০২ নভেম্বর ২০২৬
| ১৭ কার্তিক ১৪৩৩
০২ নভেম্বর ২০২৬
| ১৭ কার্তিক ১৪৩৩
তথ্যপ্রযুক্তি ডেস্ক
প্রকাশ:১৫:৫৮,২৪ অক্টোবর ২০২৬
ইন্টারনেটের অবকাঠামোর অন্যতম গুরুত্বপূর্ণ প্রোগ্রামিং ভাষা পিএইচপির (PHP) দীর্ঘদিনের একটি নিরাপত্তা দুর্বলতা নতুন করে উদ্বেগ তৈরি করেছে। প্রায় ২২ বছর আগে এ ধরনের ত্রুটির বিষয়ে সতর্ক করা হলেও তা পুরোপুরি সমাধান করা হয়নি। এত দিন দুর্বলতাটি কাজে লাগিয়ে সাইবার হামলা চালানোর পদ্ধতি বের করা ছিল অত্যন্ত জটিল ও সময়সাপেক্ষ। কিন্তু কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায় গবেষকেরা মাত্র দুই দিনের মধ্যে সেই দুর্বলতাকে কাজে লাগানোর কার্যকর পদ্ধতি খুঁজে পেয়েছেন।
এ ঘটনার পর বিশ্বজুড়ে ওয়েবসাইটের নিরাপত্তা নিয়ে নতুন করে প্রশ্ন উঠেছে। বিশেষ করে পুরোনো সফটওয়্যার, দীর্ঘদিন ধরে ব্যবহৃত কোড এবং নিয়মিত হালনাগাদ না হওয়া সার্ভারগুলো কতটা নিরাপদ, তা নিয়ে উদ্বেগ বাড়ছে। বাংলাদেশের ভূমি মন্ত্রণালয় ও বাংলাদেশ ব্যাংকের ওয়েবসাইটও সম্ভাব্য সাইবার হামলার ঝুঁকি এড়াতে সাময়িকভাবে বন্ধ রেখে নিরাপত্তা হালনাগাদের উদ্যোগ নিয়েছে।
সাইবার নিরাপত্তা গবেষকদের আশঙ্কা, এআইয়ের সাহায্যে এখন এমন সব দুর্বলতাও দ্রুত শনাক্ত করা সম্ভব, যেগুলো খুঁজে বের করতে আগে বিশেষজ্ঞদের দীর্ঘ সময় ধরে কাজ করতে হতো। ফলে ভবিষ্যতে হ্যাকারদের জন্য ওয়েবসাইটের নিরাপত্তাব্যবস্থা ভেঙে ফেলার পথ আরও সহজ হয়ে উঠতে পারে।
মার্কিন সংবাদমাধ্যম সিএনএনের প্রতিবেদনে বলা হয়েছে, সাইবার নিরাপত্তা গবেষক স্টিফান এসার ২০০৪ সালের জুলাইয়ে পিএইচপির একটি গুরুতর নিরাপত্তা দুর্বলতা নিয়ে সতর্ক করেছিলেন। সে সময় তিনি আশঙ্কা প্রকাশ করেন, এই দুর্বলতা কাজে লাগিয়ে আক্রমণকারীরা পাসওয়ার্ড ও ডেটাবেজের তথ্য চুরি করতে পারে। এমনকি কোনো ওয়েবসাইটের নিয়ন্ত্রণও নিয়ে নিতে পারে।
পিএইচপি এমন একটি প্রোগ্রামিং ভাষা, যা দিয়ে ওয়েবসাইটের সার্ভার-সংশ্লিষ্ট বিভিন্ন কাজ পরিচালনা করা হয়। দীর্ঘদিন ধরে অসংখ্য ওয়েবসাইট, অনলাইন সেবা ও ডিজিটাল প্ল্যাটফর্ম তৈরিতে ভাষাটি ব্যবহৃত হচ্ছে। ফলে এর নিরাপত্তায় বড় ধরনের দুর্বলতা দেখা দিলে তার প্রভাব অনেক দূর পর্যন্ত ছড়িয়ে পড়তে পারে।
প্রতিবেদন অনুযায়ী, ২০২০ সালে আরেক গবেষক একই ধরনের একটি সমস্যা শনাক্ত করেন। এরপর পিএইচপির ব্যবস্থাপকেরা সমস্যাটির আংশিক সমাধান করেন। কিন্তু ২০২৪ সালে একই ধরনের আরেকটি নিরাপত্তা ত্রুটি শনাক্ত হলেও সেটিরও পূর্ণাঙ্গ সমাধান হয়নি বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
