DigiNotar
ڈیجی نوٹر ایک ڈچ سرٹیفکیٹ اتھارٹی تھی جو واسکو ڈیٹا سیکیورٹی انٹرنیشنل انکارپوریٹڈ کی ملکیت تھی۔ جائزہ 3 ستمبر 2011 کو، یہ واضح ہونے کے بعد کہ سیکیورٹی کی خلاف ورزی کے نتیجے میں سرٹیفکیٹ جاری کرنے میں دھوکہ دہی ہوئی تھی، ڈچ حکومت نے ڈیجی نوٹر کے سسٹمز کا آپریشنل مینجمنٹ سنبھال لیا۔ اسی مہینے کمپنی کو دیوالیہ قرار دے دیا گیا۔ ڈچ حکومت کی طرف سے مقرر کردہ فاکس-آئی ٹی کنسلٹنسی کی طرف سے کی گئی ہیکنگ کی تحقیقات میں 300,000 ایرانی جی میل صارفین کی شناخت ہیک کے مرکزی ہدف کے طور پر کی گئی (بعد میں مین ان دی مڈل حملوں کا استعمال کرتے ہوئے نشانہ بنایا گیا)، اور شبہ ظاہر کیا گیا کہ اس ہیک کے پیچھے ایرانی حکومت کا ہاتھ ہے۔ اگرچہ کسی پر سرٹیفکیٹ کو توڑنے اور سمجھوتہ کرنے کا الزام نہیں لگایا گیا ہے، لیکن کرپٹو گرافر بروس شنئیر کا کہنا ہے کہ یہ حملہ "یا تو این ایس اے کا کام ہو سکتا ہے، یا این ایس اے کے ذریعے استحصال کیا گیا ہو سکتا ہے۔" تاہم، یہ متنازعہ رہا ہے، دوسروں کا کہنا ہے کہ این ایس اے نے جعلی سرٹیفکیٹ کا استعمال کرتے ہوئے صرف ایک غیر ملکی انٹیلی جنس سروس کا پتہ لگایا تھا۔ اس ہیک کا دعوی نام نہاد کوموڈوہکر نے بھی کیا ہے، مبینہ طور پر ایک 21 سالہ ایرانی طالب علم، جس نے کوموڈو سمیت چار دیگر سرٹیفکیٹ حکام کو بھی ہیک کرنے کا دعوی کیا ہے، یہ دعوی ایف سیکیور کے ذریعہ قابل فہم پایا گیا، حالانکہ اس کی مکمل وضاحت نہیں کی گئی کہ اس کے نتیجے میں "ایرانی شہریوں کی وسیع پیمانے پر مداخلت" کیسے ہوئی۔ 500 سے زیادہ جعلی ڈیجی نوٹر سرٹیفکیٹ ملنے کے بعد، بڑے ویب براؤزر بنانے والوں نے تمام ڈیجی نوٹر سرٹیفکیٹ کو بلیک لسٹ کرکے رد عمل ظاہر کیا۔ واقعے کے پیمانے کو ENISA اور AccessNow.org جیسی کچھ تنظیموں نے HTTPS کی گہری اصلاحات کا مطالبہ کرنے کے لیے استعمال کیا تھا تاکہ کمزور ترین لنک کے امکان کو دور کیا جا سکے کہ ایک سمجھوتہ شدہ CA بہت سے صارفین کو متاثر کر سکتا ہے۔ کمپنی ڈیجی نوٹر کی بنیادی سرگرمی سرٹیفکیٹ اتھارٹی کے طور پر تھی، جو دو قسم کے سرٹیفکیٹ جاری کرتی تھی۔ سب سے پہلے، انہوں نے اپنے نام کے تحت سرٹیفکیٹ جاری کیے (جہاں جڑ سی اے "ڈیجی نوٹر روٹ سی اے" تھا)۔ اینٹرسٹ سرٹیفکیٹ جولائی 2010 سے جاری نہیں کیے گئے تھے، لیکن کچھ پھر بھی جولائی 2013 تک درست تھے۔ دوسرا، انہوں نے ڈچ حکومت کے پی کے آئیورہیڈ ("پی کے آئی گورنمنٹ") پروگرام کے لیے سرٹیفکیٹ جاری کیے۔ یہ جاری کرنا دو انٹرمیڈیٹ سرٹیفکیٹس کے ذریعے تھا، جن میں سے ہر ایک کو دو "سٹیٹ ڈیر نیدرلینڈن" جڑ سی اے میں سے ایک سے جڑا ہوا تھا۔ قومی اور مقامی ڈچ حکام اور حکومت کے لیے خدمات پیش کرنے والی تنظیمیں جو محفوظ انٹرنیٹ مواصلات کے لیے سرٹیفکیٹ استعمال کرنا چاہتی ہیں، اس طرح کے سرٹیفکیٹ کی درخواست کر سکتی ہیں۔ ڈچ حکومتوں کی طرف سے پیش کی جانے والی کچھ سب سے زیادہ استعمال ہونے والی الیکٹرانک خدمات ڈیجی نوٹر کے سرٹیفکیٹ استعمال کرتی تھیں۔ تصدیق کا بنیادی ڈھانچہ ڈیجیڈ اور مرکزی کار رجسٹریشن تنظیم (آر ڈی ڈبلیو) اس کی مثالیں تھیں۔ ڈیجی نوٹر کے روٹ سرٹیفکیٹ کو 29 اگست 2011 کو یا اس کے آس پاس تمام بڑے ویب براؤزرز اور کنزیومر آپریٹنگ سسٹمز کی قابل اعتماد جڑوں کی فہرستوں سے ہٹا دیا گیا تھا۔ "سٹیٹ ڈیر نیدرلینڈن" کی جڑیں ابتدائی طور پر رکھی گئی تھیں کیونکہ ان کے بارے میں خیال نہیں کیا جاتا تھا کہ ان سے سمجھوتہ کیا گیا ہے۔ تاہم، اس کے بعد انہیں منسوخ کر دیا گیا ہے۔ ڈیجی نوٹر کو اصل میں 1998 میں ڈچ نوٹری ڈک بیٹن برگ نے قائم کیا تھا جو کہ ڈچ سول لاء نوٹریز کے لیے قومی ادارہ ہے۔ کے این بی نوٹریوں کو ہر قسم کی مرکزی خدمات پیش کرتا ہے، اور چونکہ بہت سی خدمات جو نوٹری پیش کرتے ہیں وہ سرکاری قانونی طریقہ کار ہیں، اس لیے مواصلات میں سیکیورٹی اہم ہے۔ کے این بی نے اپنے اراکین کو اپنے کاروبار میں الیکٹرانک خدمات کو نافذ کرنے کے بارے میں مشاورتی خدمات پیش کیں۔ ان سرگرمیوں میں سے ایک محفوظ سرٹیفکیٹ پیش کرنا تھا۔ ڈک بیٹن برگ اور کے این بی نے ٹی ٹی پی نوٹریسن (ٹی ٹی پی نوٹریز) گروپ تشکیل دیا، جہاں ٹی ٹی پی کا مطلب قابل اعتماد تیسرا فریق ہے۔ ایک نوٹری ٹی ٹی پی نوٹریسن کا رکن بن سکتا ہے اگر وہ کچھ اصولوں کی تعمیل کرتا ہے۔ اگر وہ تربیت اور کام کے طریقہ کار سے متعلق اضافی اصولوں کی تعمیل کرتے ہیں، تو وہ ایک تسلیم شدہ ٹی ٹی پی نوٹری بن سکتے ہیں۔ اگرچہ ڈیجی نوٹر کئی سالوں سے ایک عام مقصد والا سی اے رہا تھا، پھر بھی انہوں نے نوٹریوں اور دیگر پیشہ ور افراد کے لیے مارکیٹ کو نشانہ بنایا۔ 10 جنوری 2011 کو کمپنی کو واسکو ڈیٹا سیکیورٹی انٹرنیشنل کو فروخت کر دیا گیا۔ 