ओटीपीबिनै राष्ट्रिय परिचयपत्र नम्बर प्राप्त हुने सरकारी प्रणालीको सुरक्षा कमजोरी अन्तत: समाधान

काठमाडौं । सरकारी पोर्टलमा रहेको प्राविधिक कमजोरीका कारण ओटीपी (वान टाइम पासवर्ड) प्रमाणीकरणबिनै कुनै पनि व्यक्तिको राष्ट्रिय परिचयपत्र नम्बर प्राप्त गर्न सकिने सुरक्षा जोखिम अन्तत: समाधान भएको छ । राष्ट्रिय परिचयपत्र तथा पञ्जीकरण विभागले प्रोभिजनल राष्ट्रिय परिचय पत्र (ईएनआईडी) डाउनलोड गर्ने प्रणालीमा रहेको उक्त कमजोरी शनिबार राति सच्याएको हो ।

यसअघि ईएनआईडी डाउनलोडका लागि नागरिकता नम्बर र आवश्यक विवरण भरेपछि सम्बन्धित व्यक्तिको मोबाइलमा ओटीपी  जान्थ्यो । तर ओटीपी नराखे पनि प्रणालीको ब्याकइन्डबाट राष्ट्रिय परिचयपत्र नम्बर प्राप्त गर्न सकिने प्राविधिक त्रुटि रहेको थियो । 

विभागले केही समयअघि मात्र प्रोभिजनल राष्ट्रिय परिचय पत्र डाउनलोड गर्न मिल्ने डिजिटल सेवा सुरु गरेको थियो । सुरुवाती चरणमा नाम, नागरिकता नम्बर र नागरिकता जारी मिति राख्दा जोकोहीको परिचय पत्र डाउनलोड गर्न सकिने भएपछि यसको सुरक्षामाथि प्रश्न उठेको थियो ।

टेकपानाले प्रधानमन्त्री वालेन्द्र शाह (बालेन) र राष्ट्रिय स्वतन्त्र पार्टीका सभापति रवि लामिछाने, गृहमन्त्री सुधन गुरुङ लगायतका विशिष्ट व्यक्तिको ईएनआईडी सहजै डाउनलोड गरेर देखाएपछि विभागले प्रणालीमा ओटीपी प्रमाणीकरण प्रकृया थप गरेको थियो । तर, उक्त प्रणाली लागू भए पनि ब्याकइन्डमा प्राविधिक कमजोरी बाँकी नै रहेको पाइएको थियो ।

सफ्टवेयर डेभलपर सुविज्ञ सुवेदीले ओटीपी कोड नराखे पनि राष्ट्रिय परिचय पत्र नम्बर हेर्न सकिने अर्को कमजोरी फेला पारेका थिए । प्रणालीको प्राविधिक त्रुटिबारे जानकारी दिँदै सुवेदीले भने, “ईएनआईडी डाउनलोड गर्ने पोर्टलमा नागरिकताको विवरण भरेपछि मोबाइलमा ओटीपी जान्छ । तर, ओटीपी पठाउने पोस्ट एपीआई इन्डपोइन्टले रेस्पोन्स बडी (Response Body) मै राष्ट्रिय परिचय पत्र नम्बर पनि पठाइरहेको थियो । जसले गर्दा यदि कसैसँग कुनै व्यक्तिको नागरिकता विवरण छ भने उसले सजिलै राष्ट्रिय परिचय पत्र नम्बर पाउन सक्ने अवस्था थियो ।”

यो एक सामान्य ब्याकइन्ड बग भएको उल्लेख गर्दै सुवेदीले थपे, “डेभलपरले ओटीपी पठाउने एपीआईको रेस्पोन्स विवरणमा परिचय पत्र नम्बर राखिदिएकाले यो समस्या आएको थियो, जुन अहिले ब्याकइन्ड कोडबाट हटाएर समाधान भइसकेको देखिन्छ ।”

सामान्यतः यो कमजोरी पत्ता लगाउन प्रोभिजनल राष्ट्रिय परिचय पत्र डाउनलोड गर्ने सेक्सनमा गएर ब्राउजरको ‘इन्सपेक्ट’ (Inspect) फिचर अन्तर्गत ‘नेटवर्क ट्याब’ हेर्नुपर्ने हुन्थ्यो । त्यहाँ आवश्यक विवरण राखेर ओटीपी पठाउँदा नेटवर्क ट्याबमा राष्ट्रिय परिचय पत्र नम्बर स्पष्ट देखिन्थ्यो ।

सुवेदीले यो सुरक्षा कमजोरीका विषयमा विभागमा सम्पर्क गरेपछि ब्याकइन्ड कोडबाट राष्ट्रिय परिचय पत्र नम्बर हटाइएको र हाल उक्त नम्बरलाई इन्क्रिप्टेड (सुरक्षित कोड) फर्ममा राखेर समस्याको समाधान गरिएको छ ।

वैयक्तिक गोपनीयता सम्बन्धी ऐन, २०७५ ले राष्ट्रिय परिचय पत्र नम्बरलाई वैयक्तिक सूचनाको रूपमा परिभाषित गरेको छ । उक्त ऐनको दफा २५ को उपदफा (१) मा सरकारी निकायले संकलन गरेको वैयक्तिक सूचनाको संरक्षण सोही निकायले गर्नुपर्ने कानुनी व्यवस्था छ । सरकारी कमजोरीका कारण नागरिकको संवेदनशील विवरण सार्वजनिक हुने जोखिम बढेको भन्दै यसअघि सरोकारवालाले चासो व्यक्त गरेका थिए ।

पछिल्लो अध्यावधिक: साउन ३, २०८३ १५:०

टिप्पणीहरू