ইন্টারনেটের নিরাপত্তাব্যবস্থার সবচেয়ে বড় শক্তি হলো আস্থা। আমরা যখন ব্যাংকের ওয়েবসাইটে ঢুকি, ই-মেইল ব্যবহার করি কিংবা অনলাইনে আর্থিক লেনদেন করি, তখন ধরে নিই—আমরা যে প্রতিষ্ঠানের সঙ্গে যোগাযোগ করছি, সেটি আসল। ব্রাউজারের ঠিকানার পাশে তালার চিহ্ন সেই নিরাপত্তারই দৃশ্যমান নিশ্চয়তা। শক্তিশালী এনক্রিপশন তথ্যকে সুরক্ষিত রাখে, কিন্তু ওয়েবসাইটের পরিচয় যাচাইয়ের দায়িত্ব যে প্রতিষ্ঠানগুলোর হাতে, তাদের কেউ ব্যর্থ হলে পুরো ব্যবস্থাই ঝুঁকিতে পড়ে।
ভারতের একটি ডিজিটাল সার্টিফিকেট প্রতিষ্ঠানের সাম্প্রতিক নিরাপত্তা বিপর্যয় সেই দুর্বলতাই সামনে এনেছে। ঘটনাটি শুধু একটি কোম্পানির প্রযুক্তিগত ব্যর্থতা নয়; বরং বিশ্বজুড়ে ইন্টারনেটের আস্থাভিত্তিক অবকাঠামো কতটা অল্পসংখ্যক প্রতিষ্ঠানের ওপর নির্ভরশীল, তারও সতর্কবার্তা।
নিরাপত্তার চাবি যখন অনুমান করা যায়
ওয়েবসাইটের পরিচয় যাচাইয়ের জন্য ক্রোম, সাফারি কিংবা ফায়ারফক্সের মতো ব্রাউজারগুলো পৃথিবীর প্রতিটি ওয়েবসাইটকে নিজেরা পরীক্ষা করে না। তারা নির্ভর করে কয়েক ডজন বাণিজ্যিক ও সরকারি সংশ্লিষ্ট প্রতিষ্ঠানের ওপর। এসব প্রতিষ্ঠানকে বলা হয় সার্টিফিকেট অথরিটি। কোনো ওয়েবসাইটের পরিচয় সত্য বলে নিশ্চিত করার দায়িত্ব তাদের। অনেকটা ডিজিটাল জগতের নোটারি বা প্রত্যয়নকারী সংস্থার মতো।
২১ অক্টোবর ভারতের বেঙ্গালুরুভিত্তিক প্রতিষ্ঠান ইমুধ্রা (eMudhra) জানায়, তাদের আটটি ব্যক্তিগত নিরাপত্তা চাবি বা প্রাইভেট কি দুর্বলভাবে তৈরি হয়েছিল। এসব চাবি এমন গোপন ডিজিটাল সংকেত, যেগুলো অনলাইনে ওয়েবসাইটের পরিচয় প্রমাণের জন্য ব্যবহৃত হয়। নিয়ম অনুযায়ী, এগুলো অত্যন্ত সুরক্ষিত পরিবেশে তৈরি ও সংরক্ষণ করার কথা। সাধারণ মানুষের পক্ষে সেগুলো দেখা বা অনুমান করা প্রায় অসম্ভব হওয়ার কথা।
কিন্তু ইমুধ্রার একটি চাবি ছিল কেবল ‘৪’ সংখ্যাটি। এটি চার অঙ্কের কোনো পাসওয়ার্ডও নয়—শুধু একটি সংখ্যা। অন্য চাবিগুলোর অবস্থাও ছিল একই রকম দুর্বল।
আরও উদ্বেগজনক বিষয় হলো, এসব চাবি ২০২৫ সালের মাঝামাঝি সময় থেকেই বড় প্রযুক্তি কোম্পানিগুলোর আস্থাভাজন ব্যবস্থার সঙ্গে যুক্ত ছিল। বাইরের একজন গবেষক প্রকাশ্য তথ্য বিশ্লেষণ করে চাবিগুলো শনাক্ত করার পর অ্যাপল, গুগল, মাইক্রোসফট ও মজিলাকে সতর্ক করেন। অর্থাৎ, জটিল কোনো কৃত্রিম বুদ্ধিমত্তা বা অত্যাধুনিক প্রযুক্তি ছাড়াই কেউ এসব গোপন সংকেত অনুমান করতে পারত।
এ ধরনের চাবি যার হাতে থাকে, সে কার্যত যেকোনো ওয়েবসাইটের জন্য ভুয়া পরিচয়পত্র তৈরি করতে পারে। ব্রাউজারও সেগুলোকে আসল বলে গ্রহণ করতে পারে। ফলে ব্যবহারকারীর কাছে ভুয়া ওয়েবসাইটকে বিশ্বাসযোগ্য করে তোলার সুযোগ তৈরি হয়।
সমস্যা কি শুধু ব্রাউজারেই সীমাবদ্ধ?
