পিএইচপির যে দুটি নিরাপত্তা ত্রুটি শনাক্ত হয়েছে, সেগুলো মূলত ওয়েবসাইটে আসা অনুরোধ প্রক্রিয়াকরণ ও সার্ভারের মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। নির্দিষ্টভাবে তৈরি করা অনুরোধ পাঠিয়ে হ্যাকাররা এসব ত্রুটির সুযোগ নিতে পারে।
বিশ্বজুড়ে বহুল ব্যবহৃত ওয়েব প্রযুক্তি পিএইচপিতে গুরুতর দুটি নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর বিভিন্ন দেশ ও প্রতিষ্ঠান জরুরি সতর্কতামূলক ব্যবস্থা নিতে শুরু করেছে। ইউরোপ ও এশিয়ার একাধিক দেশে বিভিন্ন সরকারি ওয়েবসাইট, আর্থিক প্রতিষ্ঠান, পরিবহন ও অন্যান্য অনলাইন সেবা সাময়িকভাবে বন্ধ রাখা হয়েছে। পিএইচপির দুর্বলতার তথ্য প্রকাশের কয়েক ঘণ্টার মধ্যে হ্যাকিংয়ের চেষ্টা কয়েক মিলিয়নে পৌঁছেছে। বাংলাদেশেও সতর্কতা জারি করেছে সাইবার নিরাপত্তা-সংশ্লিষ্ট বিষয় দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট। সরকারি সংস্থা, ব্যাংক, টেলিযোগাযোগ ও গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারীদের দ্রুত পিএইচপি-ভিত্তিক সিস্টেম শনাক্ত ও নিরাপত্তা হালনাগাদের পরামর্শ দিয়েছে তারা। নিরাপত্তাঝুঁকি বিবেচনায় নিয়ে গতকাল সন্ধ্যা থেকে বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়। মধ্যরাতে এ প্রতিবেদন লেখা পর্যন্ত ওয়েবসাইটটি বন্ধ ছিল।
বিশ্বে যেসব ওয়েবসাইটের ব্যবহৃত প্রোগ্রামিং ভাষা শনাক্ত করা যায়, সেগুলোর প্রায় ৭০ শতাংশেই পিএইচপি ব্যবহৃত হয়। জনপ্রিয় কনটেন্ট ব্যবস্থাপনা প্লাটফর্ম ওয়ার্ডপ্রেসও পিএইচপি-নির্ভর। ফলে পিএইচপিতে গুরুতর কোনো নিরাপত্তা ত্রুটি দেখা দিলে তার প্রভাব একটি প্রতিষ্ঠান বা দেশের মধ্যে সীমাবদ্ধ থাকে না। একই দুর্বলতা ব্যবহার করে বিপুলসংখ্যক ওয়েবসাইট একসঙ্গে হামলার লক্ষ্য হতে পারে। বেশি ঝুঁকিতে রয়েছে পিএইচপির দুর্বল ও পুরনো সংস্করণে চলা এবং সরাসরি ইন্টারনেট থেকে ব্যবহারযোগ্য ওয়েবসাইট ও অনলাইন সেবা। এর মধ্যে বিভিন্ন দেশের সরকারি পোর্টাল, ব্যাংক ও আর্থিক প্রতিষ্ঠানের ওয়েবসাইট, ই-কমার্স, প্রশাসনিক ব্যবস্থা, বিভিন্ন প্রতিষ্ঠানের নিজস্ব ওয়েব অ্যাপ্লিকেশন ও শেয়ার্ড হোস্টিংয়ের সাইট রয়েছে। দেশের সরকারি-বেসরকারি বহু অনলাইন সেবাও এ ঝুঁকির আওতায় রয়েছে বলে মনে করেন প্রযুক্তি বিশেষজ্ঞরা।
প্রযুক্তিবিদ ও ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বণিক বার্তাকে বলেন, ‘সমস্যাটি পিএইচপির নিজস্ব ব্যবস্থায়। ফলে ঝুঁকিপূর্ণ পিএইচপি সংস্করণ ব্যবহার করলে সার্ভার আক্রান্ত হতে পারে। এ ত্রুটি কাজে লাগিয়ে কোনো পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে কোড চালানোর সুযোগ তৈরি হতে পারে।’