এত দীর্ঘ সময় ধরে দুর্বলতাটি কেন পুরোপুরি সমাধান করা সম্ভব হয়নি, তার একটি গুরুত্বপূর্ণ ব্যাখ্যা হলো—এটি কাজে লাগানোর পদ্ধতি বের করা ছিল অত্যন্ত কঠিন। শুধু ত্রুটি শনাক্ত করলেই হতো না; পিএইচপির নিরাপত্তাব্যবস্থার বাধা অতিক্রম করে বাস্তবে সেটি কাজে লাগানোর উপায়ও বের করতে হতো। এ কাজের জন্য প্রয়োজন ছিল জটিল কোড বিশ্লেষণ, পরীক্ষা-নিরীক্ষা এবং দীর্ঘ সময় ধরে একই ধরনের প্রচেষ্টা চালিয়ে যাওয়া।
মানুষের জন্য এই কাজ ছিল ক্লান্তিকর ও ব্যয়বহুল। ফলে দুর্বলতার অস্তিত্ব জানা থাকলেও সেটিকে কাজে লাগানোর বাস্তবসম্মত পদ্ধতি বের করা সহজ ছিল না।
পিএইচপির নিরাপত্তা পরীক্ষা শুরু হয় গত ৩০ জুলাই। এআই নিরাপত্তা প্রতিষ্ঠান ক্যালিফের গবেষকেরা ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের সঙ্গে যুক্ত হয়ে একটি বৃহৎ ভাষা মডেলকে পিএইচপির কোড বিশ্লেষণ এবং নিরাপত্তা দুর্বলতা শনাক্ত করার দায়িত্ব দেন।
গবেষকেরা প্রথমে খুব বড় কোনো সাফল্যের প্রত্যাশা করেননি। কিন্তু ১ আগস্টের মধ্যে তাঁরা পিএইচপির দুর্বলতাকে কাজে লাগিয়ে আক্রমণ চালানোর একটি পদ্ধতি খুঁজে পান। এর কয়েক দিন পর আরও একটি পদ্ধতি শনাক্ত হয়। পরবর্তী সময়ে আরও উপায় বেরিয়ে আসে।
একই মাসের শেষ দিকে গুগলের সমর্থন পাওয়া সাইবার নিরাপত্তা প্রতিষ্ঠান উইজও পিএইচপির দুর্বলতাকে কাজে লাগানোর নতুন পদ্ধতি শনাক্ত করে। প্রতিষ্ঠানটি ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের অংশীদার ছিল।
এরপর বুধবার নিরাপত্তা প্যাচ প্রকাশ করা হয় এবং গবেষণার ফলাফল জনসমক্ষে তুলে ধরা হয়। উইজের পক্ষ থেকে এই নিরাপত্তা দুর্বলতাকে সফটওয়্যারের ইতিহাসে অত্যন্ত গুরুতর সমস্যা হিসেবে বর্ণনা করা হয়েছে।
ঘটনাটির তাৎপর্য শুধু একটি পুরোনো সফটওয়্যারের ত্রুটি খুঁজে পাওয়ার মধ্যে সীমাবদ্ধ নয়। বরং এটি দেখিয়েছে, এআইয়ের সাহায্যে দীর্ঘদিনের অমীমাংসিত নিরাপত্তা সমস্যার সমাধান যেমন দ্রুত করা সম্ভব, তেমনি একই প্রযুক্তি ব্যবহার করে আক্রমণের পথও বের করা যেতে পারে।
কার্নেগি মেলন বিশ্ববিদ্যালয়ের কম্পিউটার প্রকৌশল বিভাগের অধ্যাপক ভিয়াস সেকারের মতে, এআই এ ধরনের কাজ মানুষের তুলনায় অনেক দ্রুত করতে পারে। তাঁর আশঙ্কা, পিএইচপির ঘটনাটি ভবিষ্যতে আরও বড় ধরনের সাইবার নিরাপত্তা সংকটের পূর্বাভাস হতে পারে।
