বিবিসি: ইন্টারনেটের বড় একটি অংশের ভিত্তি হিসেবে ব্যবহৃত প্রযুক্তিতে যে গুরুতর নিরাপত্তাত্রুটি আছে তা এক দশকের বেশি সময় ধরে ছিল অজানা। কিন্তু কৃত্রিম বুদ্ধিমত্তা (এআই) সেই অজানাকে উন্মোচন করেছে। ত্রুটিগুলো শনাক্ত হওয়ার পর বিশ্বজুড়ে সাইবার নিরাপত্তা সতর্কতা জারি হয়েছে। এসব ত্রুটি পাওয়া গেছে পিএইচপি নামে প্রোগ্রামিং ল্যাঙ্গুয়েজে। বিংশ শতকের শেষ দশক থেকে ওয়েবসাইট তৈরিতে বিশ্বজুড়ে এই প্রোগ্রামিং ব্যবহৃত হয়ে আসছে।
গত বুধবার পিএইচপিতে গুরুতর নিরাপত্তাত্রুটি আবিষ্কারের পর সম্ভাব্য ক্ষয়ক্ষতি ঠেকাতে তৎপর হয়েছে বিভিন্ন দেশের সরকার ও সাইবার নিরাপত্তা সংস্থা। ওয়েবসাইট পরিচালনাকারীদের জরুরি সিকিউরিটি আপডেট ইনস্টল করতে অথবা সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার কথা বিবেচনা করতে বলা হয়েছে।
ওপেনএআইয়ের প্রযুক্তি ব্যবহার করে এসব ত্রুটি শনাক্ত করা হয়। ত্রুটি শনাক্তের সঙ্গে যুক্ত অন্যতম প্রতিষ্ঠান সাইবার নিরাপত্তা সংস্থা উইজ বলেছে, এআইয়ের মাধ্যমে শনাক্ত হওয়া ত্রুটিগুলোর মধ্যে এগুলো ‘সবচেয়ে গুরুতর’।
পিএইচপি কী?
বেশিরভাগ মানুষ পিএইচপির নাম না শুনলেও এটি ব্যবহার করে তৈরি প্রযুক্তি সেবা সম্ভবত প্রতিদিনই তারা নেন। পিএইচপির পূর্ণরূপ ‘পিএইচপি: হাইপারটেক্সট প্রিপ্রসেসর’। এটি উন্মুক্ত সোর্স কোডের একটি প্রোগ্রামিং ল্যাঙ্গুয়েজ যা ওয়েব সার্ভারে চলে এবং ওয়েবসাইটের নেপথ্যের কাজগুলো সম্পন্ন করে।
পরিবর্তনশীল তথ্যের ভিত্তিতে ওয়েবপেজ ও অ্যাপ্লিকেশন তৈরি করতে সহায়তার জন্য ১৯৯০-এর দশকের শুরুর দিকে এটি তৈরি করা হয়। এখনও উইকিপিডিয়া, অনলাইন মার্কেটপ্লেস ও ওয়ার্ডপ্রেসসহ বহু প্ল্যাটফর্মে পিএইচপি ব্যবহৃত হয়। ওয়ার্ডপ্রেস দিয়ে অসংখ্য ওয়েবসাইট পরিচালিত হয়।
আপনি কোনো ওয়েবসাইটে গেলে পিএইচপির কোড তথ্য সংগ্রহ করে সেটিকে আপনার পড়ার উপযোগী ওয়েবপেজয় রূপ দেয়। ওয়েব অ্যাপ্লিকেশন তৈরি বা তৈরির কাজ দ্রুত করার বিভিন্ন সরঞ্জামেও পিএইচপি ব্যবহৃত হয়েছে। পিএইচপিভিত্তিক জনপ্রিয় কাঠামোর মধ্যে রয়েছে লারাভেল, সিম্ফনি ও ড্রুপাল।
চলতি সপ্তাহে প্রকাশিত গুরুতর ত্রুটিগুলো শনাক্তে সহায়তাকারী প্রতিষ্ঠান উইজের হিসাবে, বিশ্বের ৭০ শতাংশ ওয়েবসাইটে পিএইচপি ব্যবহৃত হয়। এর ওপর নির্ভরশীল ব্যক্তি ও প্রতিষ্ঠানগুলোকে নিয়ে গঠিত অলাভজনক প্রতিষ্ঠান পিএইচপি ফাউন্ডেশন এটির রক্ষণাবেক্ষণ করে। পিএইচপির দীর্ঘমেয়াদি বিকাশ নিশ্চিত করা ফাউন্ডেশনটির লক্ষ্য।
নিরাপত্তাত্রুটিটি কী?
