जबकि अभी भी छात्रों का आक्रोश जारी है ऑन स्क्रीन मार्किंग (ओएसएम) प्रणाली कक्षा 12 की बोर्ड परीक्षाओं के लिए, केंद्रीय माध्यमिक शिक्षा बोर्ड (सीबीएसई) ने खुद को हाल ही में एक और विवाद के केंद्र में पाया, जब एक किशोर ने उसके पोर्टल को “हैक” करने का दावा किया।
बड़े दावों के पीछे 19 वर्षीय “शौकिया साइबर सुरक्षा शोधकर्ता” निसर्ग अधिकारी का हाथ है, जिसके बाद सीबीएसई ने भी मंगलवार को एक स्पष्टीकरण जारी किया, जिसमें उन दावों को खारिज कर दिया गया कि उसके अंकन मंच से समझौता किया गया था।
भारत के इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी (आईटी) मंत्रालय के एक वरिष्ठ अधिकारी ने हिंदुस्तान टाइम्स को बताया कि सीईआरटी-इन (भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम) इस मामले को देख रही है और इसे सीबीएसई के साथ उठाया है, साथ ही मुद्दों को ठीक करने के उपाय भी सुझाए हैं, जिसे बाद में उन्होंने पूरा करने का बीड़ा उठाया। यह प्रतिक्रिया फरवरी में कथित खामियों के बारे में सीईआरटी-इन को निसर्ग के खुलासे के बाद की गई कार्रवाई के बारे में सवालों के जवाब में दी गई थी।
गौरतलब है कि सीबीएसई ने इसकी शुरुआत की थी ओएसएम प्रणाली इस वर्ष फरवरी में कक्षा 12 की बोर्ड परीक्षाओं के मूल्यांकन के लिए। इस पद्धति के तहत, उत्तर पुस्तिकाओं को डिजिटल रूप से स्कैन किया जाता है और ऑनलाइन जांचा जाता है। शिक्षा बोर्ड के अनुसार, इससे मिलान त्रुटियों से बचने में मदद मिलती है और मैन्युअल भागीदारी कम हो जाती है।
क्या है ‘हैकिंग’ दावा विवाद?
निसर्ग अधिकारी19 वर्षीय साइबर सुरक्षा शौक शोधकर्ता, जिसने इस साल अपनी 12वीं कक्षा की परीक्षा पूरी की है, ने दावा किया कि उसने सीबीएसई वेबसाइट को हैक कर लिया है और ओएसएम प्रणाली में गंभीर खामियों की पहचान की है।
हालाँकि 22 मई की उनकी एक्स पोस्ट पर शुरुआत में कम ध्यान दिया गया, लेकिन बाद में प्रौद्योगिकी उद्यमी डीडी दास ने इस पर ध्यान दिया और इसे अपने अकाउंट पर साझा किया। दास ने इसे “पूरी तरह से शर्मिंदगी” बताया और दावा किया कि खामियां किसी को “किसी भी छात्र के अंक देखने और बदलने” में सक्षम कर सकती हैं।
अपनी वेबसाइट पर प्रकाशित और एक्स पर भी साझा किए गए एक विस्तृत ब्लॉग पोस्ट में, निसर्ग ने कहा कि उन्होंने फरवरी में सीबीएसई के ओएसएम पोर्टल में कई प्रमुख सुरक्षा खामियों की पहचान की थी और उन्हें सीईआरटी-इन को रिपोर्ट किया था।
