ইন্টারনেটের বড় একটি অংশের ভিত্তি হিসেবে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে গুরুতর নিরাপত্তাত্রুটি ধরা পড়েছে। কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে শনাক্ত করা এসব ত্রুটি এক দশকেরও বেশি সময় ধরে অজানা ছিল। ত্রুটিগুলো কাজে লাগিয়ে সাইবার হামলাকারীরা কোনো ধরনের অনুমোদন ছাড়াই আক্রান্ত ওয়েব সার্ভারের নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারে। এ ঘটনায় বুধবার বিশ্বজুড়ে সাইবার নিরাপত্তা সতর্কতা জারি করা হয়েছে। বিভিন্ন দেশের সরকার ও সাইবার নিরাপত্তা সংস্থা ওয়েবসাইট পরিচালনাকারীদের দ্রুত নিরাপত্তা হালনাগাদ করার নির্দেশ দিয়েছে। তা সম্ভব না হলে সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার পরামর্শও দেওয়া হয়েছে।
বিজ্ঞাপন
সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের গবেষকেরা ত্রুটিগুলো শনাক্ত করেন। প্রতিষ্ঠানটি এগুলোকে এআইয়ের মাধ্যমে শনাক্ত হওয়া এ পর্যন্ত সবচেয়ে গুরুতর নিরাপত্তাত্রুটি বলে বর্ণনা করেছে। আর যেসব প্রযুক্তি ব্যবহার করে ত্রুটিগুলো শনাক্ত করা হয়েছে, সেই প্রযুক্তির নির্মাতা ওপেনএআই একে সাম্প্রতিক সময়ের সবচেয়ে প্রভাবশালী নিরাপত্তা সমস্যাগুলোর একটি বলে উল্লেখ করেছে।
পিএইচপি কী, কেন এত ঝুঁকি
পিএইচপি হলো একটি প্রোগ্রামিং ভাষা। এর পূর্ণরূপ পিএইচপি হলো হাইপারটেক্সট প্রিপ্রসেসর। নামটি অনেকের কাছে পরিচিত না হলেও প্রতিদিন অসংখ্য মানুষ এই প্রযুক্তির ওপর নির্ভরশীল ওয়েবসাইট ব্যবহার করেন। ২০০০-এর দশক থেকে বিশ্বজুড়ে ওয়েবসাইট তৈরিতে ভাষাটি ব্যাপকভাবে ব্যবহৃত হয়ে আসছে।
অনলাইন কেনাকাটার বিভিন্ন প্ল্যাটফর্ম, উইকিপিডিয়া এবং ওয়ার্ডপ্রেসসহ বহু ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল। ওয়ার্ডপ্রেস এমন একটি কনটেন্ট ব্যবস্থাপনা ব্যবস্থা, যার সাহায্যে ব্লগসহ বিভিন্ন ধরনের ওয়েবসাইট তৈরি ও পরিচালনা করা হয়।
সাইবার নিরাপত্তা প্রতিষ্ঠান গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বলেন, কেউ যখন উইকিপিডিয়ার মতো কোনো ওয়েবসাইটে প্রবেশ করেন, তখন পিএইচপির কোড প্রয়োজনীয় তথ্য সংগ্রহ করে তা ওয়েবপেজে পাঠযোগ্যভাবে উপস্থাপন করে।
কিন্তু এই প্রযুক্তির নিরাপত্তাত্রুটির কারণে এর ওপর নির্ভরশীল বহু ওয়েবসাইট ঝুঁকিতে পড়েছে। ত্রুটিটি কাজে লাগিয়ে হামলাকারীরা কোনো পরিচয় যাচাই বা অনুমোদন ছাড়াই আক্রান্ত ওয়েব সার্ভারের নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারে।
