এনবি সংবাদ,আর্ন্তজাতিক ডেস্ক : ইন্টারনেটের নিরাপত্তা নিয়ে বিশ্বজুড়ে উদ্বেগ বাড়ছে। ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি (PHP)-তে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর সম্ভাব্য ঝুঁকি খতিয়ে দেখছে যুক্তরাজ্য সরকার। সরকারি অনলাইন পরিষেবাগুলির কোথাও এই দুর্বলতার কারণে নিরাপত্তা ঝুঁকি তৈরি হয়েছে কি না, তা চিহ্নিত করার কাজ চলছে। একই সঙ্গে বিশ্বের বিভিন্ন দেশের সরকার এবং বড় প্রযুক্তি সংস্থাগুলি হ্যাকারদের সম্ভাব্য আক্রমণ ঠেকাতে জরুরি পদক্ষেপ নিচ্ছে।
এই নিরাপত্তা সংকটের প্রভাব ইতিমধ্যেই আন্তর্জাতিক পর্যায়ে দেখা যাচ্ছে। অ্যামাজন জানিয়েছে, তাদের সিস্টেমে PHP-র দুর্বলতা কাজে লাগানোর একাধিক চেষ্টা শনাক্ত হয়েছে। অন্যদিকে, ফিনল্যান্ড সরকার সাময়িকভাবে জনসাধারণের জন্য উন্মুক্ত ওয়েব পরিষেবা বন্ধ করে দিয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও সতর্কতামূলক ব্যবস্থা হিসেবে নিজেদের ওয়েবসাইট অফলাইনে রেখেছে। উইকিপিডিয়ার কিছু পরিষেবাও সাময়িকভাবে বন্ধ রাখা হয়েছিল।
বিশেষজ্ঞদের উদ্বেগের কারণ শুধু PHP-র নিরাপত্তা ত্রুটি নয়। কৃত্রিম বুদ্ধিমত্তা বা এআইয়ের সাহায্যে এই দুর্বলতাগুলি শনাক্ত করা হয়েছে। ফলে ভবিষ্যতে হ্যাকাররা আরও দ্রুত নিরাপত্তাব্যবস্থার দুর্বলতা খুঁজে বের করে আক্রমণ চালাতে পারে বলে আশঙ্কা করা হচ্ছে।
PHP-র নিরাপত্তা ত্রুটি নিয়ে কী করছে যুক্তরাজ্য সরকার?
যুক্তরাজ্য সরকার জানিয়েছে, তাদের অনলাইন পরিষেবাগুলিতে PHP-র নিরাপত্তা ত্রুটির কারণে কোনও ঝুঁকি তৈরি হয়েছে কি না, তা যাচাই করা হচ্ছে। তবে সরকারি পরিষেবায় ইতিমধ্যে কোনও অনুপ্রবেশ ঘটেছে কি না, সে বিষয়ে নির্দিষ্ট তথ্য প্রকাশ করা হয়নি।
যুক্তরাজ্য সরকারের এক মুখপাত্র সরকারি ও বেসরকারি সব ধরনের প্রতিষ্ঠানকে নিরাপত্তা নির্দেশিকা অনুসরণ করার আহ্বান জানিয়েছেন। তাঁর বক্তব্য অনুযায়ী, প্রতিষ্ঠান ছোট হোক বা বড়, প্রত্যেকেরই নিজেদের ডিজিটাল পরিকাঠামো সুরক্ষিত রাখতে প্রয়োজনীয় ব্যবস্থা নেওয়া উচিত।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (NCSC) আগেই PHP ব্যবহারকারী প্রতিষ্ঠানগুলিকে জরুরি নিরাপত্তা আপডেট ইনস্টল করার পরামর্শ দিয়েছে। ইউরোপীয় ইউনিয়ন এবং অস্ট্রেলিয়ার সাইবার নিরাপত্তা কর্তৃপক্ষও একই ধরনের সতর্কবার্তা জারি করেছে।
NCSC জানিয়েছে, কোনও প্রতিষ্ঠান যদি দ্রুত নিরাপত্তা ত্রুটি সংশোধন করতে না পারে, তবে ঝুঁকিপূর্ণ সিস্টেম সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত। নিরাপত্তা নিশ্চিত না করে ওয়েবসাইট চালু রাখলে আক্রমণকারীরা দুর্বলতার সুযোগ নিতে পারে।
এই নির্দেশনার লক্ষ্য হলো, নিরাপত্তা ত্রুটিগুলি সংশোধন না হওয়া পর্যন্ত সম্ভাব্য সাইবার হামলার ঝুঁকি কমিয়ে রাখা।
PHP কী এবং কেন এত বড় ঝুঁকি তৈরি হয়েছে?