हालाँकि, उन्होंने दावा किया कि उनके द्वारा उठाए गए कई मुद्दे काफी समय तक अनसुलझे रहे।
‘मैंने अंदर जो पाया वह भयानक था’
निसारगा ने कहा कि वेबसाइट का मुख्य पृष्ठ पहली नज़र में सामान्य लग रहा था, लेकिन अंतर्निहित कोड की जांच करने के बाद समस्याएं दिखाई देने लगीं। उनके ब्लॉग के अनुसार, उन्होंने सिस्टम की जितनी गहराई से जांच की, कथित समस्याएं उतनी ही गंभीर दिखाई दीं।
“अधिकांश आधुनिक सिंगल-पेज ऐप्स की तरह, पोर्टल एक एंगुलर एप्लिकेशन है जो अपने संपूर्ण फ्रंटएंड लॉजिक को एक बंडल, मिनीफाइड जावास्क्रिप्ट फ़ाइल में भेजता है। ब्राउज़र इस फ़ाइल को डाउनलोड करता है और ऐप की हर स्क्रीन को रेंडर करने के लिए इसे स्थानीय रूप से चलाता है। कोई भी इसके लिए अनुरोध कर सकता है, लॉग इन किया हो या नहीं। इसलिए मैंने इसे प्रिंट किया और पढ़ना शुरू किया। अंदर जो मैंने पाया वह भयानक था, “19 वर्षीय ने लिखा।
उनके प्रमुख दावों में से एक में वह हार्ड-कोडेड “मास्टर पासवर्ड” शामिल था जो कथित तौर पर वेबसाइट द्वारा उपयोग किए जाने वाले सार्वजनिक रूप से सुलभ जावास्क्रिप्ट बंडल में दिखाई देता था।
“मास्टर पासवर्ड” दोष का अर्थ यह होगा कि वेबसाइट के कोड में एक सार्वभौमिक गुप्त पासवर्ड छिपा हुआ है। यदि किसी को इसका पता चलता है, तो वे शिक्षक के मोबाइल फोन पर भेजे गए ओटीपी की आवश्यकता के बिना किसी भी परीक्षक के रूप में साइन इन कर सकते हैं।
उन्होंने कहा कि पासवर्ड कथित तौर पर सीधे वेबसाइट के फ्रंट-एंड कोड में दिखाई दे रहा था। उनके अनुसार, एक बार लॉगिन पेज में मास्टर पासवर्ड दर्ज करने के बाद, एप्लिकेशन स्वचालित रूप से ओटीपी फ़ील्ड को पूरा कर लेता है और सामान्य प्रमाणीकरण प्रक्रिया को छोड़ देता है। उन्होंने यह भी कहा कि दूसरी स्तर की जांच या सर्वर सत्यापन की कोई आवश्यकता नहीं है।
उन्होंने कहा कि एक विशिष्ट परीक्षक के रूप में लॉग इन करने के लिए कथित तौर पर केवल इसकी आवश्यकता होगी:
- लक्ष्य उपयोगकर्ता की आईडी और स्कूल कोड, दोनों सार्वजनिक रूप से उपलब्ध हैं।
- जावास्क्रिप्ट फ़ाइल में संग्रहीत मास्टर पासवर्ड किसी के लिए भी सुलभ है।
“उनके साथ, मैं एक परीक्षक के रूप में लॉग इन करने में सक्षम था (ओटीपी/2एफए प्रवाह को पूरी तरह से दरकिनार कर) और मूल्यांकन डैशबोर्ड तक पहुंच गया, जहां मैं अंक देख और संपादित कर सकता था,” उन्होंने लिखा।
ओटीपी सिस्टम में भी खामियां?