তাঁর বক্তব্য অনুযায়ী, পিএইচপির মতো অন্যান্য সফটওয়্যারেও অসংখ্য নিরাপত্তা দুর্বলতা থাকতে পারে। কিছু দুর্বলতার বিষয়ে গবেষকেরা জানেন, কিন্তু অনেকগুলো এখনো অজানা। এআইয়ের সক্ষমতা বাড়ার সঙ্গে সঙ্গে সেগুলোও দ্রুত শনাক্ত ও কাজে লাগানোর ঝুঁকি তৈরি হচ্ছে।
পিএইচপির নিরাপত্তা পরিস্থিতি বোঝাতে গবেষকেরা একটি ব্যাংকের উদাহরণ দিয়েছেন। এমন একটি ব্যাংক কল্পনা করা যাক, যেখানে মূল্যবান সম্পদ রাখা আছে, কিন্তু ভল্ট পাহারা দেওয়ার জন্য কোনো নিরাপত্তারক্ষী নেই। তাত্ত্বিকভাবে যে কেউ ভল্টে প্রবেশের সুযোগ পেতে পারে। তবে ভল্টের গোপন কোড ভাঙা যদি অত্যন্ত কঠিন হয়, তাহলে বেশির ভাগ আক্রমণকারী সেই চেষ্টা থেকে বিরত থাকবে।
এত দিন পিএইচপির কিছু নিরাপত্তা দুর্বলতার ক্ষেত্রেও পরিস্থিতি অনেকটা এমন ছিল। ত্রুটি থাকলেও সেগুলো কাজে লাগানোর জন্য প্রয়োজনীয় কোড তৈরি করা কঠিন হওয়ায় আক্রমণকারীদের জন্য কাজটি সব সময় লাভজনক ছিল না।
এআই সেই বাধা কমিয়ে দিয়েছে। একটি নির্দিষ্ট দুর্বলতা নিয়ে বারবার পরীক্ষা চালানো, সম্ভাব্য ব্যর্থতা বিশ্লেষণ করা এবং নতুন পদ্ধতি চেষ্টা করার কাজ এআই দীর্ঘ সময় ধরে করতে পারে। মানুষের মতো ক্লান্ত হয়ে পড়া বা একঘেয়ে কাজে মনোযোগ হারানোর বিষয়টিও তার ক্ষেত্রে একইভাবে প্রযোজ্য নয়।
ফিল্ডওয়ার্ক এআইয়ের প্রধান নির্বাহী নিক রজার্সের ব্যাখ্যা অনুযায়ী, কোনো সফটওয়্যারে ত্রুটি থাকার সন্দেহ হলে সেটি খুঁজে বের করার কাজ সাধারণত যান্ত্রিক ও সময়সাপেক্ষ। এআই লক্ষ্যে পৌঁছানো পর্যন্ত সেই প্রচেষ্টা চালিয়ে যেতে পারে।
এ কারণে নিরাপত্তা বিশেষজ্ঞদের উদ্বেগ হলো, সাইবার অপরাধীরা এখন শুধু দক্ষ প্রোগ্রামার নিয়োগের ওপর নির্ভর না করেও এআইয়ের সাহায্যে জটিল দুর্বলতা অনুসন্ধানের সুযোগ পেতে পারে।
গবেষণায় উঠে আসা দুর্বলতার একটি গুরুত্বপূর্ণ দিক ছিল সার্ভারের মেমোরি ব্যবস্থাপনা। কোনো সার্ভারের মেমোরি শেষ হয়ে গেলে সেটি ক্র্যাশ করতে পারে। এ সময় আগের কিছু তথ্য মেমোরিতে থেকে যাওয়ার পরিস্থিতি তৈরি হতে পারে।
পিএইচপির সংশ্লিষ্ট দুর্বলতার কারণে এমন অবস্থায় অবশিষ্ট তথ্য কাজে লাগিয়ে তথ্য ফাঁস করা বা ক্ষতিকর কোড চালানোর সুযোগ তৈরি হতে পারত। তবে শুধু সার্ভার ক্র্যাশ করালেই আক্রমণ সফল হতো না। নির্দিষ্ট পরিস্থিতি তৈরি করা এবং পিএইচপির নিরাপত্তাব্যবস্থার সীমাবদ্ধতাকে কাজে লাগানো প্রয়োজন ছিল।
গবেষকেরা এআইয়ের সাহায্যে এমন কয়েকটি পদ্ধতি খুঁজে পান, যার মাধ্যমে এই বাধা অতিক্রম করা সম্ভব হতে পারে।