পল স্পেনের মতে, এআইয়ের ব্যবহার এ ধরনের হামলাকে আরো সহজ ও দ্রুত করে তুলতে পারে। তার ধারণা, এই ত্রুটির কারণে লাখ লাখ ওয়েবসাইট ঝুঁকিতে পড়তে পারে।
অস্ট্রেলিয়ার ইউনিভার্সিটি অব অ্যাডিলেডের সাইবার নিরাপত্তা গবেষক জিল স্লে বলেন, হ্যাকার বা কোনো দেশ যদি এই ত্রুটিকে অস্ত্র হিসেবে ব্যবহার করে ওয়েবসাইট থেকে ব্যক্তিগত তথ্য হাতিয়ে নেয়, তাহলে তার পরিণতি হবে ভয়াবহ।
বিশ্বজুড়ে ওয়েবসাইট বন্ধ
নিরাপত্তাঝুঁকির সতর্কতা ছড়িয়ে পড়ার পর বিশ্বের বিভিন্ন দেশের ওয়েবসাইট ও অনলাইন সেবায় বিঘ্ন দেখা দিয়েছে। গেমিং প্ল্যাটফর্ম থেকে শুরু করে সরকারি ওয়েবসাইট ও অনলাইন ফোরাম—বিভিন্ন ধরনের সেবা এর আওতায় এসেছে।
অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালনাকারী প্রতিষ্ঠান উইকিমিডিয়া সতর্কতামূলক ব্যবস্থা হিসেবে তাদের কয়েকটি সিস্টেম বন্ধ করে দিয়েছে।
ফিনল্যান্ড সরকার, এডিনবরা সিটি কাউন্সিল এবং বিবিসিও তাদের কিছু ওয়েবসাইট ও ওয়েবপেজ বন্ধ রেখেছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও নিজেদের ওয়েবসাইট বন্ধ করে দিয়েছে। স্কটল্যান্ডের বিভিন্ন সরকারি সংস্থা, স্থানীয় কাউন্সিল ও স্বাস্থ্য বোর্ডও সতর্কতামূলক ব্যবস্থা হিসেবে তাদের ওয়েবসাইট বন্ধ রেখেছে।
বিশেষজ্ঞরা বলছেন, যেসব ওয়েবসাইট নিয়মিত রক্ষণাবেক্ষণ করা হয় না, সেগুলো বেশি ঝুঁকিতে থাকতে পারে। বিশেষ করে সীমিত নিরাপত্তা ব্যবস্থাপনা ও অর্থায়নের কারণে ছোট প্রতিষ্ঠানগুলোর ওয়েবসাইট সাইবার হামলার সহজ লক্ষ্য হয়ে উঠতে পারে।
অস্ট্রেলিয়ার নিউ সাউথ ওয়েলস বিশ্ববিদ্যালয়ের (ইউএনএসডব্লিউ সিডনি) সাইবার নিরাপত্তা গবেষক সালিল কানহেরে বলেন, আগামী কয়েক সপ্তাহে এসব ত্রুটি কাজে লাগিয়ে হামলার চেষ্টা বাড়তে পারে। কারণ, ত্রুটিগুলোর কারিগরি বিবরণ এখন প্রকাশ্যে আসছে।
ত্রুটি সারাতে জরুরি হালনাগাদ
বছরের পর বছর ধরে সফটওয়্যারের মধ্যে লুকিয়ে থাকা নিরাপত্তাত্রুটিগুলো শনাক্ত হওয়ার পর বুধবার পিএইচপির উন্নয়নকারীরা সেগুলো ঠিক করতে নিরাপত্তা হালনাগাদ প্রকাশ করেছেন। পিএইচপির পক্ষ থেকে সব ব্যবহারকারীকে দ্রুত সফটওয়্যার হালনাগাদ করার জোরালো আহ্বান জানানো হয়েছে।
