পিএইচপি প্রোগ্রামিং ভাষায় দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর সাইবার হামলার আশঙ্কায় বিশ্বের বিভিন্ন দেশের সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। এসব ত্রুটি কাজে লাগিয়ে পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে অননুমোদিত নির্দেশনা কার্যকর করার সুযোগ তৈরি হতে পারে বলে সতর্ক করেছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা। এমন পরিস্থিতিতে বাংলাদেশের সরকারি ও বেসরকারি ওয়েবসাইট এবং অনলাইন সেবাগুলো কতটা নিরাপদ, তা নিয়ে প্রশ্ন উঠেছে।
পিএইচপি একটি বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষা। ওয়েবসাইটের পেছনের বিভিন্ন কাজ পরিচালনায় এটি ব্যবহার করা হয়। যেমন ব্যবহারকারীর দেওয়া তথ্য প্রক্রিয়াকরণ, ডেটাবেজ থেকে তথ্য আনা, লগইন যাচাই, অনলাইন ফরম পরিচালনা এবং ওয়েবপেজে পরিবর্তনশীল তথ্য দেখানো। ওয়ার্ডপ্রেসের মতো জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেমেও পিএইচপি ব্যবহৃত হয়।
সাইবার নিরাপত্তা নিয়ে কাজ করা প্রতিষ্ঠানগুলোর তথ্য অনুযায়ী, বিশ্বের বিপুলসংখ্যক ওয়েবসাইটে পিএইচপি ব্যবহৃত হয়। এর মধ্যে রয়েছে সংবাদমাধ্যম, ই-কমার্স প্ল্যাটফর্ম, সরকারি প্রতিষ্ঠান ও বিভিন্ন অনলাইন সেবা। বাংলাদেশেও সরকারি-বেসরকারি বিভিন্ন ওয়েবসাইট ও ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে এই প্রযুক্তি ব্যবহৃত হয়েছে।
বাংলাদেশের সাইবার নিরাপত্তা বিশেষজ্ঞরা বলছেন, একসময় ওয়েবসাইট তৈরির ক্ষেত্রে পিএইচপি ছিল বহুল ব্যবহৃত প্রযুক্তিগুলোর একটি। তুলনামূলক সহজে শেখা এবং ওয়েবসাইটের বিভিন্ন অংশ ও ডেটাবেজের সঙ্গে সংযোগ স্থাপনের সুবিধার কারণে এটি জনপ্রিয়তা পায়।
তবে কোনো ওয়েবসাইটে পিএইচপি ব্যবহার করা হলেই সেটি আক্রান্ত হয়েছে, এমন নয়। ঝুঁকি নির্ভর করে ব্যবহৃত পিএইচপির সংস্করণ, নিরাপত্তা হালনাগাদ এবং সার্ভারের অন্যান্য সুরক্ষাব্যবস্থার ওপর।
কী ধরনের ঝুঁকি তৈরি হয়েছে
আন্তর্জাতিক সংবাদমাধ্যম এএফপির প্রতিবেদনে সাইবার নিরাপত্তাপ্রতিষ্ঠান উইজের বরাত দিয়ে বলা হয়েছে, পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। ত্রুটিগুলো কাজে লাগিয়ে হামলাকারীরা সার্ভারে অননুমোদিত নির্দেশনা কার্যকর করার সুযোগ পেতে পারে। এর ফলে সার্ভারে থাকা ফাইল, ডেটাবেজ ও অন্যান্য তথ্য ঝুঁকিতে পড়তে পারে।
ত্রুটি দুটি পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। একটি ত্রুটির কারণে মেমোরির স্বল্পতা সামাল দেওয়ার প্রক্রিয়ায় সমস্যা তৈরি হতে পারে। অন্যটির ক্ষেত্রে মেমোরি থেকে সরিয়ে দেওয়া তথ্যের পুরোনো রেফারেন্স আবার ব্যবহারের সুযোগ তৈরি হতে পারে। এ ধরনের দুর্বলতা কাজে লাগিয়ে সার্ভারে অননুমোদিত কার্যক্রম চালানোর আশঙ্কা রয়েছে।
