ইন্টারনেটের নিরাপত্তাব্যবস্থা নিয়ে নতুন করে উদ্বেগ তৈরি হয়েছে। মাত্র এক সপ্তাহের মধ্যে একের পর এক সাইবার নিরাপত্তার ত্রুটি সামনে আসায় বিপাকে পড়েছেন প্রযুক্তি প্রতিষ্ঠান, সরকারি সংস্থা ও অনলাইন সেবার নিরাপত্তার দায়িত্বে থাকা বিশেষজ্ঞরা। বহুল ব্যবহৃত সফটওয়্যারের দুর্বলতা, গোপন নিরাপত্তা চাবির ত্রুটি এবং এআইয়ের মাধ্যমে নিরাপত্তার ফাঁক শনাক্ত হওয়ার ঘটনা পরিস্থিতিকে আরও জটিল করে তুলেছে।
সাধারণত বহুল ব্যবহৃত কোনো সফটওয়্যারে বড় ধরনের নিরাপত্তা ত্রুটি ধরা পড়লে তা সমাধানে সাইবার নিরাপত্তা দলগুলো দ্রুত কাজ শুরু করে। কিন্তু একই সপ্তাহে বারবার এমন পরিস্থিতির মুখোমুখি হতে হওয়া বিরল। সাম্প্রতিক ঘটনাগুলো দেখিয়েছে, একটি ত্রুটি সামাল দিতে না দিতেই আরেকটি দুর্বলতা সামনে চলে আসছে। ফলে নিরাপত্তা নিশ্চিত করার পাশাপাশি দ্রুত সমাধান ব্যবহারকারীদের কাছে পৌঁছে দেওয়াও বড় চ্যালেঞ্জ হয়ে দাঁড়িয়েছে।
গত ২০ অক্টোবর বড় বড় ওয়েব ব্রাউজারের নিরাপত্তা দলগুলোর কাছে একটি অস্বাভাবিক ইমেইল আসে। ইমেইলে লেখা ছিল, ‘এখানে একটি সমস্যা হয়েছে’। এর সঙ্গে যুক্ত ছিল আটটি ব্যক্তিগত নিরাপত্তা চাবি। এসব চাবি হলো বিশেষভাবে তৈরি সংখ্যার সমষ্টি, যা ইন্টারনেটে তথ্য আদান-প্রদানের সময় যোগাযোগকে এনক্রিপ্ট বা সাংকেতিকভাবে সুরক্ষিত রাখতে ব্যবহৃত হয়।
নিরাপত্তা নিশ্চিত করতে এ ধরনের চাবি সাধারণত দীর্ঘ ও জটিল হওয়া প্রয়োজন। প্রতিবেদনে বলা হয়েছে, চাবিগুলো ১১৬ অঙ্কের হওয়ার কথা থাকলেও ইমেইলে পাঠানো চাবিগুলোর কোনোটিই তিন অঙ্কের বেশি ছিল না। এমনকি একটি চাবির মান ছিল মাত্র ‘৪’। চাবিগুলো ভারতের একটি কর্তৃপক্ষের মাধ্যমে জারি করা হয়েছিল। বিষয়টিকে আরও অস্বাভাবিক করে তোলে ইমেইলের শেষে থাকা স্বাক্ষর—শুধু ‘ওয়েইন’।
এ ধরনের নিরাপত্তা চাবি গুরুত্বপূর্ণ কেন্দ্রীয় তথ্যভান্ডার থেকে বাতিল করা সম্ভব। কিন্তু শুধু চাবি বাতিল করলেই সমস্যার সমাধান হয় না। ইন্টারনেটের সঙ্গে যুক্ত প্রতিটি ব্যবস্থা নতুন নিরাপত্তা তথ্য গ্রহণ করেছে কি না, তা নিশ্চিত করা কঠিন ও সময়সাপেক্ষ। একটি ব্যবস্থায় পুরোনো চাবি থেকে গেলে সেটি ব্যবহার করে নিরাপত্তার ঝুঁকি তৈরি হতে পারে। ফলে নিরাপত্তা দলগুলোকে একই সঙ্গে ত্রুটি শনাক্ত করা, ঝুঁকিপূর্ণ চাবি বাতিল করা এবং সংশ্লিষ্ট সব ব্যবস্থায় পরিবর্তন কার্যকর হয়েছে কি না, তা যাচাই করতে হয়।