বিশ্বের বিভিন্ন দেশের সরকারি কর্তৃপক্ষ ও সাইবার নিরাপত্তা সংস্থাও ওয়েবসাইট পরিচালনাকারীদের একই পরামর্শ দিয়েছে।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) পিএইচপি ব্যবহারকারী সব প্রতিষ্ঠানকে অবিলম্বে নিরাপত্তা হালনাগাদ প্রয়োগ করতে বলেছে। তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে প্রতিষ্ঠানগুলোকে তাদের সিস্টেম বন্ধ রাখার পরামর্শ দিয়েছে সংস্থাটি।
এনএসএ বলেছে, এই ত্রুটি কোনো সিস্টেমের ডেটাবেজে হামলা চালানোর সরাসরি পথ তৈরি করে দিতে পারে। যুক্তরাষ্ট্রের সরকারি বিভাগ ও সংস্থাগুলোতে এই ঝুঁকি এতটাই গুরুতর যে সেখানে অবিলম্বে নিরাপত্তা হালনাগাদ করা প্রয়োজন।
যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রও একই ধরনের সতর্কতা দিয়েছে। পাশাপাশি হামলাকারীরা কোনো সিস্টেমে গোপনে প্রবেশের পথ বা ‘ব্যাকডোর’ তৈরি করে রেখেছে কি না, তা পরীক্ষা করে দেখতে বলেছে সংস্থাটি।
ইউরোপীয় ইউনিয়ন, সিঙ্গাপুর ও অস্ট্রেলিয়ার সংশ্লিষ্ট সংস্থাগুলোও একই ধরনের সতর্কতা জারি করেছে।
জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি নাগরিকদের নিজেদের প্রকাশ্যে প্রবেশযোগ্য ওয়েবসাইটগুলো পিএইচপিতে পরিচালিত হচ্ছে কি না, তা যাচাই করার আহ্বান জানিয়েছেন।
বুধবার সামাজিক যোগাযোগমাধ্যম এক্সে তিনি লেখেন, ‘আজ রাতেই সবাইকে পদক্ষেপ নেওয়ার জন্য আমাদের জরুরি অনুরোধ রয়েছে।’
তাকাইচি আরো বলেন, দ্রুত নিরাপত্তা প্যাচ প্রয়োগ করা কঠিন হলে ঝুঁকি কমাতে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার মতো ব্যবস্থা বিবেচনা করা যেতে পারে।
প্রযুক্তি প্রতিষ্ঠানগুলোও নিজেদের সিস্টেম সুরক্ষিত করতে দ্রুত কাজ করছে। ই-কমার্স প্রতিষ্ঠান অ্যামাজন জানিয়েছে, পিএইচপির নিরাপত্তাত্রুটির বিষয়টি প্রকাশ্যে আসার কয়েক দিন আগেই তারা একাধিক হামলার চেষ্টার লক্ষ্য হয়েছিল। সম্ভাব্য হামলাকারীরা কীভাবে ত্রুটিটির বিষয়ে জানতে পেরেছিল, তা এখনো জানা যায়নি।
কীভাবে ত্রুটি খুঁজে পেল এআই
সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা উন্নত এআই প্রযুক্তি ব্যবহার করে পিএইচপির নিরাপত্তাত্রুটিগুলো শনাক্ত করেন। এসব এআই ব্যবস্থা সফটওয়্যারের কোড বিশ্লেষণ করে মানুষের তুলনায় অনেক দ্রুত ত্রুটি খুঁজে বের করতে পারে। আগের অনেক প্রচলিত ব্যবস্থার চেয়েও এগুলো দ্রুত কাজ করতে সক্ষম।
সালিল কানহেরে বলেন, আধুনিক সফটওয়্যার অত্যন্ত জটিল। এ কারণে কিছু নিরাপত্তাত্রুটি বছরের পর বছর শনাক্ত না-ও হতে পারে।