বাংলাদেশে কতটি সরকারি ওয়েবসাইট পিএইচপিতে চলে, তার কোনো প্রকাশিত হিসাব নেই জানিয়ে তিনি বলেন, ‘দেশের ৬০ থেকে ৮৫ শতাংশ সরকারি-বেসরকারি ওয়েবসাইটে এটি ব্যবহৃত হতে পারে। প্রথম কাজ হওয়া উচিত পিএইচপি সংস্করণের তালিকা তৈরি এবং সরাসরি ইন্টারনেট থেকে ব্যবহারযোগ্য সার্ভারগুলোকে অগ্রাধিকার দেয়া। এরপর যত দ্রুত সম্ভব সংশোধিত সংস্করণে হালনাগাদ করতে হবে। হালনাগাদ সম্পন্ন না হওয়া পর্যন্ত ফায়ারওয়ালসহ অন্যান্য নিরাপত্তা ব্যবস্থা কিছুটা ঝুঁকি কমাতে পারে, তবে এগুলো স্থায়ী সমাধান নয়। হালনাগাদ সম্ভব না হলে সংশ্লিষ্ট ওয়েবসাইট সাময়িকভাবে বিচ্ছিন্ন রাখা উচিত। একই সঙ্গে গত কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ বা অনুপ্রবেশের লক্ষণ খুঁজে দেখা জরুরি।’
পিএইচপির যে দুটি নিরাপত্তা ত্রুটি শনাক্ত হয়েছে, সেগুলো মূলত ওয়েবসাইটে আসা অনুরোধ প্রক্রিয়াকরণ ও সার্ভারের মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। নির্দিষ্টভাবে তৈরি করা অনুরোধ পাঠিয়ে হ্যাকাররা এসব ত্রুটির সুযোগ নিতে পারে। এতে কোনো পাসওয়ার্ড বা ব্যবহারকারীর অনুমতি ছাড়াই আক্রান্ত সার্ভারে নিজেদের কোড চালানোর সুযোগ তৈরি হতে পারে। একবার এ সুযোগ পেলে তারা সার্ভারে রক্ষিত তথ্য দেখা বা পরিবর্তন, গোপন পাসওয়ার্ড ও অন্যান্য গুরুত্বপূর্ণ তথ্য চুরি কিংবা ওয়েবসাইট ও অনলাইন সেবা অচল করার চেষ্টা করতে পারে। যে কারণে ইউরোপ, অস্ট্রেলিয়া, জাপান এবং যুক্তরাজ্যের সাইবার নিরাপত্তা সংস্থাগুলো অবিলম্বে পিএইচপি হালনাগাদ করতে অথবা প্যাচ প্রয়োগ না করা পর্যন্ত ওয়েবসাইট বন্ধ রাখার পরামর্শ দিয়েছে। ইউরোপের অধিকাংশ দেশ ঝুঁকি এড়াতে সরকারি ওয়েবসাইট সাময়িক বন্ধ রেখেছে।
এ ঝুঁকি নিয়ে বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তা-সংশ্লিষ্ট বিষয় দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট। সংস্থাটি সরকারি সংস্থা, আর্থিক প্রতিষ্ঠান, টেলিযোগাযোগ সেবাদাতা, গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী প্রতিষ্ঠান, শিক্ষাপ্রতিষ্ঠান ও বেসরকারি সংস্থাগুলোকে তাদের ব্যবহৃত পিএইচপি সিস্টেম দ্রুত শনাক্ত করে নিরাপদ সংস্করণে হালনাগাদের পরামর্শ দিয়েছে। বিশেষ করে সরাসরি ইন্টারনেট থেকে ব্যবহার করা যায় এমন সিস্টেমগুলোকে অগ্রাধিকার দিতে বলা হয়েছে। তাৎক্ষণিকভাবে হালনাগাদ সম্ভব না হলে ঝুঁকিপূর্ণ সেবা সাময়িকভাবে বন্ধ রাখা, প্রবেশাধিকার সীমিত করা এবং মূল সার্ভারে সরাসরি সংযোগ বন্ধ রাখার পরামর্শও দিয়েছে সার্ট। পাশাপাশি সার্ভারের লগ ও সংশ্লিষ্ট কার্যক্রম পরীক্ষা করতে বলা হয়েছে।