ब्लॉग के मुताबिक, उन्होंने ओटीपी सिस्टम के भीतर बड़ी समस्याओं का भी आरोप लगाया।
“जब कोई प्रमाणीकरण ट्रिगर करता है, तो सर्वर ओटीपी को ऑथ रिस्पॉन्स के अंदर वापस भेजता है, और ब्राउज़र में चल रहा जावास्क्रिप्ट आपको अनुमति देने से पहले स्थानीय स्तर पर उस मान के विरुद्ध टाइप किए गए मूल्य की तुलना करता है,” उन्होंने लिखा।
सीधे शब्दों में कहें तो उन्होंने कहा कि सर्वर रिस्पॉन्स में ओटीपी ही वापस आ रहा था, जबकि ब्राउजर अलग से जांच करता था कि दर्ज किया गया ओटीपी उससे मेल खाता है या नहीं।
उन्होंने कहा, “आपको जो रहस्य साबित करना है वह सीधे आपके ब्राउज़र को सौंप दिया जाता है, और ब्राउज़र अपना स्वयं का परीक्षण ग्रेड करता है।”
उनके अनुसार, इसका मतलब यह होगा कि नेटवर्क अनुरोधों की जांच करने वाला कोई भी व्यक्ति कथित तौर पर सीधे ओटीपी देख सकता है। चूंकि तुलना प्रक्रिया कथित तौर पर क्लाइंट-साइड कोड में हुई थी, उन्होंने दावा किया कि कोई व्यक्ति फॉर्म को पूरी तरह से बायपास कर सकता है और एप्लिकेशन को बता सकता है कि चेक सफल हो गया है।
उन्होंने लिखा, “हमलावर की मशीन पर चलने वाला सुरक्षा नियंत्रण बिल्कुल भी नियंत्रण नहीं है,” एक बयान जिसने साइबर सुरक्षा विशेषज्ञों का ध्यान आकर्षित किया।
एक और बड़ा दावा: ‘पूरा ऐप वॉक-इन है’
ब्लॉग में दावा किया गया कि अचानक, पासवर्ड और ओटीपी ही सिस्टम के साथ एकमात्र समस्या नहीं थे।
निसारगा ने दावा किया कि एंगुलर-आधारित एप्लिकेशन के कई आंतरिक अनुभागों में कथित तौर पर उचित मार्ग सुरक्षा का अभाव है।
उन्होंने आरोप लगाया कि “/डैशबोर्ड”, “/प्रोफाइल”, “/evalscriptsview” और “/verificationdashboard” जैसे पेज केवल ब्राउज़र स्टोरेज में डमी मान डालकर खोले जा सकते हैं।
उन्होंने कहा, “एक अनाम विज़िटर और एक आंतरिक पृष्ठ के बीच एकमात्र चीज़ /लॉगिन पर डिफ़ॉल्ट रीडायरेक्ट थी, और इसे हराना मामूली बात है।”
उन्होंने आगे दावा किया कि सिस्टम की पासवर्ड रीसेट प्रक्रिया ने बदलाव की अनुमति देने से पहले मौजूदा पासवर्ड को सत्यापित नहीं किया। “वर्तमान पासवर्ड कभी सत्यापित नहीं होता है।”
उन्होंने आरोप लगाया कि इस मुद्दे को उन्होंने “प्रणालीगत आईडीओआर भेद्यता” के साथ जोड़कर हमलावरों को संग्रहीत आईडी को संशोधित करके परीक्षक खातों पर कब्जा करने में सक्षम बनाया जा सकता है। उन्होंने लिखा, “यह पूरी तरह से अकाउंट का अधिग्रहण है, जिसमें कोई प्रमाणिकता नहीं है और कोई अंदरूनी पहुंच नहीं है।”
उन्होंने दावा किया कि एक हमलावर पीड़ित के खाते में प्रवेश कर सकता है, निर्धारित उत्तर पुस्तिकाओं तक पहुंच सकता है और अंकों में बदलाव कर सकता है।
हैकिंग के दावों पर सीबीएसई की प्रतिक्रिया
आरोपों पर प्रतिक्रिया देते हुए, सीबीएसई ने कहा कि उत्तर पुस्तिकाओं की जांच के लिए इस्तेमाल किए गए पोर्टल का यूआरएल किशोर के स्क्रीनशॉट में दिखाए गए यूआरएल से अलग था।
सीबीएसई ने कहा कि उनके द्वारा चिह्नित कथित मुद्दे एक “परीक्षण स्थल” से आए थे।
बोर्ड ने एक्स पर एक पोस्ट में कहा, “शुरुआत में, यह स्पष्ट किया गया है कि उत्तर-पुस्तिकाओं के मूल्यांकन के लिए उपयोग किए जाने वाले पोर्टल में एक अलग यूआरएल है, जिसके साथ न तो समझौता किया गया है और न ही उक्त सोशल मीडिया पोस्ट में बताई गई कमजोरियां हैं। यूआरएल: http://cbse.onmark.co.in केवल आंतरिक परीक्षण और समीक्षा उद्देश्यों के लिए नमूना डेटा के साथ परीक्षण स्थल है।”
बोर्ड ने कहा कि वास्तविक मूल्यांकन प्रक्रिया के लिए उपयोग किए गए ओएसएम पोर्टल में किसी भी सुरक्षा उल्लंघन की पहचान नहीं की गई है।
