এক দশকেরও বেশি সময় ধরে ইন্টারনেটের ভিত্তি প্রযুক্তিতে গুরুতর ত্রুটি চোখের আড়ালে থেকে গিয়েছিল যা কৃত্রিম বুদ্ধিমত্তা (এআই) প্রকাশ্যে আনতে সাহায্য করেছে বলে জানা যাচ্ছে। এর ফলে বিশ্বব্যাপী সাইবার-নিরাপত্তা সতর্কতা জারি হয়েছে। দুর্বলতাগুলো পিএইচপি নামে একটি প্রোগ্রামিং ভাষার মধ্যে রয়েছে, যা ২০০০-এর দশক থেকে আন্তর্জাতিকভাবে ওয়েবসাইট তৈরির জন্য ব্যবহৃত হয়ে আসছে।
বুধবারের এই আবিষ্কারের প্রভাব সামাল দিতে বিশ্বজুড়ে সরকার ও সাইবার-নিরাপত্তা সংস্থাগুলো তৎপর হয়ে উঠেছে এবং ওয়েবসাইট পরিচালনাকারীদের একটি নতুন জরুরি সমাধান ইনস্টল করতে অথবা তাদের প্ল্যাটফর্মগুলো অফলাইনে নিয়ে যাওয়ার বিষয়টি বিবেচনা করতে আহ্বান জানিয়েছে।
সাইবার-নিরাপত্তা সংস্থা উইজ, যেটির গবেষকরা এই দুর্বলতাগুলো উন্মোচন করেছেন, এই ত্রুটিগুলোকে এআই দ্বারা এযাবৎকালের শনাক্ত করা ‘সবচেয়ে গুরুতর’ বলে বর্ণনা করেছে।
ওপেনএআই, যাদের প্রযুক্তি ব্যবহার করে এই ত্রুটিগুলো খুঁজে বের করা হয়েছিল, এই আবিষ্কারকে ‘সাম্প্রতিক কালের অন্যতম প্রভাবশালী নিরাপত্তা সমস্যা’ বলে অভিহিত করেছে।
ত্রুটিটা কী?
বেশিরভাগ মানুষ হয়তো পিএইচপি-এর নাম শোনেননি, কিন্তু তারা অবশ্যই প্রতিদিন এর সাথে কাজ করেন। এর পুরো নাম ‘পিএইচপি: হাইপারটেক্সট প্রিপ্রসেসর’।
অনলাইন শপ, উইকিপিডিয়া এবং ওয়ার্ডপ্রেস-সহ অসংখ্য প্ল্যাটফর্মকে শক্তি জোগায় এই পিএইচপি, যা ব্লগের মতো অনেক ওয়েবসাইটের নেপথ্যের কন্টেন্ট ম্যানেজমেন্ট সিস্টেম।
গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বিবিসিকে বলেছেন, ‘আপনি যখন উইকিপিডিয়ার মতো কোনো ওয়েবসাইট পরিদর্শন করেন, তখন পিএইচপি হলো সেই কোড যা আপনার প্রয়োজনীয় তথ্য সংগ্রহ করে এবং ওয়েবে পড়ার উপযোগী করে তা উপস্থাপন করে।’
কিন্তু এমন একটি ত্রুটির কারণে, যার মাধ্যমে আক্রমণকারীরা প্রমাণীকরণ ছাড়াই প্রভাবিত ওয়েব সার্ভারগুলোর নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারত, পিএইচপি-র ওপর নির্মিত সবকিছুই অরক্ষিত হয়ে পড়েছিল।
স্পেন বলেছে, এআই এই ধরনের আক্রমণকে আরও সহজ ও দ্রুততর করে তুলতে পারে এবং অনুমান করছে যে এই ত্রুটিটি ‘লাখ লাখ’ ওয়েবসাইটকে প্রভাবিত করতে পারে।
অ্যাডিলেড বিশ্ববিদ্যালয়ের সাইবার-নিরাপত্তা গবেষক জিল স্লে বলেছেন, হ্যাকার বা কোনো দেশ যদি এই ত্রুটিকে অস্ত্র হিসেবে ব্যবহার করে ওয়েবসাইট থেকে ব্যক্তিগত তথ্য হাতিয়ে নেয়, তবে তা হবে ‘ভয়াবহ’।
কোন কোন ওয়েবসাইট প্রভাবিত হয়েছে?