পিএইচপি একটি সার্ভারভিত্তিক প্রোগ্রামিং ভাষা, যা ওয়েবসাইটের বিভিন্ন কার্যক্রম পরিচালনা করতে ব্যবহৃত হয়। কোনও ওয়েবসাইটে ব্যবহারকারী প্রবেশ করলে প্রয়োজনীয় তথ্য সংগ্রহ, প্রক্রিয়াকরণ এবং ওয়েবপেজে প্রদর্শনের মতো কাজে PHP গুরুত্বপূর্ণ ভূমিকা পালন করতে পারে।
বিশ্বের বহু ওয়েবসাইট এবং অনলাইন পরিষেবা এই প্রযুক্তির ওপর নির্ভরশীল। জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেম ওয়ার্ডপ্রেস (WordPress), অনলাইন বিশ্বকোষ উইকিপিডিয়া এবং বিভিন্ন অনলাইন বিপণন প্ল্যাটফর্মে PHP ব্যবহৃত হয়।
ধরা যাক, কেউ উইকিপিডিয়ায় একটি নিবন্ধ পড়তে চাইলেন। ওয়েবসাইটের পরিকাঠামো প্রয়োজনীয় তথ্য সংগ্রহ করে ব্যবহারকারীর সামনে পাঠযোগ্যভাবে তুলে ধরতে বিভিন্ন প্রযুক্তি ব্যবহার করে। এই ধরনের কাজের পেছনে PHP গুরুত্বপূর্ণ ভূমিকা পালন করতে পারে।
সমস্যা হলো, PHP-র মতো বহুল ব্যবহৃত প্রযুক্তির মূল কাঠামোয় নিরাপত্তা ত্রুটি থাকলে একাধিক ওয়েবসাইট ও পরিষেবা ঝুঁকির মুখে পড়তে পারে। তাই প্রতিটি প্রতিষ্ঠানের নিজস্ব ওয়েবসাইটের পাশাপাশি সার্ভার, হোস্টিং ব্যবস্থা এবং PHP-নির্ভর সফটওয়্যারও পরীক্ষা করা প্রয়োজন।
সাইবার নিরাপত্তা সংস্থা উইজের (Wiz) অনুমান, এই ত্রুটির প্রভাব ইন্টারনেটের প্রায় ৭০ শতাংশ পর্যন্ত বিস্তৃত হতে পারে। তবে এই পরিসংখ্যান স্বাধীনভাবে যাচাই করতে পারেনি বিবিসি। ফলে সংখ্যাটিকে নিশ্চিত হিসাব হিসেবে বিবেচনা করা ঠিক হবে না।
অ্যামাজনের সিস্টেমে একাধিক হামলার চেষ্টা
বিশ্বের অন্যতম বৃহৎ প্রযুক্তি ও অনলাইন পরিষেবা সংস্থা অ্যামাজনও এই নিরাপত্তা সংকটের মধ্যে আক্রমণের চেষ্টা শনাক্ত করেছে।