চলতি সপ্তাহে পিএইচপিতে দুটি ত্রুটির তথ্য প্রকাশ করেছে একদল সাইবার নিরাপত্তা গবেষক ও প্রতিষ্ঠান। ত্রুটিগুলো ইন্টারনেটজুড়ে ওয়েবসাইটের কার্যক্রম বিপর্যস্ত করতে পারে বলে তাদের সতর্কবার্তা। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ ও ক্যালিফ বলছে, ‘পিএইচপি২শেল’ নামের ত্রুটিগুলো প্রোগ্রামিং ল্যাঙ্গুয়েজটির নিজস্ব কাঠামোর মধ্যেই ছিল। গত এক দশকে প্রকাশিত পিএইচপির ভার্সনগুলো এতে আক্রান্ত।
ত্রুটি শনাক্তে যুক্ত ক্যালিফের গবেষক রায়ান অস্টিন বিবিসিকে বলেন, ‘আমার খুঁজে পাওয়া সবচেয়ে গুরুতর নিরাপত্তাত্রুটি এটি।’
গবেষণার ফল নিয়ে প্রকাশিত এক ব্লগপোস্টে উইজ জানিয়েছে, অনুকূল পরিস্থিতিতে পিএইচপি২শেল ত্রুটি কাজে লাগিয়ে আক্রান্ত ওয়েব সার্ভারের নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারে হ্যাকাররা। প্রতিষ্ঠানটির ভাষ্য, পিএইচপি দিয়ে তৈরি সবকিছুই ঝুঁকির মুখে পড়েছে।
গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বিবিসিকে বলেন, এআই এ ধরনের হামলাকে আরও সহজ ও দ্রুত করতে পারে। তার ধারণা, ত্রুটিটির কারণে বিপুলসংখ্যক ওয়েবসাইট আক্রান্ত হতে পারে।
অ্যাডিলেড বিশ্ববিদ্যালয়ের সাইবার নিরাপত্তা গবেষক জিল স্লে বলেন, হ্যাকাররা বা কোনো রাষ্ট্র এই ত্রুটিকে হামলার অস্ত্র হিসেবে ব্যবহার করে ওয়েবসাইট থেকে ব্যক্তিগত তথ্য হাতিয়ে নিলে তা হবে ‘বিপর্যয়কর’।
কোন কোন ওয়েবসাইটে প্রভাব পড়েছে?
এই সতর্কতার জেরে বিশ্বজুড়ে গেমিং প্ল্যাটফর্ম, সরকারি পোর্টাল ও অনলাইন ফোরামসহ বিভিন্ন সেবায় বিঘ্ন ঘটেছে। অনলাইন বিশ্বকোষ উইকিপিডিয়ার পেছনে থাকা প্রতিষ্ঠান উইকিমিডিয়াও সতর্কতামূলক ব্যবস্থা হিসেবে নিজেদের কয়েকটি সিস্টেম বন্ধ করেছে।
ফিনল্যান্ড সরকার, এডিনবরা কাউন্সিল ও বিবিসি কিছু ওয়েবসাইট ও ওয়েবপেজ বন্ধ রেখেছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও নিজেদের ওয়েবসাইট সরিয়ে নিয়েছে। স্কটল্যান্ডের স্থানীয় কাউন্সিল ও স্বাস্থ্য বোর্ডসহ বেশ কিছু সরকারি সংস্থাও ওয়েবসাইট বন্ধ করেছে।
যথাযথ রক্ষণাবেক্ষণ হয় না—এমন ওয়েবসাইটগুলো বেশি ঝুঁকিতে থাকতে পারে বলে কিছু বিশেষজ্ঞ সতর্কবার্তা দিয়েছেন। বিশেষত ছোট প্রতিষ্ঠানের যেসব ওয়েবসাইটের নিরাপত্তায় পর্যাপ্ত অর্থ ও জনবল নেই, সেগুলোর ঝুঁকি বেশি।
সিডনির ইউনিভার্সিটি অব নিউ সাউথ ওয়েলসের সাইবার নিরাপত্তা গবেষক সলিল কানহেরে বলেন, বিস্তারিত কারিগরি দিকগুলো উন্মোচিত হচ্চে। ফলে আগামী কয়েক সপ্তাহে এসব ত্রুটি কাজে লাগিয়ে হামলার চেষ্টা আরও বাড়তে পারে।
ত্রুটি প্রকাশের পর কী ঘটেছে?
