এক দশকেরও বেশি সময় ধরে ইন্টারনেটের বড় অংশের ভিত্তি প্রযুক্তিতে গুরুতর ত্রুটি অজানা ছিল। কৃত্রিম বুদ্ধিমত্তা (এআই) সেগুলো সামনে এনেছে এবং বিশ্বব্যাপী সাইবার নিরাপত্তা সতর্কতা তৈরি করেছে। পিএইচপি একটি প্রোগ্রামিং ভাষায়, যা ২০০০-এর দশক থেকে আন্তর্জাতিকভাবে ওয়েবসাইট তৈরিতে ব্যবহৃত হচ্ছে।
বুধবার এ আবিষ্কারের পর এর প্রভাব সামলাতে হিমশিম খাচ্ছে বিশ্বের সরকার ও সাইবার নিরাপত্তা সংস্থাগুলো। ওয়েবসাইট পরিচালকদের তারা নতুন জরুরি প্যাচ বসাতে (ছোট আপডেট) বা প্ল্যাটফর্ম অফলাইনে নেওয়ার কথা বিবেচনা করতে আহ্বান জানিয়েছে।
ত্রুটিগুলো যে গবেষকেরা শনাক্ত করেছেন, সেই সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ এগুলোকে এআইয়ের শনাক্ত করা সবচেয়ে গুরুতর ত্রুটি বলে বর্ণনা করেছে। যে প্রযুক্তি ব্যবহার করে ত্রুটি খুঁজে পাওয়া গেছে, সেই ওপেনএআই একে সাম্প্রতিক স্মৃতির সবচেয়ে প্রভাবশালী নিরাপত্তা সমস্যাগুলোর একটি বলেছে।
ত্রুটিটা কী?
বেশির ভাগ মানুষ হয়তো পিএইচপির নাম শোনেননি, কিন্তু প্রতিদিনই সম্ভবত এর সঙ্গে তাদের যোগাযোগ ঘটে। পিএইচপি হাইপারটেক্সট প্রিপ্রসেসরের সংক্ষিপ্ত রূপ। অনলাইন দোকান, উইকিপিডিয়া এবং ব্লগসহ বহু ওয়েবসাইটের পেছনের কনটেন্ট ম্যানেজমেন্ট সিস্টেম ওয়ার্ডপ্রেস, এমন অনেক প্ল্যাটফর্ম এটি চালায়।
প্রোগ্রামিং ত্রুটিতে ইউরোপজুড়ে বন্ধ হাজারো সরকারি ওয়েবসাইটগরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বিবিসিকে বলেন, উইকিপিডিয়ার মতো কোনও ওয়েবসাইটে ঢুকলে পিএইচপিই সেই কোড, যা আপনার প্রয়োজনীয় তথ্য সংগ্রহ করে ওয়েবে পড়ার উপযোগী করে উপস্থাপন করে। তবে এমন এক ত্রুটির কারণে, যা হামলাকারীদের কোনও পরিচয় যাচাই ছাড়াই আক্রান্ত ওয়েব সার্ভারের নিয়ন্ত্রণ নিতে এবং স্পর্শকাতর তথ্য চুরি করতে দিতে পারে, পিএইচপির ওপর গড়া সবকিছু ঝুঁকিতে পড়ে গেছে।
স্পেন বলেন, এআই এ ধরনের হামলা সহজ ও দ্রুততর করতে পারে। তার হিসাবে, ত্রুটিটি লাখ লাখ ওয়েবসাইটকে প্রভাবিত করতে পারে। অ্যাডিলেড বিশ্ববিদ্যালয়ের সাইবার নিরাপত্তা গবেষক জিল স্লে বলেন, হ্যাকার বা কোনও দেশ ত্রুটিটিকে অস্ত্র হিসেবে ব্যবহার করে ওয়েবসাইট থেকে ব্যক্তিগত তথ্য হাতিয়ে নিলে তা হবে বিপর্যয়কর।
ঝুঁকিতে যে ওয়েবসাইটগুলো