একটি পদ্ধতিতে কম্প্রেসড ও ডিকম্প্রেসড ফাইল শনাক্ত করার ক্ষেত্রে পিএইচপির আচরণগত অসামঞ্জস্যকে কাজে লাগানো হয়। কম্প্রেসড ফাইল হলো এমন ফাইল, যার আকার কমানোর জন্য তথ্য সংকুচিত করা হয়েছে। আর ডিকম্প্রেসড ফাইল হলো সেই সংকুচিত তথ্য খুলে আগের কাঠামোয় ফিরিয়ে আনা ফাইল।
ফাইলের এই দুই অবস্থার মধ্যে অসামঞ্জস্য থাকলে নিরাপত্তাব্যবস্থা কোনো ফাইলকে গ্রহণযোগ্য মনে করলেও সেটি পরে প্রসারিত বা প্রক্রিয়াকরণের সময় ভিন্ন আচরণ করতে পারে। এর ফলে ক্ষতিকর ফাইলের মাধ্যমে সার্ভারের নিরাপত্তা বিঘ্নিত হওয়ার ঝুঁকি তৈরি হতে পারে।
অন্য একটি পদ্ধতিতে ফাইলের ভেতরে অত্যন্ত জটিল কাঠামো তৈরি করে পিএইচপির ডিরেক্টরি ব্যবস্থার ওপর অতিরিক্ত চাপ সৃষ্টি করা হয়। এতে মেমোরি ব্যবস্থাপনায় সমস্যা তৈরি হওয়ার সুযোগ থাকে।
এসব পদ্ধতি শনাক্ত করার ক্ষেত্রে এআইয়ের ভূমিকা ছিল গুরুত্বপূর্ণ। তবে কোনো দুর্বলতা শনাক্ত হওয়া, সেটিকে পরীক্ষাগারে কাজে লাগানো এবং বাস্তব কোনো ওয়েবসাইটে সফল হামলা চালানো—এগুলো আলাদা বিষয়। গবেষণায় দুর্বলতা কাজে লাগানোর পদ্ধতি পাওয়া গেছে বলেই সব ঝুঁকিপূর্ণ ওয়েবসাইট আক্রান্ত হয়েছে, এমন সিদ্ধান্তে পৌঁছানোর সুযোগ নেই।
এআই নিরাপত্তা গবেষণার কাজে ব্যবহৃত হলে সফটওয়্যারের দুর্বলতা দ্রুত শনাক্ত করা যায়। এতে সফটওয়্যার নির্মাতারা আগেভাগে সমস্যা সমাধানের সুযোগ পান। কিন্তু একই সক্ষমতা সাইবার অপরাধীদের হাতে গেলে তার বিপরীত ফলও হতে পারে।
এই উদ্বেগ থেকেই অ্যানথ্রোপিক গত জুনে তাদের উন্নত এআই মডেল ‘মিথোস’ প্রকাশ না করার সিদ্ধান্ত নেয় বলে প্রতিবেদনে উল্লেখ করা হয়েছে। মডেলটি সফটওয়্যারের নিরাপত্তা দুর্বলতা শনাক্ত করার কাজে বিশেষভাবে দক্ষ করে গড়ে তোলা হয়েছিল।
পিএইচপির ক্ষেত্রে ক্যালিফের গবেষকেরা জানিয়েছেন, তাঁরা দুর্বলতা খুঁজতে বিশেষভাবে তৈরি কোনো মডেল ব্যবহার করেননি। বরং সাধারণ মানুষের কাছে সহজলভ্য একটি মডেলের সাহায্য নিয়েই তাঁরা গুরুত্বপূর্ণ ফল পেয়েছেন।
এই তথ্য নিরাপত্তা বিশেষজ্ঞদের উদ্বেগ আরও বাড়িয়েছে। কারণ, ভবিষ্যতে আরও শক্তিশালী ও সহজলভ্য এআই মডেল তৈরি হলে দুর্বলতা খোঁজার প্রযুক্তি শুধু বড় গবেষণাপ্রতিষ্ঠান বা দক্ষ বিশেষজ্ঞদের মধ্যে সীমাবদ্ধ থাকবে না।