সংস্থাটি বুধবার জানিয়েছে, তাদের নিরাপত্তা দল ১৭ অক্টোবর একটি ‘PHP2Shell’ আক্রমণচেষ্টা শনাক্ত করে। অ্যামাজনের নিরাপত্তা বিভাগের প্রধান সি জে মোজেসের বক্তব্য অনুযায়ী, একটি অজ্ঞাত ইন্টারনেট ঠিকানা সংস্থার ডিকয় বা ‘হানিপট’ সিস্টেমের দুর্বলতা কাজে লাগানোর চেষ্টা করেছিল।
হানিপট হলো সাইবার নিরাপত্তার একটি বিশেষ ব্যবস্থা। সম্ভাব্য আক্রমণকারীদের কার্যকলাপ শনাক্ত ও বিশ্লেষণ করার জন্য ইচ্ছাকৃতভাবে এমন একটি সিস্টেম তৈরি করা হয়, যা দেখতে আক্রমণের উপযোগী লক্ষ্যবস্তুর মতো। এর মাধ্যমে প্রকৃত গুরুত্বপূর্ণ সিস্টেমকে ঝুঁকিতে না ফেলেও আক্রমণের ধরন সম্পর্কে ধারণা পাওয়া সম্ভব হয়।
মোজেসের মতে, অজ্ঞাত আইপি ঠিকানা ব্যবহার করার বিষয়টি কোনও সম্ভাব্য সাইবার আক্রমণকারীর কার্যকলাপের ইঙ্গিত দেয়।
এরপর ২১ অক্টোবর অ্যামাজনের সিস্টেমে আরও কয়েকটি আক্রমণচেষ্টা শনাক্ত হয়। মোজেস জানিয়েছেন, এই প্রচেষ্টাগুলিতে ব্যবহৃত আক্রমণসংক্রান্ত তথ্য এবং পরিচয় গোপন রাখার পদ্ধতি একে অপরের থেকে আলাদা ছিল। তাই এগুলির পেছনে একাধিক আক্রমণকারী গোষ্ঠী থাকতে পারে বলে ধারণা করা হচ্ছে।
উল্লেখযোগ্য বিষয় হলো, আক্রমণগুলি PHP-র নিরাপত্তা ত্রুটি সম্পর্কে বিস্তারিত তথ্য প্রকাশ্যে ফাঁস হওয়ার পর ঘটেছিল। তবে আনুষ্ঠানিক সতর্কবার্তার ওপর থেকে নিষেধাজ্ঞা ওঠার আগেই এই প্রচেষ্টাগুলি চালানো হয়।
অর্থাৎ, নিরাপত্তা দুর্বলতার প্রযুক্তিগত বিবরণ প্রকাশ্যে আসার আগেই কিছু আক্রমণকারী তা জানতে পেরেছিল বলে আশঙ্কা তৈরি হয়েছে। তবে তারা কীভাবে তথ্যগুলি পেয়েছিল, তা স্পষ্ট নয়।
এআই কীভাবে বদলে দিচ্ছে সাইবার হামলার ধরন?