বিজিডি ই-গভ সার্ট প্রকল্পের পরিচালক (পিডি) মো. নাজমুল হক খন্দকার বণিক বার্তাকে বলেন, ‘পিএইচপি নিরাপত্তা ত্রুটি নিয়ে সতর্কতা জারির পর এটুআই এবং ডেটা সেন্টার কোম্পানিকে অবহিত করা হয়েছে। নিরাপত্তা ত্রুটি মোকাবেলায় সংশ্লিষ্ট প্রতিষ্ঠানগুলো নিজ নিজ অবস্থান থেকে ব্যবস্থা নিচ্ছে। যেসব প্রতিষ্ঠান এ ত্রুটির কারণে ঝুঁকির আশঙ্কায় রয়েছে, তারা প্রয়োজনে সাময়িকভাবে ওয়েবসাইট বন্ধ রেখে নিরাপত্তা প্যাচ হালনাগাদের কাজ করতে পারে।’
গত রাত পর্যন্ত এ ধরনের হামলার কোনো তথ্য সার্টের কাছে ছিল না। তবে কিছু প্রতিষ্ঠান নিরাপত্তা ঝুঁকি এড়াতে আগাম সতর্কতামূলক ব্যবস্থা হিসেবে প্যাচ হালনাগাদের কাজ শুরু করেছে বলেও জানান মো. নাজমুল হক খন্দকার।
দুর্বলতার তথ্য প্রকাশ হওয়ার পর এ ঝুঁকি কত দ্রুত বাস্তব হামলার চেষ্টায় রূপ নিচ্ছে সে ধারণা দিয়েছে ক্লাউড সেবা প্রতিষ্ঠান ক্লাউডফ্লেয়ার। প্রতিষ্ঠানটির প্রধান নির্বাহী ম্যাথিউ প্রিন্স জানিয়েছেন, আনুষ্ঠানিকভাবে তথ্য প্রকাশের ১০ ঘণ্টার মধ্যে হামলার চেষ্টা কয়েক মিলিয়ন ছাড়ায়।
ঝুঁকি বিবেচনায় ইউরোপের বিভিন্ন দেশ বুধবার থেকেই সতর্কতামূলক ব্যবস্থা নিতে শুরু করে। জার্মানির কেন্দ্রীয় তথ্যপ্রযুক্তি সেবাদাতা সংস্থা কয়েকটি সরকারি ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেয়। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় স্থানীয় প্রশাসনের বিভিন্ন ওয়েবসাইট বন্ধ রাখে। নেদারল্যান্ডসে রটারডাম বন্দর, সরকারি ওয়েবসাইট, রাজনৈতিক দল এবং কয়েকটি হাসপাতালের ওয়েবসাইট সাময়িকভাবে বন্ধ করা হয়। ফিনল্যান্ড সরকারও সরকারি ওয়েবসেবা বন্ধ রেখে নিরাপত্তা হালনাগাদের কাজ শুরু করে। এশিয়াতেও একই ধরনের পদক্ষেপ দেখা গেছে। জাপানের অর্থ মন্ত্রণালয় ও আবহাওয়া সংস্থা কিছু অনলাইন সেবা সীমিত করেছে। দেশটির কর বিভাগ সাময়িকভাবে অনলাইন সেবা বন্ধ করে। বড় আর্থিক প্রতিষ্ঠান, বিমান সংস্থা ও রেল কোম্পানিও কিছু সেবা সাময়িকভাবে স্থগিত করেছে।
নিরাপত্তা সতর্কতা জারির পর গতকাল সন্ধ্যা থেকে সতর্কতামূলক পদক্ষেপ হিসেবে বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইটটি বন্ধ করা হয়। ওয়েবসাইটে প্রবেশ করলে দেখা যাচ্ছে, ‘নির্ধারিত রক্ষণাবেক্ষণ কাজের জন্য সার্ভিসটি সাময়িকভাবে বন্ধ রাখা হয়েছে এবং শিগগিরই তা আবার সচল করা হবে।’
