ইন্টারনেটের বড় একটি অংশের অবকাঠামো হিসেবে ব্যবহৃত প্রযুক্তিতে এক দশকেরও বেশি সময় ধরে থাকা গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায়। এ আবিষ্কারের পর বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে জরুরি সতর্কতা জারি করা হয়েছে।
ত্রুটিগুলো পাওয়া গেছে পিএইচপি নামের একটি প্রোগ্রামিং ভাষায়। ২০০০-এর দশক থেকে ওয়েবসাইট তৈরিতে বিশ্বজুড়ে ভাষাটি ব্যবহৃত হয়ে আসছে।
বুধবার এ ত্রুটির কারণে সৃষ্ট ঝুঁকি মোকাবিলায় বিভিন্ন দেশের সরকার ও সাইবার নিরাপত্তা সংস্থাগুলো তৎপর হয়ে ওঠে। ওয়েবসাইট পরিচালকদের জরুরি নিরাপত্তা হালনাগাদ (প্যাচ) ইনস্টল করার আহ্বান জানানো হয়। দ্রুত ত্রুটি সংশোধন সম্ভব না হলে সংশ্লিষ্ট ওয়েবসাইট সাময়িকভাবে বন্ধ রাখারও পরামর্শ দেওয়া হয়েছে।
নিরাপত্তা ত্রুটিগুলো শনাক্তে কাজ করা প্রতিষ্ঠানগুলোর একটি উইজের গবেষকরা এগুলোকে এআইয়ের মাধ্যমে শনাক্ত হওয়া ‘এখন পর্যন্ত সবচেয়ে গুরুতর’ ত্রুটি বলে বর্ণনা করেছেন। ত্রুটি শনাক্তে ব্যবহৃত প্রযুক্তির নির্মাতা ওপেনএআই একে সাম্প্রতিক সময়ের সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তা সমস্যাগুলোর একটি বলে উল্লেখ করেছে।
পিএইচপির ত্রুটি কী?
পিএইচপি শব্দটির পূর্ণরূপ ‘পিএইচপি: হাইপারটেক্সট প্রিপ্রসেসর’। অনেকের কাছে নামটি পরিচিত না হলেও প্রতিদিন অসংখ্য মানুষ এ প্রযুক্তির ওপর নির্ভরশীল ওয়েবসাইট ব্যবহার করেন।
অনলাইন কেনাকাটার বিভিন্ন প্ল্যাটফর্ম, উইকিপিডিয়া এবং ওয়ার্ডপ্রেসের মতো কনটেন্ট ব্যবস্থাপনা ব্যবস্থায় পিএইচপি ব্যবহৃত হয়। ওয়ার্ডপ্রেসের মাধ্যমে ব্লগসহ বহু ওয়েবসাইট পরিচালিত হয়।
সাইবার নিরাপত্তা প্রতিষ্ঠান গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বলেন, কেউ যখন উইকিপিডিয়ার মতো কোনো ওয়েবসাইটে প্রবেশ করেন, তখন পিএইচপি এমন কোড হিসেবে কাজ করে, যা প্রয়োজনীয় তথ্য সংগ্রহ করে এবং তা ওয়েবপেজে পাঠযোগ্যভাবে উপস্থাপন করে।
কিন্তু পিএইচপির নিরাপত্তা ত্রুটির কারণে আক্রান্ত ওয়েব সার্ভারগুলোতে অনুমোদন ছাড়াই নিয়ন্ত্রণ নেওয়া এবং সংবেদনশীল তথ্য চুরি করার সুযোগ তৈরি হতে পারে। ফলে পিএইচপির ওপর নির্ভরশীল বিপুলসংখ্যক ওয়েবসাইট ঝুঁকির মুখে পড়েছে।
পল স্পেনের ধারণা, এআইয়ের সহায়তায় এ ধরনের সাইবার হামলা আরও সহজ ও দ্রুত হতে পারে। তার মতে, এ ত্রুটিতে ‘লাখ লাখ’ ওয়েবসাইট আক্রান্ত হওয়ার আশঙ্কা রয়েছে।
অস্ট্রেলিয়ার ইউনিভার্সিটি অব অ্যাডিলেডের সাইবার নিরাপত্তা গবেষক জিল স্লে বলেন, হ্যাকার বা কোনো দেশ এ ত্রুটিকে কাজে লাগিয়ে ওয়েবসাইটের ব্যক্তিগত তথ্য হাতিয়ে নিলে তা ‘বিপর্যয়কর’ হতে পারে।
কোন কোন ওয়েবসাইট আক্রান্ত হয়েছে?