তবে এআইয়ের ব্যবহার পুরোপুরি বন্ধ করাও সমাধান নয়। একই প্রযুক্তি ব্যবহার করে নিরাপত্তা গবেষকেরা হাজার হাজার সফটওয়্যার পরীক্ষা করতে, দুর্বলতা শনাক্ত করতে এবং দ্রুত প্যাচ তৈরি করতে পারবেন। মূল চ্যালেঞ্জ হলো, আক্রমণকারীরা যাতে নিরাপত্তা গবেষকদের আগে দুর্বলতাগুলো কাজে লাগাতে না পারে, তা নিশ্চিত করা।
পিএইচপির সংশ্লিষ্ট নিরাপত্তা দুর্বলতা মোকাবিলায় প্যাচ প্রকাশ করা হয়েছে। কিন্তু একটি নিরাপত্তা প্যাচ প্রকাশের অর্থ এই নয় যে ইন্টারনেটে থাকা সব ঝুঁকিপূর্ণ সার্ভার সঙ্গে সঙ্গে নিরাপদ হয়ে গেছে।
কারণ, অনেক প্রতিষ্ঠান এখনো পিএইচপির পুরোনো সংস্করণ ব্যবহার করে। কোনো কোনো সার্ভার নিয়মিত হালনাগাদ করা হয় না। আবার কিছু প্রতিষ্ঠান নিজেদের পুরোনো অ্যাপ্লিকেশনের সঙ্গে নতুন সংস্করণের সামঞ্জস্য নিয়ে উদ্বেগের কারণে নিরাপত্তা আপডেট প্রয়োগ করতে দেরি করে।
সাইবার নিরাপত্তা প্রতিষ্ঠান ক্রাউডস্ট্রাইকের ভাইস প্রেসিডেন্ট অ্যাডাম মেয়ার্সের মতে, পিএইচপির পুরোনো সংস্করণ ব্যাপকভাবে ব্যবহৃত হওয়ায় একটি প্যাচ দিয়ে সব সমস্যার সমাধান করা কঠিন।
এ ছাড়া পিএইচপির মূল সফটওয়্যার হালনাগাদ করলেই কোনো প্রতিষ্ঠানের সব নিরাপত্তা দুর্বলতা দূর হয়ে যায় না। ওয়েব অ্যাপ্লিকেশনের নিজস্ব কোড, সার্ভারের কনফিগারেশন, ব্যবহৃত অন্যান্য সফটওয়্যার এবং প্রবেশাধিকার নিয়ন্ত্রণেও সমস্যা থাকতে পারে।
তাই শুধু প্যাচ প্রকাশ নয়, সেটি দ্রুত প্রয়োগ করা হয়েছে কি না, সার্ভারে আগের কোনো অননুমোদিত প্রবেশ ঘটেছে কি না এবং সংশ্লিষ্ট সিস্টেমে আরও দুর্বলতা রয়েছে কি না—এসবও পরীক্ষা করা প্রয়োজন।
পিএইচপির দীর্ঘদিনের দুর্বলতা সমাধানের আলোচনায় আরেকটি গুরুত্বপূর্ণ প্রশ্ন সামনে এসেছে—পুরোনো প্রযুক্তি বাদ দিয়ে নতুন ও নিরাপদ প্রযুক্তিতে চলে যাওয়া কি সম্ভব?
তাত্ত্বিকভাবে কোনো প্রতিষ্ঠান চাইলে পিএইচপি ব্যবহার বন্ধ করে অন্য প্রোগ্রামিং ভাষায় নিজেদের ওয়েবসাইট বা অ্যাপ্লিকেশন তৈরি করতে পারে। কিন্তু বাস্তবে এ কাজ অত্যন্ত ব্যয়বহুল এবং সময়সাপেক্ষ।
একটি বড় ওয়েবসাইট শুধু কয়েকটি পৃষ্ঠা বা কোডের সমষ্টি নয়। এর সঙ্গে যুক্ত থাকে ডেটাবেজ, ব্যবহারকারীর অ্যাকাউন্ট, অর্থ লেনদেন, বিভিন্ন সরকারি বা বেসরকারি সেবা, অন্যান্য প্রতিষ্ঠানের সঙ্গে তথ্য বিনিময় এবং দীর্ঘদিন ধরে তৈরি হওয়া জটিল সফটওয়্যার কাঠামো।
এসব ব্যবস্থা নতুন প্রযুক্তিতে স্থানান্তর করতে গেলে অনেক ক্ষেত্রে পুরো অ্যাপ্লিকেশন নতুন করে তৈরি করতে হয়। এরপর পুরোনো তথ্য স্থানান্তর, নিরাপত্তা পরীক্ষা, কার্যকারিতা যাচাই এবং নতুন ব্যবস্থার সঙ্গে অন্যান্য সেবার সংযোগ নিশ্চিত করতে হয়।