এই সতর্কবার্তার কারণে গেমিং প্ল্যাটফর্ম থেকে শুরু করে সরকারি পোর্টাল এবং অনলাইন ফোরাম পর্যন্ত বিশ্বব্যাপী পরিষেবা ব্যাহত হয়েছে। এর মধ্যে রয়েছে অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালক সংস্থা উইকিমিডিয়া, যা সতর্কতামূলক ব্যবস্থা হিসেবে তাদের বেশ কিছু সিস্টেম বন্ধ করে দিয়েছে।
ফিনল্যান্ডের সরকার, এডিনবরা কাউন্সিল এবং বিবিসি তাদের সাইট ও পেজগুলো অফলাইন করে দিয়েছে এবং নেদারল্যান্ডসের সাইবার-নিরাপত্তা সংস্থাও তাদের ওয়েবসাইটটি সরিয়ে নিয়েছে। কাউন্সিল এবং স্বাস্থ্য বোর্ডসহ স্কটল্যান্ডের বেশ কিছু সরকারি সংস্থাও তাদের ওয়েবসাইটগুলো অফলাইনে নিয়ে গেছে।
কিছু বিশেষজ্ঞ সতর্ক করেছেন যে, এই দুর্বলতার কারণে দুর্বলভাবে রক্ষণাবেক্ষণ করা ওয়েবসাইটগুলো, বিশেষ করে সীমিত নিরাপত্তা সংস্থানসম্পন্ন ছোট সংস্থাগুলোর ওয়েবসাইটগুলো আরও বেশি ঝুঁকির মুখে পড়তে পারে।
ইউএনএসডব্লিউ সিডনির সাইবার-নিরাপত্তা গবেষক সলিল কানহেরে বলেছেন, যেহেতু প্রযুক্তিগত বিবরণগুলো এখন জনসমক্ষে প্রকাশ করা হচ্ছে, তাই আগামী সপ্তাহগুলোতে এই ত্রুটিগুলো কাজে লাগানোর আরও প্রচেষ্টা হওয়ার সম্ভাবনা রয়েছে।
ত্রুটিগুলো প্রকাশ পাওয়ার পর কী ঘটল?
পিএইচপি প্ল্যাটফর্মের ডেভেলপাররা বুধবার তাদের সফটওয়্যারে বছরের পর বছর ধরে লুকিয়ে থাকা দুর্বলতাগুলো সমাধান করার জন্য কিছু প্রাথমিক নির্দেশনা প্রকাশ করেছে। ‘সকল পিএইচপি ব্যবহারকারীকে অবিলম্বে আপডেট করার জন্য দৃঢ়ভাবে আহ্বান জানানো হচ্ছে,’ কোম্পানিটি বলেছে।
বিশ্বজুড়ে কর্তৃপক্ষ ও নিরাপত্তা সংস্থাগুলো ওয়েবসাইট পরিচালনাকারীদের তাদের প্ল্যাটফর্ম সুরক্ষিত করার জন্য সেই সতর্কবার্তাগুলোই পুনর্ব্যক্ত করেছে।
মার্কিন জাতীয় নিরাপত্তা সংস্থা পিএইচপি ব্যবহারকারী সব সংস্থাকে তাদের সিস্টেম অবিলম্বে মেরামত করতে না পারলে অফলাইনে নিয়ে যাওয়ার পরামর্শ দিয়েছে।
সংস্থাটি আরও বলেছে যে, এই ত্রুটিটি একটি সিস্টেমের ডেটাবেস হ্যাক করার জন্য একটি ‘সরাসরি পথ’ তৈরি করে দিতে পারে।
‘এই ঝুঁকিগুলো এতটাই গুরুতর যে মার্কিন যুক্তরাষ্ট্রের সরকারি বিভাগ ও সংস্থাগুলো জুড়ে অবিলম্বে ব্যবস্থা গ্রহণ করা প্রয়োজন,’ সংস্থাটি বলেছে।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টারও একই ধরনের পরামর্শ দিয়েছে এবং সংস্থাগুলোকে ‘আক্রমণকারী দ্বারা ইনস্টল করা ব্যাকডোর’ পরীক্ষা করতে বলেছে।
ইউরোপীয় ইউনিয়ন, সিঙ্গাপুর ও অস্ট্রেলিয়ায় এর সমকক্ষরাও অনুরূপ সতর্কতা জারি করেছে।
জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি জনগণকে তাদের সর্বজনীনভাবে উপলব্ধ ওয়েবসাইটগুলো পিএইচপি দিয়ে পরিচালিত হচ্ছে কিনা তা যাচাই করে দেখতে আহ্বান জানিয়েছেন।
‘আজ রাতে সবাইকে জরুরিভাবে পদক্ষেপ নেওয়ার জন্য আমাদের অনুরোধ,’ তাকাইচি এক্স-এ লিখেছেন।
‘যদি দ্রুত সমাধানমূলক ব্যবস্থা নেওয়া কঠিন হয়, তবে ঝুঁকি কমানোর জন্য ওয়েবসাইট সাময়িকভাবে স্থগিত করা এবং অনুরূপ পদক্ষেপ একটি কার্যকর উপায় হিসেবে বিবেচনা করা যেতে পারে,’ তিনি বলেন।
প্রযুক্তি সংস্থাগুলোও তাদের সিস্টেম সুরক্ষিত করতে প্রতিযোগিতায় নেমেছে।
ই-কমার্স জায়ান্ট অ্যামাজন জানিয়েছে, পিএইচপি সমস্যাটি জনসমক্ষে আসার কয়েক দিন আগেই তারা একাধিকবার আক্রমণের শিকার হয়েছিল। সম্ভাব্য আক্রমণকারীরা কীভাবে এই দুর্বলতা সম্পর্কে জানতে পেরেছিল, তা জানা যায়নি।
এআই কীভাবে দুর্বল স্থানগুলো খুঁজে বের করছে?