বাংলাদেশ ব্যাংকের মুখপাত্র ও নির্বাহী পরিচালক আরিফ হোসেন খান বণিক বার্তাকে বলেন, ‘বিশ্বজুড়ে বিভিন্ন দেশের কেন্দ্রীয় ব্যাংকে হ্যাকাররা ধারাবাহিকভাবে সাইবার হামলা চালাচ্ছে। তাই সম্ভাব্য সাইবার হামলা থেকে সুরক্ষা পেতে এবং আগাম সতর্কতার অংশ হিসেবে বাংলাদেশ ব্যাংকের সাইটটি সাময়িকভাবে বন্ধ রাখা হয়েছে। প্রয়োজনীয় সাইবার নিরাপত্তা জোরদার ও পরীক্ষা-নিরীক্ষা সম্পন্ন হওয়ার পরপরই ওয়েবসাইটটি পুনরায় সচল করা হবে।’
সংশ্লিষ্টরা বলছেন, বাংলাদেশের সামনে এখন মূল চ্যালেঞ্জ দুটি। প্রথমত, সরকারি ও গুরুত্বপূর্ণ বেসরকারি প্রতিষ্ঠানের কোন কোন অনলাইন সেবা এবং ওয়েবসাইট এ ত্রুটির ঝুঁকিতে রয়েছে, তা দ্রুত শনাক্ত করা। দ্বিতীয়ত, কেবল নিরাপত্তা হালনাগাদেই থেমে না থেকে এরই মধ্যে কোথাও অনুপ্রবেশের চেষ্টা বা হামলা হয়েছে কিনা, তা পরীক্ষা করা।
তথ্যপ্রযুক্তিবিদ ও সিঙ্গাপুরে ওমরন হেলথকেয়ারের ইঞ্জিনিয়ারিং ম্যানেজার ড. মশিউর রহমান বলেন, ‘বাংলাদেশে অনেক প্রতিষ্ঠান এখনো পুরনো প্রযুক্তি ও পুরনো পিএইচপি সংস্করণের ওপর নির্ভরশীল। ফলে ঝুঁকি বাংলাদেশের জন্য তুলনামূলকভাবে বেশি হতে পারে। এ মুহূর্তে সবচেয়ে জরুরি কাজ হলো ঝুঁকিপূর্ণ পিএইচপি সংস্করণগুলো দ্রুত প্যাচ করা। এর বিকল্প কোনো কার্যকর সমাধান নেই।’
দীর্ঘমেয়াদে সাইবার নিরাপত্তার বিষয়গুলো আরো গুরুত্ব দিয়ে দেখার পরামর্শ দিয়ে ড. মশিউর রহমান বলেন, ‘কোন প্রতিষ্ঠানে কোন সিস্টেম, সফটওয়্যার বা ফ্রেমওয়ার্ক ব্যবহার করা হচ্ছে, সেগুলো নিয়মিত হালনাগাদ হচ্ছে কিনা এবং কোথায় সম্ভাব্য নিরাপত্তা ঝুঁকি তৈরি হচ্ছে—এসব পর্যবেক্ষণের জন্য একটি নির্দিষ্ট টিম থাকা দরকার। পাশাপাশি ব্যবহৃত সিস্টেম ও ফ্রেমওয়ার্ক নিয়মিত নিরাপত্তা অডিটের আওতায় আনতে হবে।’
যেকোনো সফটওয়্যারের পুরনো, বিশেষ করে নির্মাতার সমর্থন বন্ধ হয়ে যাওয়া সংস্করণ ব্যবহার করলে নিরাপত্তা ঝুঁকি থেকেই যায় বলে মনে করেন বাংলাদেশ প্রকৌশল বিশ্ববিদ্যালয়ের (বুয়েট) কম্পিউটার সায়েন্স অ্যান্ড ইঞ্জিনিয়ারিং বিভাগের সহযোগী অধ্যাপক সুকর্ণ বড়ুয়া। তিনি বণিক বার্তাকে বলেন, ‘নির্মাতা প্রতিষ্ঠান পুরনো কোনো সংস্করণের সাপোর্ট বন্ধ করে দিলে নিরাপত্তা ত্রুটি ধরা পড়লেও সেটির প্যাচ বা হালনাগাদ পাওয়া যায় না। শতভাগ নিরাপত্তা নিশ্চিত করা সম্ভব না হলেও সমর্থিত ও হালনাগাদ সংস্করণ ব্যবহার করলে ঝুঁকি অনেকটাই কমানো যায়। যে সংস্করণে দুর্বলতা নেই, যত দ্রুত সম্ভব সেই হালনাগাদ সংস্করণে চলে যেতে হবে। যদি তৎক্ষণাৎ হালনাগাদ সম্ভব না হয়, তাহলে প্যাচ না পাওয়া পর্যন্ত ঝুঁকিপূর্ণ ওয়েবসাইট চালু রাখা ঠিক হবে না। বিশেষ করে দুর্বলতা যখন গুরুতর, তখন সতর্কতামূলকভাবে সেবা বন্ধ রাখাই নিরাপদ।’
