eMudhra நிறுவனத்தை Chrome-ல் இருந்து நீக்கிய Google: இந்திய வெப்சைட்டுகளுக்கு என்ன பாதிப்பு?

என்ன நடந்தது?#

ஆபீஸ்ல உட்கார்ந்து வழக்கமான ஒரு வெப்சைட்டை திறக்க முயற்சி பண்றீங்க. அப்போ திடீர்னு Google Chrome திரையில் சிவப்பு நிறத்தில் 'Your connection is not private' அப்படின்னு ஒரு எச்சரிக்கை வந்தால் எப்படி இருக்கும்? இப்போ பல இந்திய வெப்சைட் அட்மின்களுக்கு இந்த தலைவலிதான் வந்திருக்கு.

கடந்த அக்டோபர் 27, 2026 அன்று Google நிறுவனம் eMudhra-வின் 'emSign ECC Root CA – G3' என்கிற Root Certificate-ஐ தனது Chrome Root Store அமைப்பில் இருந்து நீக்கியது. பொது சான்றிதழ் கண்காணிப்பு தளங்கள் மற்றும் தொழில்நுட்ப ஊடகங்கள் வழியாக இந்த தகவல் உறுதியானது. தொடர்ந்து வந்த தொழில்நுட்ப தணிக்கை கேள்விகள் மற்றும் பிழை சரிசெய்தல் காலக்கெடு காரணமாக இந்த நடவடிக்கை எடுக்கப்பட்டதாக தகவல்கள் தெரிவிக்கின்றன.

இதனைத் தொடர்ந்து, உலகளாவிய பிரவுசர் விதிமுறைகளுக்கு ஏற்ப இனி பொது வெப்சைட்டுகளுக்கு TLS சான்றிதழ்களை வழங்குவதில்லை என eMudhra முடிவெடுத்துள்ளது. அதாவது பொது வெப்சைட்டுகளுக்கான HTTPS சான்றிதழ் வர்த்தகத்தில் இருந்து அந்நிறுவனம் விலகியிருக்கிறது. பெங்களூரை தலைமையிடமாகக் கொண்ட eMudhra, இந்தியாவின் டிஜிட்டல் ஐடென்டிட்டி சந்தையில் மிகப்பெரிய நிறுவனமாக இருந்தாலும், உலகளாவிய வெப் செக்யூரிட்டி அரங்கில் இருந்து இப்படி ஒரு வெளியேற்றம் நடந்திருப்பது இணைய உலகத்தில் பெரிய விவாதத்தை கிளப்பியிருக்கிறது.

உலக அளவில் DigiCert, Sectigo போன்ற பெரும் சர்வதேச நிறுவனங்களுக்கு இணையாக ஒரு இந்திய நிறுவனம் தடம் பதிக்க எடுத்த முயற்சிகளில் இது முக்கியமான பின்னடைவாக பார்க்கப்படுகிறது. அதே நேரம், வாடிக்கையாளர்களுக்கு இது குறித்த தகவல் எப்படி கொண்டு செல்லப்பட்டது என்கிற கேள்விகளும் இப்போது எழுந்துள்ளன.

இது எப்படி வேலை செய்யும்?#

இந்த விவகாரத்தை புரிஞ்சுக்கணும்னா, முதல்ல இணையத்தில் ஒரு வெப்சைட் எப்படி பாதுகாப்பாக இயங்குது என்பதை பார்க்கணும். நீங்க Chrome அல்லது Safari பிரவுசரில் ஒரு வெப்சைட்டை திறக்கும்போது முகவரிக்கு பக்கத்தில் ஒரு பூட்டு சின்னம் இருக்கும் அல்லவா? அதுதான் HTTPS பாதுகாப்பு.