তিনি বলেন, ‘মূল ত্রুটিগুলো নতুন নয়; পরিবর্তন এসেছে সেগুলো খুঁজে বের করার সক্ষমতায়।’
এ সপ্তাহে নিরাপত্তাত্রুটির আবিষ্কারসংক্রান্ত তথ্য অনলাইনে ফাঁস হয়ে যায়। এর পরিপ্রেক্ষিতে পিএইচপির উন্নয়নকারীরা দ্রুত নিরাপত্তাত্রুটির ঘোষণা দেন। একই সঙ্গে তারা সমস্যাটির ব্যাপকতা তুলে ধরেন।
চ্যাটজিপিটির নির্মাতা ওপেনএআই এক ব্লগ পোস্টে বলেছে, এই ঘটনা দেখিয়েছে, এআই কীভাবে সফটওয়্যারের নিরাপত্তাত্রুটি শনাক্ত করতে পারে। তবে একই প্রযুক্তি ব্যবহার করে হামলাকারীরাও দ্রুত আক্রমণাত্মক সরঞ্জাম ও হামলার কৌশল তৈরি করতে পারে।
পিএইচপির নিরাপত্তা যাচাই করার জন্য ওপেনএআই একটি কর্মসূচিও প্রকাশ করেছে।
অস্ট্রেলিয়ার কুইন্সল্যান্ড বিশ্ববিদ্যালয়ের সাইবার গবেষণা কেন্দ্রের রায়ান কো বলেন, অতীতে অনেক সফটওয়্যার তৈরির সময় নিরাপত্তার চেয়ে কার্যকারিতার ওপর বেশি গুরুত্ব দেওয়া হয়েছিল। এসব সফটওয়্যারের কাঠামোগত দুর্বলতা থেকেই অনেক নিরাপত্তাত্রুটির সৃষ্টি হয়েছে।
কীভাবে নিরাপদ থাকবেন
বিশেষজ্ঞরা ওয়েবসাইট পরিচালনাকারীদের পিএইচপির সর্বশেষ সংস্করণ ব্যবহার করে নিজেদের ওয়েবসাইট সুরক্ষিত করার আহ্বান জানিয়েছেন।
পল স্পেনের মতে, অধিকাংশ প্রযুক্তি দলের জন্য পিএইচপির নিরাপত্তা প্যাচ প্রয়োগ করা ছোট ও নিয়মিত কাজের অংশ। তাই দ্রুত হালনাগাদ সম্পন্ন করা সম্ভব হওয়া উচিত।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা আগামী কয়েক সপ্তাহ বাড়তি সতর্কতা বজায় রাখতে এবং সফটওয়্যার সরবরাহকারীদের হালনাগাদ করা নির্দেশনা নিবিড়ভাবে পর্যবেক্ষণ করতে বলেছে।
সংস্থাটি বলেছে, সংশ্লিষ্ট সিস্টেমের নিরাপত্তা প্যাচ দ্রুত প্রয়োগের বিষয়ে সর্বোচ্চ সতর্কতা বজায় রাখা অত্যন্ত জরুরি।
তবে নিরাপত্তা নিশ্চিত করার প্রধান দায়িত্ব ওয়েবসাইট পরিচালনাকারীদের। ব্যবহারকারীদেরও সতর্ক থাকতে হবে। সালিল কানহেরে বলেন, আক্রান্ত সেবাগুলোর পক্ষ থেকে পাসওয়ার্ড পরিবর্তনের মতো কোনো নিরাপত্তা নির্দেশনা দেওয়া হলে তা অনুসরণ করা উচিত।
এ ছাড়া এ ঘটনা নিয়ে ব্যাপক প্রচারের সুযোগ নিয়ে প্রতারকেরা ফিশিং বার্তা পাঠাতে পারে। এসব বার্তার মাধ্যমে ব্যবহারকারীদের কাছ থেকে পাসওয়ার্ড বা ব্যক্তিগত তথ্য হাতিয়ে নেওয়ার চেষ্টা হতে পারে। তাই অপরিচিত লিংকে ক্লিক করা কিংবা সন্দেহজনক বার্তায় ব্যক্তিগত তথ্য দেওয়ার বিষয়ে সতর্ক থাকার পরামর্শ দিয়েছেন তিনি।
এএম