20 جون 2011 کو واسکو کی ایک پریس ریلیز میں، ڈیجی نوٹر کے اپنے سسٹم پر پہلی بار ایک واقعے کا پتہ لگانے کے ایک دن بعد واسکو کے صدر اور سی او او جان والکے کے حوالے سے کہا گیا ہے کہ "ہمیں یقین ہے کہ ڈیجی نوٹر کے سرٹیفکیٹ میدان میں سب سے زیادہ قابل اعتماد ہیں"۔ دیوالیہ پن 20 ستمبر 2011 کو واسکو نے اعلان کیا کہ ہارلیم عدالت میں رضاکارانہ دیوالیہ پن کے لیے دائر کرنے کے بعد اس کی ذیلی کمپنی ڈیجی نوٹر کو دیوالیہ قرار دے دیا گیا۔ فوری طور پر موثر عدالت نے ایک وصول کنندہ مقرر کیا، ایک عدالت کے مقرر کردہ ٹرسٹی جو ڈیجی نوٹر کے تمام امور کا انتظام سنبھالتا ہے کیونکہ یہ دیوالیہ پن کے عمل سے گزر کر لیکویڈیشن کی طرف جاتا ہے۔ رپورٹ شائع کرنے سے انکار کیوریٹر (عدالت کے مقرر کردہ وصول کنندہ) نہیں چاہتا تھا کہ آئی ٹی ایس ای سی کی رپورٹ شائع کی جائے، کیونکہ اس سے ڈیجی نوٹر کے خلاف اضافی دعوے ہو سکتے ہیں۔ رپورٹ میں کمپنی کے کام کرنے کے طریقے اور 2011 کے ہیک کی تفصیلات کا احاطہ کیا گیا جس کی وجہ سے یہ دیوالیہ ہو گئی۔ یہ رپورٹ ڈچ نگران ایجنسی او پی ٹی اے کی درخواست پر بنائی گئی تھی جس نے پہلی جگہ پر رپورٹ شائع کرنے سے انکار کر دیا تھا۔ ایک صحافی کی طرف سے شروع کردہ فریڈم آف انفارمیشن () کے طریقہ کار میں، وصول کنندہ نے عدالت کو قائل کرنے کی کوشش کی کہ وہ اس رپورٹ کی اشاعت کی اجازت نہ دے، اور او پی ٹی اے کے ایسا کرنے سے ابتدائی انکار کی تصدیق کرے۔ رپورٹ کو جاری کرنے کا حکم دیا گیا تھا، اور اکتوبر 2012 میں اسے عام کیا گیا تھا۔ یہ نظام کے قریب قریب مکمل سمجھوتے کو ظاہر کرتا ہے۔ دھوکہ دہی کے سرٹیفکیٹ جاری کرنا 10 جولائی 2011 کو ڈیجی نوٹر کے سسٹمز تک رسائی رکھنے والے ایک حملہ آور نے گوگل کے لیے وائلڈ کارڈ سرٹیفکیٹ جاری کیا۔ اس سرٹیفکیٹ کو بعد میں ایران میں نامعلوم افراد نے گوگل سروسز کے خلاف درمیانی حملہ کرنے کے لیے استعمال کیا۔ 28 اگست، 2011 کو ایران میں متعدد انٹرنیٹ سروس فراہم کنندگان پر سرٹیفکیٹ کے مسائل دیکھے گئے۔ دھوکہ دہی کا سرٹیفکیٹ پیسٹبن پر پوسٹ کیا گیا تھا۔ واسکو کی طرف سے اس کے بعد کی ایک نیوز ریلیز کے مطابق، ڈیجی نوٹر نے 19 جولائی 2011 کو اپنے سرٹیفکیٹ اتھارٹی کے بنیادی ڈھانچے میں مداخلت کا پتہ لگایا تھا۔ ڈیجی نوٹر نے اس وقت سیکیورٹی کی خلاف ورزی کا عوامی طور پر انکشاف نہیں کیا تھا۔ اس سرٹیفکیٹ کے ملنے کے بعد، ڈیجی نوٹر نے دیر سے اعتراف کیا کہ درجنوں جعلی سرٹیفکیٹ بنائے گئے تھے، جن میں یاہو!، موزیلا، ورڈپریس اور دی ٹور پروجیکٹ کے ڈومینز کے سرٹیفکیٹ شامل ہیں۔ ڈیجی نوٹر اس بات کی ضمانت نہیں دے سکا کہ اس طرح کے تمام سرٹیفکیٹ منسوخ کر دیے گئے ہیں۔ گوگل نے کرومیم میں 247 سرٹیفکیٹس کو بلیک لسٹ کیا، لیکن غلط جاری کردہ سرٹیفکیٹس کا حتمی معلوم کل کم از کم 531 ہے۔ ایف سیکیور کی تحقیقات سے یہ بھی انکشاف ہوا کہ ڈیجی نوٹر کی ویب سائٹ کو 2009 میں ترک اور ایرانی ہیکرز نے خراب کیا تھا۔ ردعمل میں، موزیلا نے اپنے فائر فاکس براؤزر کے تمام سپورٹڈ ورژن میں ڈیجی نوٹر روٹ سرٹیفکیٹ پر اعتماد ختم کر دیا اور مائیکروسافٹ نے مائیکروسافٹ ونڈوز کی تمام سپورٹڈ ریلیزز پر اپنے براؤزرز کے ساتھ ڈیجی نوٹر روٹ سرٹیفکیٹ کو اپنے قابل اعتماد سرٹیفکیٹ کی فہرست سے ہٹا دیا۔ کرومیم/گوگل کروم جعلی *. گوگل ڈاٹ کام سرٹیفکیٹ کا پتہ لگانے میں کامیاب رہا، اس کی "سرٹیفکیٹ پننگ" سیکیورٹی فیچر کی وجہ سے ؛ تاہم، یہ تحفظ گوگل ڈومینز تک محدود تھا، جس کے نتیجے میں گوگل نے ڈیجی نوٹر کو اپنے قابل اعتماد سرٹیفکیٹ جاری کرنے والوں کی فہرست سے ہٹا دیا۔ اوپیرا ہمیشہ سرٹیفکیٹ جاری کرنے والے کی سرٹیفکیٹ کی منسوخی کی فہرست چیک کرتا ہے اور اس لیے انہوں نے ابتدائی طور پر کہا کہ انہیں سیکیورٹی اپ ڈیٹ کی ضرورت نہیں ہے۔ تاہم، بعد میں انہوں نے اپنے ٹرسٹ اسٹور سے جڑ بھی ہٹا دی۔ 9 ستمبر 2011 کو، ایپل نے میک او ایس ایکس 10.6.8 اور 10.7.1 کے لیے سیکیورٹی اپ ڈیٹ 2011-005 جاری کیا، جو ڈیجی نوٹر کو قابل اعتماد روٹ سرٹیفکیٹ اور ای وی سرٹیفکیٹ حکام کی فہرست سے ہٹا دیتا ہے۔ اس اپ ڈیٹ کے بغیر، سفاری اور میک او ایس ایکس سرٹیفکیٹ کی منسوخی کا پتہ نہیں لگاتے، اور صارفین کو دستی طور پر سرٹیفکیٹ کو حذف کرنے کے لیے کیچین یوٹیلیٹی کا استعمال کرنا چاہیے۔ ایپل نے 13 اکتوبر 2011 تک آئی او ایس 5 کی ریلیز کے ساتھ آئی او ایس کو پیچ نہیں کیا تھا۔ ڈیجی نوٹر نے ایک انٹرمیڈیٹ سرٹیفکیٹ کو بھی کنٹرول کیا جو ڈچ حکومت کے عوامی کلیدی انفراسٹرکچر "پی کے آئیورہیڈ" پروگرام کے حصے کے طور پر سرٹیفکیٹ جاری کرنے کے لیے استعمال ہوتا تھا، جو سرکاری ڈچ حکومت کے سرٹیفیکیشن اتھارٹی (سٹیٹ ڈیر نیدرلینڈن) سے منسلک ہوتا تھا۔ ایک بار جب اس انٹرمیڈیٹ سرٹیفکیٹ کو منسوخ کر دیا گیا یا براؤزرز کے ذریعہ ناقابل اعتماد کے طور پر نشان زد کر دیا گیا، تو ان کے سرٹیفکیٹ کے لیے اعتماد کا سلسلہ ٹوٹ گیا، اور شناختی مینجمنٹ پلیٹ فارم ڈیجیڈ اور ٹیکس اینڈ کسٹم ایڈمنسٹریشن جیسی خدمات تک رسائی مشکل تھی۔ ، ڈچ کمپیوٹر ایمرجنسی رسپانس ٹیم، ابتدائی طور پر یقین نہیں کرتی تھی کہ پی کے آئیوورہیڈ سرٹیفکیٹ سے سمجھوتہ کیا گیا تھا، حالانکہ سیکیورٹی کے ماہرین غیر یقینی تھے۔ چونکہ ابتدائی طور پر ان سرٹیفکیٹس کو سیکیورٹی کی خلاف ورزی سے سمجھوتہ نہیں کیا گیا تھا، اس لیے انہیں ڈچ حکام کی درخواست پر ٹرسٹ کو ہٹانے سے مستثنی رکھا گیا تھا-حالانکہ دونوں میں سے ایک، فعال "سٹیٹ ڈیر نیدرلینڈن-جی 2" روٹ سرٹیفکیٹ، کو موزیلا انجینئروں نے نظر انداز کر دیا تھا اور غلطی سے فائر فاکس کی تعمیر پر انہیں عدم اعتماد ہو گیا تھا۔ تاہم، اس تشخیص کو ڈچ حکومت کے آڈٹ کے بعد منسوخ کر دیا گیا تھا، اور "سٹیٹ ڈیر نیدرلینڈن" کے درجہ بندی میں ڈیجی نوٹر کے زیر کنٹرول انٹرمیڈیٹس کو بھی موزیلا نے اگلی سیکیورٹی اپ ڈیٹ میں، اور دیگر براؤزر مینوفیکچررز نے بھی بلیک لسٹ کر دیا تھا۔ ڈچ حکومت نے 3 ستمبر 2011 کو اعلان کیا کہ وہ سرٹیفکیٹ اتھارٹی کے طور پر ایک مختلف فرم میں تبدیل ہو جائیں گے۔ ڈچ حکومت کی طرف سے اٹھائے گئے اقدامات ابتدائی دعوے کے بعد کہ پی کے آئی نسل پرستی کے درجہ بندی میں ڈیجی نوٹر کے زیر کنٹرول انٹرمیڈیٹ سرٹیفکیٹ کے تحت سرٹیفکیٹ متاثر نہیں ہوئے، ایک بیرونی فریق، فاکس-آئی ٹی کنسلٹنسی کی طرف سے مزید تحقیقات نے ان مشینوں پر بھی ہیکر کی سرگرمی کے ثبوت دکھائے۔ نتیجتا، ڈچ حکومت نے 3 ستمبر 2011 کو اپنا سابقہ بیان واپس لینے کا فیصلہ کیا کہ کچھ بھی غلط نہیں تھا۔ (فاکس-آئی ٹی کے تفتیش کاروں نے اس واقعے کو "آپریشن بلیک ٹولپ" قرار دیا۔) فاکس-آئی ٹی کی رپورٹ میں 300,000 ایرانی جی میل اکاؤنٹس کو ہیک کا سب سے بڑا شکار قرار دیا گیا۔ ڈیجی نوٹر پی کے آئی نسل پرستی میں دستیاب سی اے میں سے صرف ایک تھا، اس لیے ڈچ حکومت کی طرف سے ان کی جڑ کے تحت استعمال ہونے والے تمام سرٹیفکیٹ متاثر نہیں ہوئے۔ جب ڈچ حکومت نے فیصلہ کیا کہ انہوں نے ڈیجی نوٹر پر اپنا اعتماد کھو دیا ہے، تو انہوں نے ایک منظم منتقلی کا انتظام کرنے کے لیے کمپنی کے انٹرمیڈیٹ سرٹیفکیٹ پر کنٹرول واپس لے لیا، اور انہوں نے غیر معتبر سرٹیفکیٹ کو دوسرے فراہم کنندگان میں سے ایک کے نئے سرٹیفکیٹ سے تبدیل کر دیا۔ بہت زیادہ استعمال ہونے والا ڈیجیڈ پلیٹ فارم اب گیٹروونکس پنک روکیڈ نیدرلینڈ بی وی کے جاری کردہ سرٹیفکیٹ کا استعمال کرتا ہے۔ ڈچ حکومت کے مطابق، ڈیجی نوٹر نے انہیں ان طریقہ کار کے ساتھ اپنا مکمل تعاون دیا۔ ڈیجی نوٹر پر اعتماد ختم ہونے کے بعد، اب چار سرٹیفیکیشن سروس پرووائڈرز (سی ایس پی) ہیں جو پی کے آئی نسل پرستی کے درجہ بندی کے تحت سرٹیفکیٹ جاری کر سکتے ہیں: ڈیجیڈینٹی ای ایس جی یا ڈی الیکٹرونش سگنیٹور کوواڈیس کے پی این سرٹیفکیٹ ایورلننگ چاروں کمپنیوں نے خصوصی ہیلپ ڈیسک کھولے ہیں اور/یا اپنی ویب سائٹس پر معلومات شائع کی ہیں کہ ڈیجی نوٹر سے پی کے آئی نسل پرستی کا سرٹیفکیٹ رکھنے والی تنظیمیں باقی چار فراہم کنندگان میں سے کسی ایک سے نئے سرٹیفکیٹ کی درخواست کیسے کر سکتی ہیں۔ آپریشن شیڈی آر اے ٹی پی ایل اے یونٹ 61398 اسٹوکس نیٹ ٹیلرڈ ایکسیس آپریشنز حوالہ جات مزید پڑھنے کے لیے فاکس-آئی ٹی (اگست 2012) بھی دیکھیں۔ بلیک ٹولپ: ڈیجی نوٹر سرٹیفکیٹ اتھارٹی کی خلاف ورزی کی تحقیقات کی رپورٹ۔ بیرونی روابط (انگریزی، دیوالیہ پن کا ذکر نہیں کرتے ہوئے) (ڈچ، دیوالیہ پن کا ذکر کرتے ہوئے) فراڈلنٹ سرٹیفکیٹ-عام ناموں کی فہرست ڈیجی نوٹر سیکیورٹی واقعے کی اطلاع دیتا ہے پیسٹبن پوسٹس: Gmail.com ایس ایس ایل ایم آئی ٹی ایم پر ایرانی حکومت کا حملہ-27/8/2011 ڈیجی نوٹر کے روٹ سی اے کے لیے انٹرنیٹ پر سزائے موت! موزیلا فاؤنڈیشن سیکیورٹی ایڈوائزری 2011-34: جعلی ڈیجی نوٹر سرٹیفکیٹس کے خلاف تحفظ مائیکروسافٹ سیکیورٹی ایڈوائزری (2607712): دھوکہ دہی والے ڈیجیٹل سرٹیفکیٹس ڈیجی نوٹر سمجھوتہ کرنے کی اجازت دے سکتے ہیں-موزیلا کے گریوس مارکھم کا اکاؤنٹ کہ موزیلا نے ڈیجی نوٹر کو کس طرح اور کیوں بلیک لسٹ کیا۔ موزیلا کارپوریشن میں فائر فاکس انجینئرنگ کے ڈائریکٹر کا بیان کہ موزیلا کا ڈیجی نوٹر کو قابل اعتماد فہرست سے ہٹانا عارضی معطلی نہیں ہے، بلکہ اعتماد کی مکمل منسوخی ہے۔ فاکس-آئی ٹی کی طرف سے، ایرانی صارفین کی طرف سے ڈیجی نوٹر سرٹیفکیٹ (ممکنہ حملے) کی بعد کی او سی ایس پی درخواستیں دکھائی جا رہی ہیں۔ 1997 میں قائم ہونے والی سابقہ سرٹیفکیٹ اتھارٹی کمپنیاں 2011 میں منقطع ہوگئیں