এই কাজ চলার মধ্যেই বুধবার সকালে সামনে আসে আরেকটি বড় সমস্যা। বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি বা PHP-তে দুটি নিরাপত্তা দুর্বলতার খবর প্রকাশিত হয়। কয়েক দশক ধরে ব্যবহৃত এই ভাষার ওপর নির্ভরশীল বিশ্বের কোটি কোটি ওয়েব অ্যাপ্লিকেশন। অনলাইন আলোচনা ফোরাম, আর্থিক সেবা এবং সরকারি ওয়েবসাইটের মতো গুরুত্বপূর্ণ ব্যবস্থায়ও এটি ব্যবহৃত হয়।
এই দুর্বলতা মোকাবিলায় বুধবার বিকেলে নিরাপত্তা সংশোধনী বা প্যাচ প্রকাশের প্রতিশ্রুতি দেওয়া হয়েছিল। এর আগে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে তাদের আক্রান্ত ব্যবস্থা পুরোপুরি বন্ধ রাখার পরামর্শ দেওয়া হয়। সাধারণত কোনো ওয়েবসেবা বন্ধ করে দেওয়া বড় সিদ্ধান্ত, কারণ এতে ব্যবহারকারীদের স্বাভাবিক কার্যক্রম ব্যাহত হয়। তবু সম্ভাব্য ক্ষতি ঠেকাতে কয়েকটি সরকারি ওয়েবসাইট বন্ধ করে দেওয়া হয়।
পরবর্তী ঘটনাপ্রবাহে বোঝা যায়, সতর্কতাটি অমূলক ছিল না। নিরাপত্তা দুর্বলতার খবর প্রকাশের কয়েক ঘণ্টার মধ্যেই এর বিস্তারিত তথ্য ফাঁস হয়ে যায়। তখনো সংশোধনী প্রকাশের নির্ধারিত সময়ের ১২ ঘণ্টার বেশি বাকি ছিল। অর্থাৎ, নিরাপত্তা ত্রুটি সম্পর্কে বিস্তারিত তথ্য সম্ভাব্য আক্রমণকারীদের হাতে পৌঁছে যাওয়ার আগেই সব প্রতিষ্ঠানকে সুরক্ষিত করার সুযোগ ছিল না।
সমস্যাটির ভয়াবহতা ছিল আরও বেশি। এই দুর্বলতা কাজে লাগিয়ে দূর থেকে অনুমতি ছাড়াই কোনো কম্পিউটার ব্যবস্থায় কোড চালানো সম্ভব ছিল। একে বলা হয় ‘রিমোট কোড এক্সিকিউশন’। এর মাধ্যমে আক্রমণকারী আক্রান্ত ব্যবস্থার নিয়ন্ত্রণ নেওয়ার সুযোগ পেতে পারে। প্রতিবেদনে উল্লেখ করা হয়েছে, এই দুর্বলতা কাজে লাগানোর পদ্ধতি দেখানো অন্তত একটি নমুনা বা প্রমাণভিত্তিক উদাহরণ ব্যাপকভাবে ছড়িয়ে পড়েছিল। ফলে সম্ভাব্য আক্রমণের ঝুঁকি আরও বেড়ে যায়।
বুধবার পেরিয়ে বৃহস্পতিবারে প্রবেশ করার সময় আরও দুটি নিরাপত্তা দুর্বলতার তথ্য প্রকাশিত হয়। এর মধ্যে একটি ছিল গিটল্যাবের (GitLab) নিরাপত্তা ত্রুটি। গিটল্যাব সফটওয়্যার উন্নয়ন ও ব্যবস্থাপনার কাজে ব্যবহৃত একটি জনপ্রিয় প্ল্যাটফর্ম। নতুন দুর্বলতাটিকে ১০-এর মধ্যে ১০ মাত্রার ঝুঁকিপূর্ণ হিসেবে চিহ্নিত করা হয়, যা নিরাপত্তার দৃষ্টিতে সর্বোচ্চ মাত্রার সতর্কসংকেত।