ক্রাউডস্ট্রাইকের অ্যাডাম মেয়ার্সের বক্তব্য অনুযায়ী, পিএইচপি থেকে অন্য প্রযুক্তিতে স্থানান্তর সাধারণ কোনো ই-মেইল সেবা বদলে ফেলার মতো সহজ কাজ নয়। এতে পুরো অ্যাপ্লিকেশন পুনর্গঠনের প্রয়োজন হতে পারে।
ফলে বহু প্রতিষ্ঠান পুরোনো প্রযুক্তি ব্যবহার অব্যাহত রাখে। তাদের জন্য বাস্তবসম্মত সমাধান হলো, নিরাপত্তা প্যাচ নিয়মিত প্রয়োগ করা, পুরোনো সংস্করণ ধাপে ধাপে বাদ দেওয়া এবং সার্ভারের নিরাপত্তাব্যবস্থা শক্তিশালী করা।
পিএইচপির নিরাপত্তা ত্রুটি নিয়ে আন্তর্জাতিক পর্যায়ে সতর্কতা জারির পর বাংলাদেশেও গুরুত্বপূর্ণ অনলাইন সেবা সাময়িকভাবে বন্ধ রাখার উদ্যোগ নেওয়া হয়েছে।
সমকাল প্রতিবেদকের তথ্য অনুযায়ী, সম্ভাব্য সাইবার হামলার ঝুঁকি এড়াতে ভূমি মন্ত্রণালয় নিজেদের ডিজিটাল ভূমিসেবার সার্ভার বন্ধ রেখে নিরাপত্তা হালনাগাদের উদ্যোগ নেয়।
প্রতিবেদনটিতে বলা হয়েছে, বৃহস্পতিবার রাত ১২টা থেকে শনিবার দুপুর ১২টা পর্যন্ত টানা ৩৬ ঘণ্টা ডিজিটাল ভূমিসেবা বন্ধ রাখার পরিকল্পনা ছিল। এ সময় অনলাইনে নামজারি, ভূমি উন্নয়ন কর পরিশোধ, ভূমি রেকর্ড সংগ্রহ এবং মৌজা ম্যাপ নেওয়ার মতো সেবা পাওয়া যাবে না বলে জানানো হয়।
বৃহস্পতিবার রাত ১১টা ৪৫ মিনিটের পর ভূমিসেবার জন্য কোনো ধরনের অর্থ পরিশোধ না করতে ব্যবহারকারীদের অনুরোধ জানানো হয়েছিল।
মন্ত্রণালয়ের বিজ্ঞপ্তিতে বলা হয়, সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্টের ২২ অক্টোবরের জরুরি সতর্কবার্তার পরিপ্রেক্ষিতে সিস্টেমের নিরাপত্তা উন্নয়নের জন্য রক্ষণাবেক্ষণের কাজ করা হচ্ছে।
এ ধরনের সাময়িক বন্ধের উদ্দেশ্য হলো, নিরাপত্তা পরীক্ষা ও হালনাগাদ সম্পন্ন না হওয়া পর্যন্ত সম্ভাব্য ঝুঁকি কমিয়ে রাখা। তবে কোনো সেবা বন্ধ রাখার সিদ্ধান্ত নেওয়া হয়েছে বলেই ওই সিস্টেমে সফল সাইবার হামলা হয়েছে, এমনটা ধরে নেওয়া ঠিক নয়।
একই নিরাপত্তা ঝুঁকির কারণে বৃহস্পতিবার সন্ধ্যা থেকে বাংলাদেশ ব্যাংকের ওয়েবসাইটও বন্ধ রাখা হয় বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
কেন্দ্রীয় ব্যাংকের পক্ষ থেকে জানানো হয়, সতর্কতামূলক ব্যবস্থা হিসেবে ওয়েবসাইটটি সাময়িকভাবে বন্ধ রাখা হয়েছে। তবে ওয়েবসাইট বন্ধ থাকলেও দেশের ব্যাংকিং লেনদেন স্বাভাবিক রয়েছে।
এর কারণ, বাংলাদেশ ব্যাংকের সাধারণ ওয়েবসাইট এবং ব্যাংকিং লেনদেন পরিচালনার মূল অবকাঠামো এক নয়। ওয়েবসাইটে সাধারণত বিভিন্ন তথ্য, নীতিমালা, বিজ্ঞপ্তি ও প্রতিবেদন প্রকাশ করা হয়। অন্যদিকে ব্যাংকিং লেনদেন পরিচালিত হয় পৃথক প্রযুক্তিগত ব্যবস্থার মাধ্যমে।
