़ायरफ़ॉक्स निर्माण में अविश्वास किया गया था। हालाँकि, डच सरकार द्वारा एक ऑडिट के बाद इस मूल्यांकन को रद्द कर दिया गया था, और "स्टेट डेर नेडरलैंडन" पदानुक्रम में डिजिनोटार-नियंत्रित मध्यस्थों को भी अगले सुरक्षा अद्यतन में मोज़िला द्वारा और अन्य ब्राउज़र निर्माताओं द्वारा काली सूची में डाल दिया गया था। डच सरकार ने 3 सितंबर, 2011 को घोषणा की कि वे प्रमाणपत्र प्राधिकरण के रूप में एक अलग फर्म में बदल जाएंगे। डच सरकार द्वारा उठाए गए कदम प्रारंभिक दावे के बाद कि पी. के. आई. रंगभेद पदानुक्रम में डिजिनोटार-नियंत्रित मध्यवर्ती प्रमाण पत्र के तहत प्रमाण पत्र प्रभावित नहीं हुए थे, एक बाहरी पक्ष, फॉक्स-आई. टी. परामर्श द्वारा आगे की जांच ने उन मशीनों पर भी हैकर गतिविधि के प्रमाण दिखाए। नतीजतन, डच सरकार ने 3 सितंबर, 2011 को अपने पहले के बयान को वापस लेने का फैसला किया कि कुछ भी गलत नहीं था। (फॉक्स-आईटी जांचकर्ताओं ने इस घटना को "ऑपरेशन ब्लैक ट्यूलिप" करार दिया।) फॉक्स-आईटी रिपोर्ट ने 300,000 ईरानी जीमेल खातों को हैक के मुख्य पीड़ितों के रूप में पहचाना। डिजिनोटार पी. के. आई. रंगभेद में उपलब्ध सी. ए. में से केवल एक था, इसलिए डच सरकार द्वारा उनके मूल के तहत उपयोग किए जाने वाले सभी प्रमाणपत्र प्रभावित नहीं हुए थे। जब डच सरकार ने फैसला किया कि उन्होंने डिजिनोटार में अपना विश्वास खो दिया है, तो उन्होंने एक व्यवस्थित संक्रमण का प्रबंधन करने के लिए कंपनी के मध्यवर्ती प्रमाणपत्र पर नियंत्रण वापस ले लिया, और उन्होंने अन्य प्रदाताओं में से एक से नए के साथ अविश्वसनीय प्रमाणपत्रों को बदल दिया। बहुत अधिक उपयोग किया जाने वाला डिजीडी प्लेटफॉर्म अब गेट्रॉनिक्स पिंकरोकेड नेडरलैंड बी. वी. द्वारा जारी प्रमाण पत्र का उपयोग करता है। डच सरकार के अनुसार, डिजिनोटार ने उन्हें इन प्रक्रियाओं के साथ अपना पूरा सहयोग दिया। डिजिनोटार में विश्वास हटाने के बाद, अब चार प्रमाणन सेवा प्रदाता (सी. एस. पी.) हैं जो पी. के. आई. रंगभेद पदानुक्रम के तहत प्रमाण पत्र जारी कर सकते हैंः डिजीडेंटिटी ई. एस. जी. या डी इलेक्ट्रोनिशे सिगनेटुअर क्वोवाडिस के. पी. एन. सर्टिफिकेटिएनस्टवर्लिंग सभी चार कंपनियों ने विशेष सहायता डेस्क खोले हैं और/या अपनी वेबसाइटों पर जानकारी प्रकाशित की है कि जिन संगठनों के पास डिजिनोटार से पी. के. आई. रंगभेद प्रमाण पत्र है, वे शेष चार प्रदाताओं में से किसी एक से नए प्रमाण पत्र का अनुरोध कैसे कर सकते हैं। ऑपरेशन शैडी आर. ए. टी. पी. एल. ए. यूनिट 61398 स्टक्सनेट टेलर्ड एक्सेस ऑपरेशंस संदर्भ आगे पढ़ने के लिए फॉक्स-आई. टी. (अगस्त 2012) भी देखें। ब्लैक ट्यूलिपः डिजिनोटार प्रमाणपत्र प्राधिकरण के उल्लंघन की जांच की रिपोर्ट। बाहरी लिंक (अंग्रेजी, दिवालियापन का उल्लेख नहीं करते हुए) (डच, दिवालियापन का उल्लेख करते हुए) धोखाधड़ी प्रमाण पत्र-सामान्य नामों की सूची डिगिनोटार सुरक्षा घटना की रिपोर्ट करता है पेस्टबिन पोस्टः Gmail.com ईरानी सरकार द्वारा एसएसएल एमआईटीएम हमला-27/8/2011 डिगिनोटार के रूट सीए के लिए इंटरनेट मौत की सजा! मोज़िला फाउंडेशन सुरक्षा सलाहकार 2011-34: धोखाधड़ी वाले डिजिनोटार प्रमाणपत्रों के खिलाफ सुरक्षा माइक्रोसॉफ्ट सुरक्षा सलाहकार (2607712): धोखाधड़ी वाले डिजिटल प्रमाणपत्र स्पूफिंग डिजिनोटार समझौते की अनुमति दे सकते हैं-मोज़िला के गेर्वस मार्कहम का विवरण कि मोज़िला ने डिजिनोटार को कैसे और क्यों काली सूची में डाला। मोज़िला निगम में फ़ायरफ़ॉक्स इंजीनियरिंग के निदेशक का कहना है कि मोज़िला द्वारा डिगिनोटार को विश्वसनीय सूची से हटाना अस्थायी निलंबन नहीं है, बल्कि विश्वास को पूरी तरह से रद्द करना है। फॉक्स-आई. टी. द्वारा, ईरानी उपयोगकर्ताओं द्वारा डिजिनोटार प्रमाणपत्रों (संभावित हमलों) के बाद के ओ. सी. एस. पी. अनुरोधों को दिखाया गया है। 1997 में स्थापित पूर्व प्रमाण पत्र प्राधिकरण कंपनियाँ 2011 में विघटित हो गईं