এই ঘটনাগুলোর আরেকটি গুরুত্বপূর্ণ দিক হলো, প্রকাশিত ত্রুটিগুলো এআইয়ের মাধ্যমে শনাক্ত হয়েছে বলে ধারণা করা হচ্ছে। এআইভিত্তিক নিরাপত্তা সরঞ্জাম সফটওয়্যারের কোড বিশ্লেষণ করে এমন দুর্বলতা খুঁজে বের করতে পারে, যা মানুষের চোখ এড়িয়ে যেতে পারে বা শনাক্ত করতে দীর্ঘ সময় লাগতে পারে। এর ফলে নিরাপত্তা ত্রুটি আবিষ্কারের গতি বাড়ছে। তবে একই সঙ্গে বাড়ছে সেগুলো দ্রুত সমাধান করার চাপ।
সমস্যার একটি অংশ হলো, নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পরই সংশ্লিষ্ট সব প্রতিষ্ঠানের কাছে তার সমাধান পৌঁছে দেওয়া সব সময় সম্ভব হয় না। অনেক ক্ষেত্রে নিরাপত্তা দলগুলোকে প্যাচ তৈরি ও পরীক্ষা করতে সময় দিতে হয়। কিন্তু ত্রুটির খবর আগে প্রকাশিত হলে আক্রমণকারীরাও সেই তথ্য ব্যবহার করে হামলার প্রস্তুতি নিতে পারে। অন্যদিকে, সমাধান প্রস্তুত না হওয়া পর্যন্ত দুর্বলতা গোপন রাখলে আক্রান্ত প্রতিষ্ঠানগুলো ঝুঁকি সম্পর্কে সময়মতো সতর্ক নাও হতে পারে।
এ কারণে নিরাপত্তা দুর্বলতার তথ্য কখন প্রকাশ করা হবে, তা নিয়ে নতুন করে প্রশ্ন উঠেছে। আগে থেকে ত্রুটির কথা জানালে প্রতিষ্ঠানগুলো ব্যবস্থা নেওয়ার প্রস্তুতি পায়। কিন্তু একই তথ্য সাইবার অপরাধীদের হাতেও পৌঁছাতে পারে। আবার প্যাচ তৈরি হওয়ার আগেই দুর্বলতার বিস্তারিত প্রকাশিত হলে আক্রান্ত ব্যবস্থাগুলোকে সুরক্ষিত করার জন্য পর্যাপ্ত সময় পাওয়া কঠিন হয়ে পড়ে।
এআইয়ের ব্যবহার বাড়ার সঙ্গে সঙ্গে এই দ্বন্দ্ব আরও তীব্র হতে পারে। এআই দ্রুত বিপুল পরিমাণ কোড পরীক্ষা করে একাধিক দুর্বলতা শনাক্ত করতে পারলে নিরাপত্তা দলগুলোর ওপর সেগুলো যাচাই, সংশোধন এবং ব্যবহারকারীদের কাছে সমাধান পৌঁছে দেওয়ার চাপও বাড়বে। ফলে শুধু ত্রুটি শনাক্ত করার প্রযুক্তি উন্নত করাই যথেষ্ট নয়; সংশোধনী দ্রুত বিতরণ, ঝুঁকি মূল্যায়ন এবং তথ্য প্রকাশের উপযুক্ত সময় নির্ধারণের ব্যবস্থাও শক্তিশালী করতে হবে।
সাম্প্রতিক ঘটনাগুলো তাই ইন্টারনেট নিরাপত্তার সামনে একটি মৌলিক প্রশ্ন তুলে ধরেছে: এআইয়ের সহায়তায় যখন একের পর এক নিরাপত্তা দুর্বলতা শনাক্ত হচ্ছে, তখন কীভাবে দ্রুত সমাধানের খবর ব্যবহারকারীদের কাছে পৌঁছে দেওয়া যায়, অথচ একই সঙ্গে সম্ভাব্য আক্রমণকারীদের হাতে বিপজ্জনক তথ্য তুলে দেওয়া এড়ানো যায়? এই ভারসাম্য রক্ষা করতে না পারলে নিরাপত্তা ত্রুটি শনাক্ত করার অগ্রগতিই নতুন ঝুঁকির কারণ হয়ে উঠতে পারে।