নিরাপত্তা সংস্থা ক্যালিফ এবং উইজ-এর গবেষকরা এই দুর্বলতাগুলো খুঁজে বের করেছেন। গবেষকরা উন্নত এআই টুল ব্যবহার করেছেন, যা মানুষ বা পুরোনো সিস্টেমের চেয়ে অনেক দ্রুত কোড বিশ্লেষণ করে ত্রুটি খুঁজে বের করতে সক্ষম।
‘আধুনিক সফটওয়্যার অত্যন্ত জটিল, এবং কিছু দুর্বলতা বছরের পর বছর অলক্ষিত থেকে যেতে পারে,’ কানহেয়ার বলেছেন।
‘মূল ত্রুটিগুলো নতুন ছিল না; যা বদলেছিল তা হলো সেগুলো খুঁজে বের করার আমাদের ক্ষমতা,’ কানহেয়ার বলেছেন।
এই সপ্তাহে আবিষ্কারটির বিস্তারিত তথ্য অনলাইনে ফাঁস হয়ে যাওয়ায়, পিএইচপি প্ল্যাটফর্মের ডেভেলপাররা নিরাপত্তা ত্রুটি এবং এর ব্যাপকতা সম্পর্কে তড়িঘড়ি করে ঘোষণা দিতে বাধ্য হন।
ওপেনএআই একটি ব্লগ পোস্টে বলেছে, এই ঘটনাটি ‘এআই কীভাবে নিরাপত্তা ত্রুটি উন্মোচন করতে পারে’ তা তুলে ধরে, তবে এটি ‘আক্রমণকারীদের দ্রুত আক্রমণাত্মক সরঞ্জাম এবং এক্সপ্লয়েট তৈরি করতে সাহায্য করতে পারে’ তাও দেখায়।
চ্যাটজিপিটি - এর নির্মাতা জানিয়েছে যে, পিএইচপি প্ল্যাটফর্মটি নিরাপদ কিনা তা যাচাই করার জন্য তারা একটি প্রোগ্রাম প্রকাশ করেছে।
কুইন্সল্যান্ড বিশ্ববিদ্যালয়ের সাইবার গবেষণা কেন্দ্রের রায়ান কো বলেন, ‘এই ত্রুটিগুলোর বেশিরভাগই অতীতে সফটওয়্যার তৈরির পদ্ধতির কারণে উদ্ভূত হয়েছে, যেগুলো নিরাপত্তার কথা মাথায় না রেখে শুধু কার্যকারিতার জন্য তৈরি করা হয়েছিল।’
মানুষ নিজেদের সুরক্ষার জন্য কী করতে পারে?
ওয়েবসাইট মালিকদের পিএইচপি-র সর্বশেষ সংস্করণ দিয়ে তাদের ওয়েবসাইট সুরক্ষিত করার জন্য আহ্বান জানানো হচ্ছে। স্পেন বলেছেন, পিএইচপি সফটওয়্যার প্যাচটি বেশিরভাগ প্রযুক্তি দলের জন্য একটি ছোট ও সাধারণ সমাধান।
মার্কিন জাতীয় নিরাপত্তা সংস্থা আগামী সপ্তাহগুলোতে ‘অধিক সতর্কতা’ অবলম্বন করতে এবং সফটওয়্যার বিক্রেতাদের কাছ থেকে আসা আপডেটগুলো নিবিড়ভাবে পর্যবেক্ষণ করার আহ্বান জানিয়েছে।
‘ওই সিস্টেমগুলো সম্পর্কিত প্যাচ প্রয়োগের ক্ষেত্রে সতর্কতা অত্যন্ত গুরুত্বপূর্ণ,’ এতে বলা হয়েছে।
মূলত ওয়েবসাইট পরিচালনাকারীদের ওপরই এর দায়ভার বর্তায়, তবে ব্যবহারকারীদেরও ক্ষতিগ্রস্ত পরিষেবাগুলো থেকে জারি করা যেকোনো নিরাপত্তা পরামর্শ, যেমন পাসওয়ার্ড পরিবর্তনের অনুরোধের বিষয়ে সতর্ক থাকা উচিত, বলেছেন কানহেরে।
তিনি জনগণকে এই ঘটনাকে ঘিরে তৈরি হওয়া প্রচারকে কাজে লাগিয়ে পাঠানো যেকোনো ফিশিং বার্তার ব্যাপারেও সতর্ক থাকতে বলেছেন।