அதாவது, உங்க கம்ப்யூட்டருக்கும் சம்பந்தப்பட்ட வெப்சைட் சர்வர்க்கும் இடையே போகும் தகவல்கள் என்க்ரிப்ட் செய்யப்பட்டு பாதுகாப்பாக போகுது என்பதை இது குறிக்கும். உதாரணமாக, நீங்க ஒரு கேடட் ஐடி பார்க் வாசலுக்கு போகும்போது, அங்கிருக்கும் செக்யூரிட்டி உங்க நிறுவன ஐடி கார்டை பார்த்துவிட்டு உள்ளே அனுமதிப்பது போலத்தான் இது. உங்க பிரவுசர்தான் அந்த செக்யூரிட்டி.

பிரவுசர்கள் ஒரு வெப்சைட்டை நம்பலாமா வேண்டாமா என்பதை 'Root Store' என்கிற அங்கீகரிக்கப்பட்ட அமைப்புகளின் பட்டியலை வைத்து முடிவு செய்யும். இந்த பட்டியலில் இருக்கும் நிறுவனங்களைத்தான் Certifying Authorities (CA) என்று சொல்வார்கள். இந்த நிறுவனங்கள் ஒரு வெப்சைட்டுக்கு கொடுக்கும் சான்றிதழைத்தான் பிரவுசர்கள் ஏற்கும்.

ஒரு சர்வதேச CA அமைப்பை நடத்துவது அவ்வளவு எளிதான காரியம் இல்லை. CA/Browser Forum என்கிற உலகளாவிய கூட்டமைப்பு இதற்காக மிகக் கடுமையான பாதுகாப்பு விதிகளை வைத்திருக்கிறது. சிறிய தொழில்நுட்ப கோளாறு அல்லது பிழை கண்டறியப்பட்டாலும், அதை குறிப்பிட்ட சில மணி நேரங்களுக்குள் சரிசெய்து வெளிப்படையாக அறிக்கை சமர்ப்பிக்க வேண்டும். இதில் ஏற்படும் தாமதங்கள் அல்லது தணிக்கை குறைபாடுகள் நிறுவனங்களின் நன்மதிப்பை பாதிக்கும். அப்படி ஒரு தொடர் விவாதங்களின் முடிவில்தான் Google இந்த கடுமையான முடிவை எடுத்துள்ளது.

இந்தியாவுல நம்ம Website-களுக்கு என்ன மாறும்?#

இந்த செய்தி வந்ததும் இந்திய நெட்டிசன்களுக்கும் வணிகர்களுக்கும் முதலில் வந்த பயம் ஒன்றுதான். 'அப்போ நாம GST தாக்கல் பண்ண, Income Tax ஃபைல் பண்ண வெச்சிருக்கிற eMudhra USB Dongle இனி வேலை செய்யாதா?' என்பதுதான் அந்த கேள்வி.

நிம்மதியான விஷயம் என்னவென்றால், உங்களுடைய டிஜிட்டல் கையொப்ப டோக்கன்களுக்கு (DSC) எந்தவித பாதிப்பும் இல்லை. இந்தியாவில் அரசு வேலைகளுக்கு பயன்படும் DSC அமைப்புகள் மத்திய மின்னணு மற்றும் தகவல் தொழில்நுட்ப அமைச்சகத்தின் கீழ் உள்ள CCA (Controller of Certifying Authorities) வழிகாட்டுதலில் இயங்குகின்றன. இது உள்நாட்டு சட்டப்பூர்வ நெறிமுறை. இதற்கு கூகுளின் குரோம் பிரவுசர் ரூட் ஸ்டோர் தேவையில்லை.

பிரச்சனை எங்கே என்றால், நிறுவனங்கள் தங்களின் பொது வெப்சைட்டுகளுக்கு eMudhra மூலமாக வாங்கிய SSL/TLS சான்றிதழ்களில்தான். ஒருவேளை உங்க கம்பெனி போர்ட்டல் அல்லது ஆன்லைன் ஸ்டோர் இந்த நீக்கப்பட்ட emSign சான்றிதழின் கீழ் இயங்கினால், அதை Chrome பிரவுசரில் திறக்கும் பயனர்களுக்கு செக்யூரிட்டி எச்சரிக்கை காட்டப்படும்.