বছরের পর বছর ধরে সফটওয়্যারে থাকা ত্রুটিগুলো সারাতে বুধবার নিরাপত্তা সংশোধনী বা ‘প্যাচ’ প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। প্রতিষ্ঠানটি বলেছে, ‘পিএইচপির সব ব্যবহারকারীকে অবিলম্বে আপডেট করার জোর পরামর্শ দেওয়া হচ্ছে।’ বিশ্বের বিভিন্ন দেশের কর্তৃপক্ষ ও নিরাপত্তা সংস্থাও ওয়েবসাইট পরিচালনাকারীদের নিজেদের প্ল্যাটফর্ম সুরক্ষিত করার একই আহ্বান জানিয়েছে।
পিএইচপি ব্যবহারকারী সব প্রতিষ্ঠানকে অবিলম্বে সংশোধনী প্রয়োগ করতে না পারলে সিস্টেম বন্ধ রাখতে বলেছে যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ)। সংস্থাটির সতর্কবার্তা, এই ত্রুটি কোনো সিস্টেমের ডেটাবেজে হামলা চালানোর ‘সরাসরি পথ’ তৈরি করতে পারে। এনএসএ বলেছে, ‘ঝুঁকিগুলো এতটাই গুরুতর যে যুক্তরাষ্ট্র সরকারের সব বিভাগ ও সংস্থায় অবিলম্বে সংশোধনী প্রয়োগ করা প্রয়োজন।’
একই ধরনের পরামর্শ দিয়েছে যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্র (এনসিএসসি)। পাশাপাশি হামলাকারীরা ‘ব্যাকডোর’ বা গোপনে প্রবেশের কোনো পথ বের করেছে কি না তা পরীক্ষা করতে বলেছে।
ইউরোপীয় ইউনিয়ন, সিঙ্গাপুর ও অস্ট্রেলিয়ার সংশ্লিষ্ট সংস্থাগুলোও একই ধরনের সতর্কতা জারি করেছে। জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি সবার জন্য উন্মুক্ত ওয়েবসাইটগুলো পিএইচপিতে চলে কি না তা পরীক্ষা করার আহ্বান জানিয়েছেন। এক্সে তিনি লিখেছেন, ‘আজ রাতেই ব্যবস্থা নিতে সবার প্রতি জরুরি অনুরোধ জানাচ্ছি।’
তিনি আরও বলেন, দ্রুত সংশোধনী প্রয়োগ করা কঠিন হলে সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার মতো পদক্ষেপ ঝুঁকি কমানোর কার্যকর উপায় হতে পারে।
প্রযুক্তি প্রতিষ্ঠানগুলোও দ্রুত নিজেদের সিস্টেম সুরক্ষিত করার উদ্যোগ নিয়েছে। ই-কমার্স প্রতিষ্ঠান আমাজন জানিয়েছে, পিএইচপির সমস্যাটি প্রকাশ্যে আসার কয়েক দিন আগেই তাদের লক্ষ্য করে একাধিক হামলার চেষ্টা হয়েছিল। তবে তাদের ওয়েবসাইটগুলো স্বাভাবিকভাবে চলছে।
ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান ম্যাথিউ প্রিন্সও জানিয়েছেন, ত্রুটির তথ্য আনুষ্ঠানিকভাবে প্রকাশের আগের ১০ ঘণ্টায় তাদের নেটওয়ার্কজুড়ে এটি কাজে লাগানোর ‘হাজার হাজার’ চেষ্টা ধরা পড়েছিল। এক্সে তিনি লিখেন, ঘোষণার পর ৪৫ মিনিটে সেই সংখ্যা কয়েক দশ হাজারে, দুই ঘণ্টার মধ্যে কয়েক লাখে এবং পরে কয়েক মিলিয়নে পৌঁছায়।
এআইয়ের ভূমিকা কী ছিল?
ক্যালিফ ও উইজের গবেষকরা ত্রুটিগুলো শনাক্ত করতে উন্নত এআই টুল ব্যবহার করেছেন। এসব টুল মানুষ বা পুরোনো সিস্টেমের চেয়ে অনেক দ্রুত কোড বিশ্লেষণ ও ত্রুটি শনাক্ত করতে পারে। কানহেরে বলেন, আধুনিক সফটওয়্যার অত্যন্ত জটিল। ফলে কিছু নিরাপত্তাত্রুটি বছরের পর বছর অজানা থেকে যেতে পারে। তার ভাষায়, ‘মূল ত্রুটিগুলো নতুন ছিল না; বদলেছে সেগুলো খুঁজে বের করার সক্ষমতা।’
চলতি সপ্তাহে আবিষ্কারের বিস্তারিত অনলাইনে ফাঁস হয়ে যায়। এতে পিএইচপির ডেভেলপাররা দ্রুত ত্রুটি ও এর ব্যাপকতা সম্পর্কে ঘোষণা দিতে বাধ্য হন। ওপেনএআই এক ব্লগপোস্টে বলেছে, এআই কীভাবে নিরাপত্তাত্রুটি উন্মোচন করতে পারে তা এই ঘটনা দেখিয়েছে।
একইসঙ্গে এটি আক্রমণাত্মক সরঞ্জাম ও ত্রুটি কাজে লাগানোর উপায় তৈরিতেও হ্যাকারদের সহায়তা করতে পারে। পিএইচপি সিস্টেম নিরাপদ কি না তা পরীক্ষার একটি প্রোগ্রাম প্রকাশ করা হয়েছে বলে চ্যাটজিপিটির নির্মাতা প্রতিষ্ঠানটি জানিয়েছে।
কুইন্সল্যান্ড বিশ্ববিদ্যালয়ের সাইবার রিসার্চ সেন্টারের রায়ান কো বলেন, এসব ত্রুটির অনেকগুলোর উৎপত্তি অতীতে সফটওয়্যার তৈরির পদ্ধতি থেকেই। তখন নিরাপত্তার চেয়ে সফটওয়্যারকে কার্যকর করার বিষয়টিই বেশি গুরুত্ব পেত।
আপনার ক্ষেত্রে এসব ত্রুটির প্রভাব কী?