এ সতর্কতায় গেমিং প্ল্যাটফর্ম থেকে সরকারি পোর্টাল ও অনলাইন ফোরাম পর্যন্ত বিশ্বজুড়ে সেবা ব্যাহত হয়েছে। এর মধ্যে রয়েছে অনলাইন বিশ্বকোষ উইকিপিডিয়ার নির্মাতা প্রতিষ্ঠান উইকিমিডিয়া, যারা সতর্কতা হিসেবে নিজেদের বেশ কিছু সিস্টেম নামিয়ে দিয়েছে। ফিনল্যান্ড সরকার, এডিনবরা কাউন্সিল ও বিবিসি সাইট ও পাতা অফলাইনে নিয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও নিজেদের ওয়েবসাইট সরিয়ে নিয়েছে। স্কটল্যান্ডের কাউন্সিল ও স্বাস্থ্য বোর্ডসহ বেশ কয়েকটি সরকারি সংস্থাও নিজেদের ওয়েবসাইট অফলাইনে নিয়েছে।
কিছু বিশেষজ্ঞ সতর্ক করেছেন, ত্রুটিটি বিশেষত ছোট সংস্থার সীমিত নিরাপত্তা সম্পদসহ ঠিকমতো রক্ষণাবেক্ষণ না-করা ওয়েবসাইটকে বেশি ঝুঁকিতে ফেলতে পারে। সিডনির ইউএনএসডব্লিউয়ের সাইবার নিরাপত্তা গবেষক সালিল কানহেরে বলেন, প্রযুক্তিগত বিবরণ এখন প্রকাশ্যে আসায় আগামী সপ্তাহগুলোতে এসব ত্রুটি কাজে লাগানোর আরও চেষ্টা হতে পারে।
তথ্য ফাঁসের ঝুঁকি, মিউজের চ্যাট শেয়ারিং সুবিধা বন্ধ করলো মেটাত্রুটি প্রকাশের পর যা ঘটলো
বুধবার পিএইচপি প্ল্যাটফর্মের নির্মাতারা বছরের পর বছর ধরে সফটওয়্যারে লুকিয়ে থাকা এ ত্রুটিগুলো সারাতে প্যাচ প্রকাশ করেন। তারা বলেন, পিএইচপির সব ব্যবহারকারীকে অবিলম্বে হালনাগাদ করতে জোরালোভাবে উৎসাহিত করা হচ্ছে। বিশ্বজুড়ে কর্তৃপক্ষ ও নিরাপত্তা সংস্থাগুলো ওয়েবসাইট পরিচালকদের প্ল্যাটফর্ম সুরক্ষিত করতে একই সতর্কতা দিয়েছে।
যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) পিএইচপি ব্যবহারকারী সব সংস্থাকে বলেছে, তৎক্ষণাৎ প্যাচ প্রয়োগ করতে না পারলে সিস্টেম অফলাইনে নিতে। সংস্থাটি আরও বলেছে, এ ত্রুটি কোনও সিস্টেমের ডেটাবেস আক্রমণের সরাসরি পথ দিতে পারে। এনএসএ বলেছে, এ ঝুঁকিগুলো এতটাই গুরুতর যে মার্কিন সরকারের সব বিভাগ ও সংস্থায় অবিলম্বে প্যাচ প্রয়োগ প্রয়োজন।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার একই পরামর্শ দিয়েছে। তারা সংস্থাগুলোকে হামলাকারীর বসানো ব্যাকডোর আছে কি না, তা পরীক্ষা করতে বলেছে। ইইউ, সিঙ্গাপুর ও অস্ট্রেলিয়ায় এর সমতুল্য সংস্থাগুলোও অনুরূপ সতর্কবার্তা দিয়েছে। জাপানের প্রধানমন্ত্রী সানাই তাকাইচি জনগণকে নিজেদের জনসাধারণের জন্য উন্মুক্ত ওয়েবসাইট পিএইচপিতে চলছে কি না তা পরীক্ষা করতে আহ্বান জানান।
এক্সে তাকাইচি লেখেন, আজ রাতেই সবাইকে পদক্ষেপ নেওয়ার জন্য আমাদের জরুরি অনুরোধ। তিনি আরও বলেন, প্যাচ দ্রুত প্রয়োগ করা কঠিন হলে ঝুঁকি কমাতে সাময়িকভাবে ওয়েবসাইট স্থগিত করাসহ এ ধরনের ব্যবস্থাকে কার্যকর উপায় ভাবা যেতে পারে। প্রযুক্তি প্রতিষ্ঠানগুলোও নিজেদের সিস্টেম সুরক্ষিত করতে ছুটছে।