এ কারণে শুধু ওয়েবসাইটের লগইন ব্যবস্থা বা পাসওয়ার্ড শক্তিশালী করলেই এ ধরনের ঝুঁকি দূর করা যায় না। ত্রুটিযুক্ত পিএইচপি সংস্করণে সমস্যা থাকলে সার্ভারের মূল সফটওয়্যার স্তরেই আক্রমণের সুযোগ তৈরি হতে পারে।
এএফপির প্রতিবেদন অনুযায়ী, ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ের অনুরোধে দেশটির স্থানীয় প্রশাসনের বেশ কিছু ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। এর মধ্যে প্যারিস পুলিশের ওয়েবসাইটও রয়েছে। নেদারল্যান্ডসে ডিজিডি নামের ডিজিটাল পরিচয় যাচাই সেবা, দেশটির প্রতিনিধি পরিষদ ও জাতীয় সাইবার নিরাপত্তা কেন্দ্রের ওয়েবসাইটও সতর্কতামূলকভাবে অফলাইনে রাখা হয়েছে। বেলজিয়াম তাদের পররাষ্ট্র মন্ত্রণালয়ের ওয়েবসাইট বন্ধ রাখার কথা জানিয়েছে। তবে দেশটির জাতীয় সাইবার নিরাপত্তা কেন্দ্র তখন পর্যন্ত কোনো ওয়েবসাইটে এ ত্রুটি কাজে লাগিয়ে হামলার ঘটনা নথিভুক্ত হওয়ার কথা জানায়নি।
বাংলাদেশের ওয়েবসাইট কতটা নিরাপদ
সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত সরকারের অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাঁদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এই নিরাপত্তা ত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়।
এটুআইয়ের একজন জ্যেষ্ঠ কর্মকর্তা নাম প্রকাশ না করার শর্তে প্রথম আলোকে বলেন, পিএইচপি সার্ভারের নিরাপত্তা ত্রুটি নিয়ে বিশ্বজুড়ে সতর্কতা জারির পর তাঁরা নিজেদের সাইবার নিরাপত্তা দলকে সতর্ক করেছেন। দলের সদস্যদের এ বিষয়ে আগেই জানানো হয়েছে, যাতে কোনো ঝুঁকি দেখা দিলে দ্রুত ব্যবস্থা নেওয়া যায়।
অন্যদিকে, বেসরকারি খাতে পিএইচপির ব্যবহার রয়েছে বলে জানিয়েছেন খাতসংশ্লিষ্ট ব্যক্তিরা। ওয়েবসাইট ও বিভিন্ন ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে এ প্রযুক্তি ব্যবহৃত হয়। ফলে নিরাপত্তা ত্রুটির প্রভাব সরকারি ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে থাকা বিভিন্ন প্রতিষ্ঠান ও অনলাইন সেবায় পড়তে পারে।
বেসরকারি হোস্টিং প্রতিষ্ঠান লিমডা হোস্টের প্রধান প্রযুক্তি কর্মকর্তা (সিটিও) জুনাইদ মিয়াজী আজ বৃহস্পতিবার প্রথম আলোকে বলেন, তাঁদের গ্রাহকদের প্রায় ৮০ শতাংশের ওয়েবসাইট পিএইচপিভিত্তিক। নিরাপত্তা ত্রুটির খবর পাওয়ার পর তাঁরা দ্রুত সার্ভারে সংশোধিত প্যাচ প্রয়োগ করেছেন। এখন পর্যন্ত তাঁদের ব্যবস্থায় এ ত্রুটির কারণে কোনো প্রভাব শনাক্ত হয়নি।
ন্যাশনাল পোর্টাল ফ্রেমওয়ার্কের আওতায় প্রায় ৩৬ হাজার ৫০০টি ওয়েবসাইট রয়েছে। এসব ওয়েবসাইট পিএইচপি প্রোগ্রামিং ভাষায় তৈরি নয় বলে জানিয়েছেন এটুআইয়ের কর্মকর্তারা। তবে এর বাইরে বিভিন্ন সরকারি দপ্তর ও প্রতিষ্ঠান নিজস্ব উদ্যোগে ওয়েবসাইট তৈরি করেছে। সেগুলোতে কোন প্রযুক্তি ব্যবহার করা হয়েছে, তা যাচাই করা হচ্ছে।