குறிப்பாக நெட் பேங்கிங், இ-காமர்ஸ் போன்ற இடங்களில் வாடிக்கையாளர்கள் பணம் செலுத்தும் பக்கங்களில் இப்படி எச்சரிக்கை வந்தால் அவர்கள் பயந்து வெளியேறிவிடுவார்கள். இதனால் வணிக நிறுவனங்களின் நம்பகத்தன்மைக்கு உடனடி சிக்கல் ஏற்படும் சூழல் உருவாகியுள்ளது.

நீங்க இப்போ என்ன பண்ணனும்?#

நீங்க ஒரு வெப்சைட் உரிமையாளராகவோ அல்லது சர்வர் அட்மினாகவோ இருந்தால், உடனடியாக செய்ய வேண்டிய வேலைகள் சில உள்ளன. தாமதிக்காமல் இந்த விஷயங்களை கவனியுங்கள்.

முதலில் உங்களுடைய டொமைன்களில் இருக்கும் SSL சான்றிதழ் விவரங்களை சரிபாருங்கள். பிரவுசரில் பூட்டு அடையாளத்தை க்ளிக் செய்தோ அல்லது ஆன்லைன் SSL Checker டூல்ஸ் மூலமாகவோ சான்றிதழை வழங்கிய அமைப்பின் பெயரைப் பாருங்கள். அது emSign அல்லது eMudhra தொடர்புடையதாக இருந்தால் உடனே எச்சரிக்கையாக இருங்கள்.

அடுத்ததாக, அந்த சான்றிதழை நீக்கிவிட்டு சர்வதேச அளவில் அங்கீகரிக்கப்பட்ட மாற்று TLS சான்றிதழுக்கு மாறுங்கள். Let's Encrypt போன்ற இலவச மற்றும் தானியங்கி அமைப்புகள் அல்லது DigiCert, Sectigo போன்ற மாற்று நிறுவனங்களின் சான்றிதழ்களை சில மணி நேரங்களிலேயே உங்கள் சர்வரில் பொருத்திவிட முடியும்.

சாதாரண இணைய பயனர்கள் என்ன செய்ய வேண்டும்? நீங்க வழக்கமாக செல்லும் அரசு இணையதளங்கள் அல்லது ஆன்லைன் ஷாப்பிங் தளங்களில் 'Your connection is not private' என்று வந்தால், 'Proceed anyway' கொடுத்து உள்ளே போகாதீர்கள். குறிப்பாக கடவுச்சொல் மற்றும் வங்கி விவரங்களை அந்த சமயத்தில் உள்ளீடு செய்யாமல் தவிர்ப்பது உங்கள் பணத்துக்கும் தரவுகளுக்கும் நல்லது.

Web Admin-கள் அவசரத்துல பண்ற தப்பு என்ன?#

பல நிறுவனங்கள் இந்த மாதிரி செக்யூரிட்டி பிரச்சனை வரும்போது முதல்ல பண்ற தப்பு, விஷயத்தை தற்காலிகமா தட்டிக்கழிக்க பார்ப்பதுதான். ஆபீஸ் வாட்ஸ்அப் குரூப்ல 'Chrome-ல வரலன்னா Edge அல்லது Firefox-ல ட்ரை பண்ணுங்க' அப்படின்னு கஸ்டமர்களுக்கு சுற்றறிக்கை அனுப்புவாங்க. ஆனா இன்னைக்கு இந்தியாவில் மொபைல் மற்றும் கம்ப்யூட்டர் இரண்டிலும் 80 சதவீதத்துக்கும் அதிகமானவர்கள் Chrome பிரவுசர்தான் பயன்படுத்துறாங்க. கூகுள் ஒருமுறை Root Certificate-ஐ தனது அமைப்பில் இருந்து தூக்கிடுச்சுன்னா, அதை பிரவுசர் மட்டத்தில் பைபாஸ் பண்ணவே முடியாது. தற்காலிக மாற்று வழிகளை தேடாமல், மூல காரணமான சான்றிதழை மாற்ற வேண்டியதுதான் முதல் வேலை.