তাই কোনো ব্যাংকের ওয়েবসাইট আক্রান্ত হলে বা বন্ধ থাকলে স্বয়ংক্রিয়ভাবে গ্রাহকদের ব্যাংক হিসাবের অর্থ চুরি হয়ে যাবে, এমন নয়। তবে সংশ্লিষ্ট সিস্টেমের মধ্যে কোনো সংযোগ বা নিরাপত্তা দুর্বলতা থাকলে ঝুঁকি তৈরি হতে পারে। এ কারণে আর্থিক প্রতিষ্ঠানগুলোর জন্য ওয়েবসাইট ও মূল লেনদেনব্যবস্থা—দুই ক্ষেত্রেই নিরাপত্তা পরীক্ষা করা জরুরি।
বাংলাদেশের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্টের সতর্কবার্তায় ঝুঁকিপূর্ণ পিএইচপি ব্যবহৃত সিস্টেমগুলোতে দ্রুত নিরাপত্তা হালনাগাদ করার পরামর্শ দেওয়া হয়েছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
সংশ্লিষ্ট প্রতিষ্ঠানগুলোর জন্য গুরুত্বপূর্ণ পদক্ষেপগুলো হলো—
১. নিরাপত্তা প্যাচ প্রয়োগ: পিএইচপির ঝুঁকিপূর্ণ সংস্করণ শনাক্ত করে উপযুক্ত নিরাপত্তা আপডেট দ্রুত যুক্ত করা।
২. সার্ভারে প্রবেশ নিয়ন্ত্রণ: তাৎক্ষণিকভাবে প্যাচ প্রয়োগ করা সম্ভব না হলে সার্ভারের প্রবেশাধিকার সীমিত করা এবং প্রয়োজনীয় বিকল্প নিরাপত্তাব্যবস্থা নেওয়া।
৩. সন্দেহজনক কার্যক্রম পরীক্ষা: সার্ভারের লগ, অস্বাভাবিক অনুরোধ, অননুমোদিত প্রবেশ এবং সম্ভাব্য তথ্য ফাঁসের লক্ষণ পরীক্ষা করা।
৪. পুরোনো সংস্করণ চিহ্নিত করা: প্রতিষ্ঠানের কোন কোন সার্ভার ও অ্যাপ্লিকেশনে পিএইচপি ব্যবহার করা হচ্ছে, সেগুলোর সংস্করণ এবং নিরাপত্তার অবস্থা যাচাই করা।
৫. প্রয়োজনে সাময়িকভাবে সেবা বন্ধ রাখা: নিরাপত্তা ত্রুটি পরীক্ষা ও প্রয়োজনীয় হালনাগাদ শেষ না হওয়া পর্যন্ত ঝুঁকিপূর্ণ সেবা সাময়িকভাবে বন্ধ রাখা।
বিশেষজ্ঞদের মতে, নিরাপত্তা প্যাচ প্রয়োগের পাশাপাশি নিয়মিত পর্যবেক্ষণ ও পরীক্ষা চালানো প্রয়োজন। কারণ, আক্রমণকারীরা কোনো দুর্বলতার খবর জানার পর সেটিকে কাজে লাগানোর চেষ্টা করতে পারে।
পিএইচপির দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর ভারতেও সরকারি ও বেসরকারি প্রতিষ্ঠানগুলোর মধ্যে সতর্কতা জারি করা হয়েছে বলে বিভিন্ন প্রতিবেদনে জানানো হয়েছে।
ত্রুটি দুটির সুযোগ নিয়ে আক্রমণকারীরা দূর থেকে ঝুঁকিপূর্ণ সার্ভারে ক্ষতিকর নির্দেশনা চালাতে এবং সেগুলোর নিয়ন্ত্রণ নেওয়ার চেষ্টা করতে পারে। এ কারণে ভারতের সাইবার নিরাপত্তা কর্তৃপক্ষ দ্রুত নিরাপত্তা হালনাগাদের পরামর্শ দিয়েছে।