ঝুঁকি মোকাবিলায় যা করতে হবে
সাইবার নিরাপত্তা বিশেষজ্ঞরা বলছেন, এই মুহূর্তে গুরুত্বপূর্ণ কাজ হলো ঝুঁকিতে থাকা সার্ভারগুলো শনাক্ত করা, নিরাপত্তা হালনাগাদ নিশ্চিত করা এবং সম্ভাব্য অনুপ্রবেশের লক্ষণ পরীক্ষা করা। সরকারি ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে থাকা ওয়েবসাইট ও গুরুত্বপূর্ণ ডিজিটাল সেবাগুলোকেও এ যাচাইয়ের আওতায় আনতে হবে।
সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা প্রথম আলোকে বলেন, ঝুঁকি মোকাবিলায় প্রতিটি সরকারি সার্ভারে পিএইচপির কোন সংস্করণ ব্যবহার করা হচ্ছে, তার তালিকা তৈরি করা জরুরি। ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলোকে অগ্রাধিকার দিয়ে সংশোধিত সংস্করণে হালনাগাদ করতে হবে।
এই বিশেষজ্ঞের পরামর্শ, পিএইচপি ৮.১ ও তার আগের সংস্করণগুলোর ক্ষেত্রে সংশ্লিষ্ট লিনাক্স ডিস্ট্রিবিউশনের নিরাপত্তা হালনাগাদ ব্যবহার করতে হবে অথবা নতুন সংস্করণে যেতে হবে। হালনাগাদ করার আগপর্যন্ত ফায়ারওয়াল দিয়ে ঝুঁকি কমানোর চেষ্টা করা যেতে পারে। তবে এটি স্থায়ী সমাধান নয়। কোনো সার্ভার হালনাগাদ করা সম্ভব না হলে সেটি সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখা উচিত।
সার্টের পরামর্শ
সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট বিষয় দেখভালের দায়িত্বপ্রাপ্ত বিজিডি ই-গভ সার্টও পিএইচপির নিরাপত্তা ত্রুটি নিয়ে পরামর্শ জারি করেছে। সংস্থাটির পরামর্শ অনুযায়ী, সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে প্রথমে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করতে হবে। এরপর ব্যবহৃত সংস্করণগুলো ত্রুটির কারণে ঝুঁকিতে রয়েছে কি না, তা যাচাই করতে হবে।
পিএইচপি প্রকল্পের ডেভেলপাররা ত্রুটি সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছে বলে আন্তর্জাতিক প্রতিবেদনে উল্লেখ করা হয়েছে। তাই সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে তাদের ব্যবহৃত পিএইচপি সংস্করণ ও অপারেটিং সিস্টেমের উপযোগী সংশোধিত সংস্করণ ইনস্টল করতে হবে। হালনাগাদের পর ওয়েবসাইটের অনুরোধ প্রক্রিয়াকরণে ব্যবহৃত প্রকৃত পিএইচপি রানটাইমে সংশোধন কার্যকর হয়েছে কি না, সেটিও নিশ্চিত করতে হবে।
তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে ঝুঁকিপূর্ণ সার্ভারে ইন্টারনেট থেকে প্রবেশাধিকার সীমিত করা, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি দেওয়া এবং অননুমোদিত সংযোগ পর্যবেক্ষণের মতো সাময়িক ব্যবস্থা নেওয়া যেতে পারে বলে সার্টের বিজ্ঞপ্তিতে বলা হয়েছে।