இன்னொரு பெரிய பிரச்சனை சப்-டொமைன்களை சரிபார்க்காமல் விட்டுவிடுவது. மெயின் வெப்சைட்டுக்கு மட்டும் அவசர அவசரமாக புதிய SSL வாங்கி மாட்டிடுவாங்க. ஆனா பேமெண்ட் கேட்வே போகிற பக்கம், API சர்வர்கள் அல்லது லாகின் போர்ட்டல் போன்ற உள் பக்கங்களை கவனிக்க மறந்துடுவாங்க. உதாரணமாக, நீங்க தமிழ்நாட்டில் ஒரு காலேஜ் பீஸ் கட்டும் போர்ட்டல் அல்லது ஒரு லோக்கல் ஷாப்பிங் வெப்சைட்டில் கார்டில் பணம் செலுத்த போகும்போது, அந்த குறிப்பிட்ட பேங்க் ரீடைரக்ட் பக்கத்தில் சிவப்பு எச்சரிக்கை வந்துச்சுன்னா கஸ்டமர் அப்படியே பேமெண்ட்டை கேன்சல் பண்ணிட்டு போயிடுவாங்க. இது சம்பந்தப்பட்ட நிறுவனத்தின் ஆன்லைன் வருமானத்தையும் நற்பெயரையும் ஒரே நாளில் காலி பண்ணிடும்.

இந்தியாவுக்குனு தனியா Global Root Store வர முடியாதா?#

இந்த சம்பவம் வெளிவந்த பிறகு டெக் வட்டாரத்தில் ஒரு கேள்வி பலமாக ஒலிக்குது. அதாவது, 'எல்லாத்துக்கும் அமெரிக்க பிரவுசர் நிறுவனங்களை நம்பியிருக்காம, இந்தியாவுக்கே சொந்தமா சர்வதேச நிறுவனங்கள் ஏற்கும் Global Root CA இருக்கக்கூடாதா?' என்பதுதான் அது. உண்மை என்னவென்றால், ஒரு பொது Root CA அமைப்பை சர்வதேச அளவில் நடத்துவது சாப்ட்வேர் உருவாக்குவது போல எளிய விஷயம் இல்லை. அதற்குப் பின்னால் பல கோடி ரூபாய் செலவிலான 24/7 சர்வதேச தணிக்கை கட்டமைப்பு, கடுமையான CA/Browser Forum விதிகளுக்கு கீழ்ப்படிதல் மற்றும் முழுமையான வெளிப்படைத்தன்மை ஆகியவை மிக முக்கியம். சிறு பிழை நடந்தாலும் அதை குறிப்பிட்ட சில மணி நேரங்களில் பொதுவெளியில் உலகிற்கு அறிக்கை சமர்ப்பிக்க வேண்டும்.

டிஜிட்டல் இந்தியா திட்டத்தில் நாம் UPI, Aadhaar, ONDC போன்றவற்றில் மிகப்பெரிய உள்நாட்டு புரட்சியை செய்திருக்கிறோம். ஆனால் உலகளாவிய பொது இணைய பாதுகாப்பு என்று வரும்போது, சர்வதேச பிரவுசர்களின் கடுமையான நம்பகத்தன்மை சோதனைகளை வெல்வது மிகக் கடினமான சவாலாகவே இருக்கிறது. eMudhra பொது TLS பிரிவில் இருந்து வெளியேறியிருப்பது இந்திய நிறுவனங்களுக்கு ஒரு தெளிவான பாடம். உலக அரங்கில் தனித்து நிற்க வேண்டும் என்றால் தொழில்நுட்ப உள்கட்டமைப்பு மட்டும் போதாது; அங்குள்ள மிகக் கடுமையான உலகளாவிய விதிமுறைகளையும் தணிக்கை கெடுபிடிகளையும் இடைவிடாமல் பின்பற்ற வேண்டும் என்பதை இந்த விவகாரம் உணர்த்தியிருக்கிறது.