সংশ্লিষ্টরা বলছেন, পিএইচপির এ নিরাপত্তা ত্রুটি সরাসরি কোর ব্যাংকিং ব্যবস্থার জন্য ঝুঁকি না হলেও ব্যাংক ও আর্থিক প্রতিষ্ঠানের ওয়েবসাইট এবং অন্যান্য ইন্টারনেটমুখী সেবার জন্য উদ্বেগের কারণ রয়েছে। কোনো ব্যাংকের ওয়েবসাইট, গ্রাহকসেবা পোর্টাল বা অন্য ওয়েবভিত্তিক ব্যবস্থা ঝুঁকিপূর্ণ পিএইচপি সংস্করণে চললে হামলাকারীরা সংরক্ষিত তথ্য বা প্রবেশাধিকার হাতিয়ে নিতে কিংবা সেবা ব্যাহত করার চেষ্টা করতে পারে। এ কারণেই বিভিন্ন দেশের আর্থিক প্রতিষ্ঠান সতর্কতামূলকভাবে কিছু অনলাইন সেবা বন্ধ রেখে নিরাপত্তা হালনাগাদ করছে।
রয়টার্সের তথ্য অনুযায়ী, জাপানের বড় আর্থিক প্রতিষ্ঠান নোমুরা ও মিতসুবিশি ইউএফজে ফাইন্যান্সিয়াল গ্রুপ নিরাপত্তা ব্যবস্থা হিসেবে কিছু ইন্টারনেট সেবা সাময়িকভাবে বন্ধ রেখেছে। বীমা প্রতিষ্ঠান টোকিও মেরিন হোল্ডিংসও তাদের গ্রুপ ওয়েবসাইট সাময়িক বন্ধ রেখেছে। তবে এ ঝুঁকিকে কোর ব্যাংকিং ব্যবস্থার সংকট হিসেবে দেখা হচ্ছে না। বরং পিএইচপিনির্ভর ওয়েবসাইট, গ্রাহকসেবা পোর্টাল ও অন্যান্য ইন্টারনেটমুখী সেবাকে দ্রুত শনাক্ত, পরীক্ষা ও নিরাপত্তা হালনাগাদের ওপর জোর দেয়া হচ্ছে।
পিএইচপির বর্তমান নিরাপত্তা ত্রুটি নিয়ে ব্যাংক খাতে আতঙ্কিত হওয়ার মতো কারণ নেই বলে মনে করেন ওয়ান ব্যাংকের ব্যবস্থাপনা পরিচালক মুহিত রহমান। তিনি বণিক বার্তাকে বলেন, ‘কোর ব্যাংকিংয়ে পিএইচপি ব্যবহার হয় না বললেই চলে। কোনো কোনো ব্যাংকের ওয়েবসাইটে পিএইচপি ব্যবহার হয়ে থাকতে পারে। তবে কোর ব্যাংকিংয়ের সঙ্গে বিষয়টিকে এক করে দেখলে অযথা আতঙ্ক তৈরি হতে পারে।’
বিশেষজ্ঞরা বলছেন, বর্তমানে যে পরিস্থিতি দেখা দিয়েছে এটি শুধু বাংলাদেশের সমস্যা নয়, বৈশ্বিক সাইবার নিরাপত্তা ঝুঁকি। বিশ্বের বিভিন্ন দেশ ও প্রতিষ্ঠান নিজেদের ঝুঁকি যাচাই করছে এবং প্রয়োজনীয় প্রতিকারমূলক ব্যবস্থা নিচ্ছে। বাংলাদেশকে সতর্কতামূলক অবস্থান নিতে হবে।
জানতে চাইলে জাতীয় সাইবার সুরক্ষা এজেন্সির (এনসিএসএ) মহাপরিচালক ড. মো. তৈয়বুর রহমান বণিক বার্তাকে বলেন, ‘আমরা সার্ট ও সংশ্লিষ্ট সরকারি সংস্থাগুলোর সঙ্গে সমন্বয় করে সম্ভাব্য প্রভাব মূল্যায়ন, নিরাপত্তা হালনাগাদের অগ্রগতি পর্যবেক্ষণ এবং প্রয়োজনীয় সুরক্ষা ব্যবস্থা বাস্তবায়নে কাজ করছি। আমাদের অগ্রাধিকার হলো যত দ্রুত সম্ভব ঝুঁকিপূর্ণ সিস্টেম সুরক্ষিত করা, একই সঙ্গে সরকারি ডিজিটাল সেবার ধারাবাহিকতা ও নির্ভরযোগ্যতা বজায় রাখা।’
এ বিষয়ে সরকারও সতর্ক রয়েছে বলে জানিয়েছেন তথ্য ও যোগাযোগ প্রযুক্তি বিভাগের সচিব মো. মামুনুর রশীদ ভূঞা। তিনি বণিক বার্তাকে বলেন, ‘আমরা দেশের গুরুত্বপূর্ণ তথ্য অবকাঠামোগুলোকে সতর্ক করছি। পাশাপাশি সাইবার নিরাপত্তা খাতে আমাদের সক্ষমতা বাড়ানোর জন্যও বিভিন্ন উদ্যোগ নেয়া হচ্ছে।’