ই-কমার্স জায়ান্ট অ্যামাজন জানায়, পিএইচপি ত্রুটি প্রকাশ্যে আসার কয়েক দিন আগে তাদের ওপর একাধিকবার হামলার চেষ্টা হয়েছিল। সম্ভাব্য হামলাকারীরা কীভাবে ত্রুটির কথা জানল, তা অজানা।
ফেসবুকে বড় ধরনের পরিবর্তন, উঠে যাচ্ছে বহুল ব্যবহৃত যে ফিচারএআই কীভাবে দুর্বল স্থান খুঁজছে
ত্রুটিগুলো শনাক্ত করেছেন নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা। গবেষকেরা উন্নত এআই টুল ব্যবহার করেছেন, যা কোড বিশ্লেষণ করে মানুষ বা পুরোনো সিস্টেমের চেয়ে অনেক দ্রুত ত্রুটি খুঁজে বের করতে পারে। কানহেরে বলেন, আধুনিক সফটওয়্যার অবিশ্বাস্যরকম জটিল, আর কিছু ত্রুটি বছরের পর বছর অজানা থাকতে পারে। তিনি আরও বলেন, মূল বাগগুলো (ত্রুটি) নতুন ছিল না, বদলেছে আমাদের সেগুলো খুঁজে পাওয়ার সক্ষমতা।
এ সপ্তাহে আবিষ্কারের বিবরণ অনলাইনে ফাঁস হয়ে যায়। ফলে নিরাপত্তা ত্রুটি ও এর বিশাল মাত্রার ঘোষণা তড়িঘড়ি করে প্রকাশ করতে বাধ্য হন পিএইচপি প্ল্যাটফর্মের নির্মাতারা। ওপেনএআই এক ব্লগ পোস্টে বলেছে, ঘটনাটি এআই কীভাবে নিরাপত্তা ত্রুটি উন্মোচন করতে পারে তা দেখায়, একই সঙ্গে এও দেখায় যে এআই কীভাবে হামলাকারীদের দ্রুত আক্রমণাত্মক টুল ও এক্সপ্লয়েট তৈরিতে সহায়তা করতে পারে। চ্যাটজিপিটি নির্মাতা প্রতিষ্ঠানটি জানায়, পিএইচপি প্ল্যাটফর্ম নিরাপদ কি না তা যাচাইয়ের জন্য তারা একটি প্রোগ্রাম প্রকাশ করেছে।
কুইন্সল্যান্ড বিশ্ববিদ্যালয়ের সাইবার গবেষণা কেন্দ্রের রায়ান কো বলেন, এসব ত্রুটির অনেকটাই এসেছে অতীতে সফটওয়্যার যেভাবে তৈরি হতো তা থেকে, যা তৈরি হতো কার্যকারিতার কথা ভেবে, নিরাপত্তার কথা মাথায় রেখে নয়।
ইউক্রেনের অজান্তেই স্টারলিংক সেবা সীমিত করেন মাস্ক: ওয়াল স্ট্রিট জার্নালনিজেদের সুরক্ষায় যা করবেন
ওয়েবসাইটের মালিকদের পিএইচপির সর্বশেষ সংস্করণ দিয়ে ওয়েবসাইট সুরক্ষিত করতে বলা হচ্ছে। স্পেন বলেন, বেশির ভাগ প্রযুক্তি দলের জন্য পিএইচপির প্যাচ একটি ছোট, নিয়মিত সমাধান। আগামী সপ্তাহগুলোতে সতর্কতা বাড়ানো এবং সফটওয়্যার বিক্রেতাদের হালনাগাদের ওপর ঘনিষ্ঠ নজর রাখার আহ্বান জানিয়েছে মার্কিন এনএসএ। সংস্থাটি বলেছে, এসব সিস্টেম-সংক্রান্ত প্যাচ প্রয়োগে সজাগ থাকা অত্যন্ত গুরুত্বপূর্ণ।
কানহেরের মতে, দায়ভার মূলত ওয়েবসাইট পরিচালকদের ওপর। তবে ব্যবহারকারীদের উচিত আক্রান্ত সেবাগুলোর দেওয়া নিরাপত্তা পরামর্শের ব্যাপারে সতর্ক থাকা, যেমন পাসওয়ার্ড বদলের অনুরোধ। তিনি এ ঘটনা নিয়ে আলোচনাকে কাজে লাগিয়ে পাঠানো ফিশিং বার্তার ব্যাপারেও সতর্ক থাকতে বলেছেন।
সূত্র: বিবিসি