প্রতিবেদনগুলোতে বলা হয়েছে, দেশটিতে ঝুঁকিপূর্ণ পিএইচপি ব্যবহৃত প্রায় ৬০ হাজার ওয়েবসাইট শনাক্ত করে সংশ্লিষ্ট কর্তৃপক্ষকে সতর্ক করা হয়েছে। সরকারি সংস্থা, পরিচয়পত্র-সংশ্লিষ্ট কর্তৃপক্ষসহ বিভিন্ন প্রতিষ্ঠান নিরাপত্তা ত্রুটি সংশোধনের কাজ শুরু করেছে।
যেসব ক্ষেত্রে দ্রুত হালনাগাদ করা সম্ভব হচ্ছে না, সেসব ওয়েবসাইট বা অনলাইন সেবা সাময়িকভাবে বন্ধ রাখার পরামর্শ দেওয়া হয়েছে। ব্যাংক ও আর্থিক প্রতিষ্ঠানগুলোও নিজেদের অনলাইন সেবার নিরাপত্তা পরীক্ষা, অননুমোদিত প্রবেশের চিহ্ন অনুসন্ধান এবং বিকল্প ব্যবস্থা প্রস্তুত রাখার উদ্যোগ নিয়েছে।
তবে এই দুর্বলতাকে কাজে লাগিয়ে ভারতের সরকারি ব্যবস্থায় সফল হামলা হয়েছে কি না, সে বিষয়ে নিশ্চিত তথ্য পাওয়া যায়নি বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
পিএইচপির নিরাপত্তা দুর্বলতার ঘটনা দেখিয়েছে, দীর্ঘদিন ধরে পরিচিত কোনো প্রযুক্তি শুধু ব্যাপকভাবে ব্যবহৃত হচ্ছে বলেই নিরাপদ হয়ে যায় না। পুরোনো কোডের ভেতরে থাকা দুর্বলতা বছরের পর বছর অজানা থেকে যেতে পারে। আবার কোনো দুর্বলতা জানা থাকলেও সেটিকে বাস্তবে কাজে লাগানোর পদ্ধতি জটিল হওয়ায় তাৎক্ষণিক বিপদের মাত্রা কম বলে মনে হতে পারে।
এআই এই পরিস্থিতি বদলে দিচ্ছে। আগে যে কাজের জন্য বিশেষজ্ঞদের দীর্ঘ সময় ধরে কোড পরীক্ষা করতে হতো, এখন তা অনেক কম সময়ে করা সম্ভব হচ্ছে। এতে নিরাপত্তা গবেষকেরা যেমন উপকৃত হচ্ছেন, তেমনি সাইবার অপরাধীদের জন্যও নতুন সুযোগ তৈরি হচ্ছে।
এ পরিস্থিতিতে শুধু একটি সফটওয়্যারের ত্রুটি সংশোধন করাই যথেষ্ট নয়। প্রয়োজন নিয়মিত নিরাপত্তা পরীক্ষা, দ্রুত প্যাচ প্রয়োগ, পুরোনো সংস্করণ হালনাগাদ, সার্ভারে প্রবেশ নিয়ন্ত্রণ এবং সম্ভাব্য হামলার লক্ষণ শনাক্ত করার কার্যকর ব্যবস্থা।
বাংলাদেশের সরকারি ওয়েবসাইট, ব্যাংকিং খাত এবং অন্যান্য গুরুত্বপূর্ণ ডিজিটাল সেবার ক্ষেত্রেও এই বিষয়গুলো বিশেষ গুরুত্ব বহন করে। কারণ, ডিজিটাল সেবার ওপর মানুষের নির্ভরতা যত বাড়বে, সেগুলোর নিরাপত্তা নিশ্চিত করার প্রয়োজনও তত বাড়বে।
সব মিলিয়ে পিএইচপির ঘটনাটি একটি সতর্কবার্তা—ইন্টারনেটের বহু পুরোনো প্রযুক্তিগত ভিত্তিতে থাকা দুর্বলতা এআইয়ের সহায়তায় দ্রুত সামনে চলে আসতে পারে। এখন প্রশ্ন শুধু কত দ্রুত নতুন ত্রুটি শনাক্ত করা যাচ্ছে, তা নয়; বরং সেই ত্রুটি কাজে লাগানোর আগেই কত দ্রুত সেগুলো সংশোধন করা সম্ভব হচ্ছে, সেটিই হবে সাইবার নিরাপত্তার বড় পরীক্ষা।