পিএইচপির এসব ত্রুটি মূলত ওয়েবসাইটের নেপথ্যের সিস্টেম ও ওয়েব ডেভেলপমেন্টের প্রক্রিয়াকে প্রভাবিত করে। বেশিরভাগ ব্যবহারকারীর কাছে এসব প্রক্রিয়া দৃশ্যমান নয়। ফলে সাধারণ মানুষের অধিকাংশেরই কোনো ব্যবস্থা নেওয়ার প্রয়োজন হবে না।
তবে ওয়ার্ডপ্রেসসহ বিভিন্ন সিস্টেমে তৈরি ওয়েবসাইট রয়েছে—এমন ছোট ব্যবসার মালিকেরা কীভাবে নিজেদের সুরক্ষিত রাখবেন তা নিয়ে চিন্তিত হতে পারেন। যাদের ওয়েবসাইট বা অবকাঠামো পিএইচপিতে চলে তাদের সর্বশেষ সংস্করণে আপডেট করে ওয়েবসাইট সুরক্ষিত করার পরামর্শ দেওয়া হয়েছে।
কম্পিউটার সিস্টেমের নিরাপত্তাত্রুটি খুঁজে বের করার কাজে দীর্ঘদিন যুক্ত এথিক্যাল হ্যাকার কেন মানরো বলেন, এই সংশোধনী ইনস্টল করা ‘অনেকটা উইন্ডোজ আপডেট করার মতো’।
কোনো হোস্টিং প্রতিষ্ঠান বা ওয়েব ডেভেলপার আপনার ওয়েবসাইট পরিচালনা করলে তাদের সঙ্গে যোগাযোগ করুন। পিএইচপির সিকিউরিটি আপডেট প্রয়োগ করা হয়েছে কি না তা জানতে চান। শুধু ওয়ার্ডপ্রেস বা এর প্লাগইন আপডেট করলে সমস্যার সমাধান হবে না। পিএইচপিতেই সংশোধনীটি প্রয়োগ করতে হবে। নিজেই ওয়েবসাইট দেখভাল করলে সংশোধনী প্রয়োগ নিশ্চিত করার দায়িত্বও আপনার, বলেন মানরো।
যুক্তরাজ্যের এনসিএসসি পরামর্শ দিয়েছে, যথেষ্ট দ্রুত আপডেট বা সাময়িক সিকিউরিটি সিস্টেম প্রয়োগ করা না গেলে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করতে হবে। যুক্তরাষ্ট্রের এনএসএও আগামী কয়েক সপ্তাহ বাড়তি সতর্ক থাকার আহ্বান জানিয়েছে। সফটওয়্যার সরবরাহকারী প্রতিষ্ঠানগুলোর হালনাগাদ তথ্য নিবিড়ভাবে অনুসরণ করতে বলেছে সংস্থাটি। এনএসএর ভাষ্য, সংশ্লিষ্ট সিস্টেমগুলোতে নিরাপত্তা সংশোধনী প্রয়োগে সতর্ক থাকা অত্যন্ত জরুরি।
কানহেরে বলেন, মূল দায়িত্ব ওয়েবসাইট পরিচালনাকারীদের হলেও ব্যবহারকারীদেরও সংশ্লিষ্ট সেবার নিরাপত্তা বিষয়ক সুপারিশগুলোর দিকে নজর রাখতে হবে। এর মধ্যে পাসওয়ার্ড পরিবর্তনের অনুরোধও থাকতে পারে। এই ঘটনাকে কাজে লাগিয়ে পাঠানো প্রতারণামূলক বা ফিশিং বার্তা সম্পর্কেও সতর্ক থাকার পরামর্শ দিয়েছেন তিনি।