PHP-র এই নিরাপত্তা সংকটের অন্যতম গুরুত্বপূর্ণ দিক হলো, কৃত্রিম বুদ্ধিমত্তার সাহায্যে দুর্বলতাগুলি শনাক্ত করা হয়েছে। ওপেনএআইয়ের উদ্যোগে পরিচালিত একটি কর্মসূচির আওতায় গবেষকেরা উন্নত এআই সরঞ্জাম ব্যবহার করে ওয়েব প্রযুক্তির নিরাপত্তা ত্রুটি খুঁজে বের করার কাজ করেন।
ওপেনএআই এই আবিষ্কারকে সাম্প্রতিক সময়ের অন্যতম গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যা হিসেবে বর্ণনা করেছে।
এআই প্রযুক্তি নিরাপত্তা গবেষকদের কোড বিশ্লেষণ, সম্ভাব্য দুর্বলতা শনাক্ত এবং ত্রুটির কার্যকারিতা যাচাইয়ের কাজে সাহায্য করতে পারে। ফলে আগে যে ধরনের গবেষণায় দীর্ঘ সময় লাগত, তার কিছু অংশ অনেক দ্রুত সম্পন্ন করা সম্ভব হচ্ছে।
কিন্তু এই প্রযুক্তির সুবিধার পাশাপাশি বিপদের দিকও রয়েছে। কোনও নিরাপত্তা দুর্বলতার বিস্তারিত তথ্য প্রকাশ্যে আসার পর আক্রমণকারীরা এআই ব্যবহার করে দ্রুত আক্রমণের পদ্ধতি তৈরি করতে পারে।
অ্যামাজনের নিরাপত্তা বিভাগের প্রধান সি জে মোজেস সতর্ক করে বলেছেন, এআইয়ের কারণে নিরাপত্তা ত্রুটির প্রযুক্তিগত বিবরণ প্রকাশের কয়েক ঘণ্টা, এমনকি কয়েক মিনিটের মধ্যেও আরও বেশি আক্রমণকারী সক্রিয় হয়ে উঠতে পারে।
এতে সাইবার নিরাপত্তা দলগুলির হাতে প্রতিরোধমূলক ব্যবস্থা নেওয়ার সময় কমে আসতে পারে। আগে কোনও দুর্বলতা শনাক্ত হওয়ার পর সংশোধনী তৈরি ও তা প্রয়োগ করার জন্য তুলনামূলক বেশি সময় পাওয়া যেত। এখন সেই সময় দ্রুত কমে যাওয়ার আশঙ্কা রয়েছে।
বিশেষজ্ঞদের সতর্কবার্তা: আগামী দিনে বাড়তে পারে ঝুঁকি
অস্ট্রেলিয়ান কাউন্সিল অন এআই স্ট্র্যাটেজির প্রধান আনা-মারিয়া আরাবিয়া বিবিসিকে জানিয়েছেন, PHP-র এই ঘটনা দেখিয়েছে যে এআই কী দ্রুত সাইবার নিরাপত্তার পরিস্থিতি বদলে দিচ্ছে।
তাঁর মতে, আগে কোনও নিরাপত্তা দুর্বলতা খুঁজে বের করতে কয়েক মাস লেগে যেতে পারত। এখন কিছু ক্ষেত্রে সেই কাজ কয়েক দিনের মধ্যে সম্পন্ন করা সম্ভব হচ্ছে।
তিনি আরও সতর্ক করেছেন, এআই প্রযুক্তির দ্রুত উন্নতির সঙ্গে সঙ্গে এ ধরনের হুমকি আরও সাধারণ হয়ে উঠতে পারে। অর্থাৎ, ভবিষ্যতে সাইবার নিরাপত্তা দলগুলিকে আরও দ্রুত এবং আরও বেশি সংখ্যক আক্রমণ মোকাবিলা করতে হতে পারে।
তবে এআইয়ের ব্যবহার মানেই সাইবার হামলা অনিবার্যভাবে সফল হবে, এমন নয়। নিরাপত্তা আপডেট, নিয়মিত পর্যবেক্ষণ, শক্তিশালী প্রবেশাধিকার নিয়ন্ত্রণ এবং দ্রুত প্রতিক্রিয়ার মাধ্যমে ঝুঁকি অনেকটাই কমানো সম্ভব।
বিশ্বজুড়ে কেন ওয়েবসাইট বন্ধ রাখা হচ্ছে?