নিরাপত্তা সতর্কতার কারণে বিশ্বজুড়ে বিভিন্ন সেবা ব্যাহত হয়েছে। গেমিং প্ল্যাটফর্ম থেকে শুরু করে সরকারি ওয়েব পোর্টাল ও অনলাইন ফোরাম পর্যন্ত এর প্রভাব পড়েছে।
অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালনাকারী প্রতিষ্ঠান উইকিমিডিয়া সতর্কতামূলক ব্যবস্থা হিসেবে তাদের বেশ কয়েকটি সিস্টেম বন্ধ করে দেয়।
ফিনল্যান্ড সরকার, এডিনবরা সিটি কাউন্সিল এবং বিবিসির কয়েকটি ওয়েবসাইট ও পেজও সাময়িকভাবে বন্ধ রাখা হয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও তাদের ওয়েবসাইট বন্ধ করে দেয়।
বুধবার ইউরোপীয় কম্পিউটার ইমার্জেন্সি রেসপন্স টিমের (সিইআরটি-ইইউ) আহ্বানের পর সুইজারল্যান্ডের জেনেভা বিশ্ববিদ্যালয়ের ওয়েবসাইটও বন্ধ রাখা হয়।
স্কটল্যান্ডের বিভিন্ন সরকারি সংস্থা, কয়েকটি স্থানীয় কাউন্সিল ও স্বাস্থ্য বোর্ডও তাদের ওয়েবসাইট বন্ধ করেছে।
বিশেষজ্ঞদের আশঙ্কা, পর্যাপ্ত রক্ষণাবেক্ষণ ও নিরাপত্তাব্যবস্থার অভাবে ছোট প্রতিষ্ঠানগুলোর ওয়েবসাইট বেশি ঝুঁকিতে পড়তে পারে। এসব প্রতিষ্ঠানের অনেকেরই সাইবার নিরাপত্তা নিশ্চিত করার মতো পর্যাপ্ত অর্থ ও জনবল নেই।
অস্ট্রেলিয়ার ইউনিভার্সিটি অব নিউ সাউথ ওয়েলসের গবেষক সালিল কানহেরে বলেন, নিরাপত্তা ত্রুটিগুলোর কারিগরি বিবরণ প্রকাশ্যে আসায় আগামী কয়েক সপ্তাহে এগুলো কাজে লাগিয়ে হামলার চেষ্টা বাড়তে পারে।
ত্রুটি প্রকাশের পর কী ঘটেছে?
বছরের পর বছর ধরে পিএইচপি সফটওয়্যারে লুকিয়ে থাকা নিরাপত্তা ত্রুটিগুলো সংশোধনে বুধবার জরুরি নিরাপত্তা প্যাচ প্রকাশ করেন এর নির্মাতারা।
পিএইচপি কর্তৃপক্ষ এক বিবৃতিতে বলেছে, ‘পিএইচপি ব্যবহারকারীদের সবাইকে অবিলম্বে সফটওয়্যার হালনাগাদ করার জোরালো পরামর্শ দেওয়া হচ্ছে।’
বিশ্বজুড়ে বিভিন্ন দেশের কর্তৃপক্ষ ও সাইবার নিরাপত্তা সংস্থাও ওয়েবসাইট পরিচালকদের একই পরামর্শ দিয়েছে।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) জানিয়েছে, যেসব প্রতিষ্ঠান তাৎক্ষণিকভাবে নিরাপত্তা প্যাচ ইনস্টল করতে পারবে না, তাদের পিএইচপি ব্যবহার করা সিস্টেমগুলো বন্ধ করে দেওয়া উচিত। সংস্থাটির ভাষ্য, এ ত্রুটি কোনো সিস্টেমের ডেটাবেইসে হামলা চালানোর ‘সরাসরি পথ’ তৈরি করতে পারে।
এনএসএ বলেছে, ‘যুক্তরাষ্ট্র সরকারের বিভিন্ন বিভাগ ও সংস্থায় এসব ঝুঁকি এতটাই গুরুতর যে অবিলম্বে নিরাপত্তা প্যাচ ইনস্টল করা প্রয়োজন।’
যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রও একই ধরনের পরামর্শ দিয়েছে। পাশাপাশি হামলাকারীরা সিস্টেমে গোপন প্রবেশপথ বা ‘ব্যাকডোর’ তৈরি করেছে কি না, তা পরীক্ষা করতে বলেছে সংস্থাটি।
ইউরোপীয় ইউনিয়ন ও অস্ট্রেলিয়ার সংশ্লিষ্ট সংস্থাগুলোও একই ধরনের সতর্কতা জারি করেছে।
জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি জনসাধারণকে তাদের ইন্টারনেটে উন্মুক্ত ওয়েবসাইটগুলো পিএইচপিতে পরিচালিত হচ্ছে কি না, তা যাচাই করার আহ্বান জানিয়েছেন।
এআই কীভাবে নিরাপত্তার দুর্বলতা খুঁজে পাচ্ছে?
সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকরা এ ত্রুটিগুলো শনাক্ত করেছেন। তারা এমন উন্নত এআই প্রযুক্তি ব্যবহার করেছেন, যা কোড বিশ্লেষণ করে মানুষের তুলনায় অনেক দ্রুত নিরাপত্তার দুর্বলতা খুঁজে বের করতে পারে। পুরোনো পদ্ধতির তুলনায়ও এসব প্রযুক্তি দ্রুত কাজ করতে সক্ষম।
গবেষক সালিল কানহেরে বলেন, আধুনিক সফটওয়্যার অত্যন্ত জটিল। ফলে কিছু নিরাপত্তা ত্রুটি বছরের পর বছর অশনাক্ত থেকে যেতে পারে।
তার ভাষায়, ‘মূল ত্রুটিগুলো নতুন ছিল না; পরিবর্তন এসেছে সেগুলো শনাক্ত করার সক্ষমতায়।’
চলতি সপ্তাহে এ আবিষ্কারের বিস্তারিত তথ্য অনলাইনে ফাঁস হয়ে যায়। এর ফলে পিএইচপির নির্মাতারা দ্রুত নিরাপত্তা ত্রুটি ও এর ব্যাপকতা সম্পর্কে ঘোষণা দিতে বাধ্য হন।
ওপেনএআই এক ব্লগ পোস্টে বলেছে, এ ঘটনা দেখিয়েছে, এআই যেমন নিরাপত্তা ত্রুটি শনাক্ত করতে পারে, তেমনি হামলাকারীদের দ্রুত আক্রমণাত্মক সরঞ্জাম ও হামলার কৌশল তৈরিতেও সহায়তা করতে পারে।
চ্যাটজিপিটের নির্মাতা প্রতিষ্ঠানটি পিএইচপি প্ল্যাটফর্মের নিরাপত্তা যাচাই করার জন্য একটি প্রোগ্রামও প্রকাশ করেছে বলে জানিয়েছে।
অস্ট্রেলিয়ার ইউনিভার্সিটি অব কুইন্সল্যান্ডের সাইবার রিসার্চ সেন্টারের রায়ান কো বলেন, অতীতে তৈরি সফটওয়্যারের অনেক ত্রুটির মূলে রয়েছে নির্মাণপদ্ধতি। সে সময় সফটওয়্যার তৈরিতে নিরাপত্তার চেয়ে কার্যকারিতাকে বেশি গুরুত্ব দেওয়া হয়েছিল।
নিরাপদ থাকতে কী করবেন?
ওয়েবসাইট পরিচালকদের পিএইচপির সর্বশেষ সংস্করণ ব্যবহার করে নিজেদের ওয়েবসাইট সুরক্ষিত করার আহ্বান জানানো হয়েছে।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা আগামী কয়েক সপ্তাহ বাড়তি সতর্কতা বজায় রাখার এবং সফটওয়্যার সরবরাহকারীদের প্রকাশিত হালনাগাদ তথ্য নিয়মিত পর্যবেক্ষণের পরামর্শ দিয়েছে।
সংস্থাটি বলেছে, ‘এসব সিস্টেমের সঙ্গে সম্পর্কিত নিরাপত্তা প্যাচ দ্রুত প্রয়োগের বিষয়ে সর্বোচ্চ সতর্কতা বজায় রাখা অত্যন্ত গুরুত্বপূর্ণ।’
সাইবার নিরাপত্তা নিশ্চিত করার প্রধান দায়িত্ব ওয়েবসাইট পরিচালকদের হলেও ব্যবহারকারীদেরও সতর্ক থাকতে হবে।
গবেষক সালিল কানহেরে বলেন, আক্রান্ত ওয়েবসাইট বা সেবার পক্ষ থেকে পাসওয়ার্ড পরিবর্তনসহ নিরাপত্তাসংক্রান্ত কোনো নির্দেশনা দেওয়া হলে তা অনুসরণ করা উচিত।
এ ছাড়া এ ঘটনার প্রচারকে কাজে লাগিয়ে প্রতারকেরা ফিশিং বার্তা পাঠাতে পারে। তাই সন্দেহজনক ইমেইল, বার্তা বা লিংক সম্পর্কে সতর্ক থাকার পরামর্শ দিয়েছেন তিনি। সূত্র: বিবিসি