PHP-র ত্রুটিগুলি শনাক্ত হওয়ার পর একাধিক দেশ ও প্রতিষ্ঠান সতর্কতামূলক ব্যবস্থা নিয়েছে।
ফিনল্যান্ড সরকার তাদের জনসাধারণের জন্য উন্মুক্ত ওয়েব পরিষেবা সাময়িকভাবে বন্ধ করে দেয়। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও নিজেদের ওয়েবসাইট অফলাইনে রাখে। এ ছাড়া উইকিপিডিয়ার কিছু সিস্টেম সাময়িকভাবে বন্ধ রাখা হয়েছিল।
যুক্তরাষ্ট্রসহ বিভিন্ন দেশের কর্তৃপক্ষও জানিয়েছে, দ্রুত নিরাপত্তা সংশোধন করা সম্ভব না হলে ঝুঁকিপূর্ণ ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত।
যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (NSA) জানিয়েছে, এই ধরনের দুর্বলতা আক্রমণকারীদের সার্ভারের ফাইল সিস্টেম বা ডেটাবেসে সরাসরি প্রবেশের সুযোগ করে দিতে পারে।
সংস্থাটির পরবর্তী সতর্কবার্তায় বলা হয়েছে, এর ফলে আক্রমণকারীরা সংবেদনশীল তথ্য চুরি করতে পারে, অনলাইন পরিষেবা ব্যাহত করতে পারে কিংবা কোনও নেটওয়ার্কের আরও গভীরে প্রবেশের চেষ্টা করতে পারে।
NSA আরও স্পষ্ট করেছে, এই দুর্বলতাগুলি PHP প্রোগ্রামিং ভাষার মূল কাঠামোর মধ্যে রয়েছে। অর্থাৎ, সমস্যাটি কেবল PHP ব্যবহার করে তৈরি কোনও নির্দিষ্ট ওয়েব অ্যাপ্লিকেশন বা তার কনফিগারেশনের মধ্যে সীমাবদ্ধ নয়।
এই কারণেই শুধু ওয়েবসাইটের মূল পেজ পরীক্ষা করলেই চলবে না। সংশ্লিষ্ট সার্ভার ও সফটওয়্যার পরিকাঠামোর নিরাপত্তাও নিশ্চিত করতে হবে।
ওয়েবসাইট পরিচালনাকারীদের এখন কী করা উচিত?
বিশেষজ্ঞদের মতে, PHP ব্যবহারকারী সব প্রতিষ্ঠানের প্রথম কাজ হওয়া উচিত নিজেদের সিস্টেমে এই প্রযুক্তি কোথায় কোথায় ব্যবহৃত হচ্ছে, তা চিহ্নিত করা।
এরপর সংশ্লিষ্ট নিরাপত্তা সংশোধনী বা প্যাচ ইনস্টল করতে হবে। যদি কোনও সিস্টেমে তাৎক্ষণিকভাবে আপডেট করা সম্ভব না হয়, তবে ঝুঁকি বিবেচনা করে সেটি সাময়িকভাবে অফলাইনে রাখার প্রয়োজন হতে পারে।
এ ছাড়া নিরাপত্তা দলগুলিকে সার্ভারের লগ পরীক্ষা করতে হবে, অস্বাভাবিক কার্যকলাপ পর্যবেক্ষণ করতে হবে এবং আগে থেকেই কোনও আক্রমণকারী সিস্টেমে প্রবেশ করেছে কি না, তা খতিয়ে দেখতে হবে।
শুধু আপডেট ইনস্টল করলেই সব সমস্যা শেষ হয়ে যায় না। কারণ, কোনও আক্রমণকারী যদি আগেই সার্ভারে প্রবেশ করে থাকে, তাহলে দুর্বলতা সংশোধনের পরও তার রেখে যাওয়া ক্ষতিকর ফাইল বা অন্য প্রবেশপথের ঝুঁকি থেকে যেতে পারে।
তাই প্রতিষ্ঠানগুলির উচিত প্রয়োজন অনুযায়ী নিরাপত্তা পরীক্ষা করা, গুরুত্বপূর্ণ তথ্যের ব্যাকআপ রাখা এবং হোস্টিং পরিষেবা ও তৃতীয় পক্ষের সফটওয়্যারের নিরাপত্তা বিজ্ঞপ্তির ওপর নজর রাখা।