ঘটনা প্রকাশের পর ইমুধ্রা জানায়, সামাজিক যোগাযোগমাধ্যমে বিষয়টি নিয়ে অতিরিক্ত প্রচার হচ্ছে এবং তাদের মোট আয়ের মাত্র এক শতাংশ আসে সংশ্লিষ্ট বিভাগ থেকে। প্রতিষ্ঠানটি বিশ্বব্যাপী ওয়েব সার্টিফিকেশন ব্যবসা থেকে স্বেচ্ছায় সরে দাঁড়ানোর ঘোষণাও দেয়। তাদের দাবি, এই দুর্বলতার সুযোগ নিয়ে কোনো ভুয়া সার্টিফিকেট তৈরি করা হয়নি।
ভারতের ইলেকট্রনিকস ও তথ্যপ্রযুক্তি মন্ত্রণালয়ও বিষয়টিকে ঘিরে সামাজিক যোগাযোগমাধ্যমে আতঙ্ক ছড়ানোর অভিযোগ তোলে। একই সঙ্গে ঘটনার তদন্তে বিশেষ দল গঠনের কথা জানায়। মন্ত্রণালয়ের বক্তব্য ছিল, ভারতের স্থানীয় ওয়েবসাইট ও অ্যাপ্লিকেশনের ওপর এর প্রভাব সীমিত এবং স্বল্পস্থায়ী।
কিন্তু নিরাপত্তা বিশেষজ্ঞদের উদ্বেগ এত সহজে দূর হওয়ার নয়। ব্রাউজারগুলো সন্দেহজনক সার্টিফিকেট বন্ধ করে দিলেও ইন্টারনেটের পরিসর কেবল কম্পিউটার ও স্মার্টফোনে সীমাবদ্ধ নয়। স্মার্ট বিদ্যুৎ মিটার, পেমেন্ট টার্মিনাল, বিভিন্ন যন্ত্রে যুক্ত সার্ভার এবং শিল্পকারখানার নিয়ন্ত্রণব্যবস্থার মতো অসংখ্য ডিভাইস ইন্টারনেটের সঙ্গে সংযুক্ত। এসব যন্ত্রের অনেকগুলোতে বছরের পর বছর নিরাপত্তা হালনাগাদ হয় না। কোনো সার্টিফিকেট বাতিল হয়েছে কি না, তা যাচাই করার ব্যবস্থাও সব ক্ষেত্রে থাকে না।
ফলে ব্রাউজারে সমস্যা বন্ধ হলেও অন্য যন্ত্রে দুর্বল চাবিগুলোর ওপর আস্থা থেকে যেতে পারে। একবার তৈরি হওয়া নিরাপত্তার ফাঁক দীর্ঘদিন অদৃশ্য অবস্থায় টিকে থাকার আশঙ্কা রয়েছে।
দুর্ঘটনা, নাকি আরও গুরুতর কিছু?
এই ঘটনার প্রকৃত কারণ নির্ধারণে স্বাধীন ও পূর্ণাঙ্গ প্রযুক্তিগত তদন্ত জরুরি। এটি নিছক ভয়াবহ অবহেলা, নাকি ইচ্ছাকৃত কোনো অনিয়ম—দুইয়ের পার্থক্য অত্যন্ত গুরুত্বপূর্ণ। কারণ, ডিজিটাল সার্টিফিকেট ব্যবস্থার দুর্বলতা অতীতে রাষ্ট্রীয় নজরদারি ও সাইবার আক্রমণের হাতিয়ার হয়েছে।
২০১১ সালে নেদারল্যান্ডসের সার্টিফিকেট প্রতিষ্ঠান ডিজিনোটার হ্যাক হওয়ার পর প্রায় তিন লাখ ইরানি জিমেইল ব্যবহারকারী লক্ষ্যবস্তুতে পরিণত হন। ভুয়া ডিজিটাল সার্টিফিকেট ব্যবহার করে আক্রমণকারীরা ব্যবহারকারীদের যোগাযোগের তথ্য আড়ি পেতে পড়তে এবং পরিবর্তন করতে সক্ষম হয়েছিল। অর্থাৎ, ডিজিটাল পরিচয় যাচাইয়ের প্রতিষ্ঠান ব্যর্থ হলে ব্যক্তিগত তথ্য ও যোগাযোগের গোপনীয়তা সরাসরি হুমকিতে পড়ে।
ভারতের জন্য বিষয়টি নতুন নয়। ২০১৪ সালে গুগল জানতে পারে, দেশটির ন্যাশনাল ইনফরমেটিকস সেন্টার অননুমোদিতভাবে গুগলের কয়েকটি ডোমেইনের জন্য সার্টিফিকেট দিয়েছে। ইয়াহুর ক্ষেত্রেও একই ধরনের অনিয়মের তথ্য সামনে আসে। মাইক্রোসফটসহ বড় প্রযুক্তি প্রতিষ্ঠানগুলোকে তখন ওই কর্তৃপক্ষের সার্টিফিকেটের ওপর আস্থা প্রত্যাহার করতে হয়। পরবর্তী সময়ে বড় ব্রাউজারগুলো ভারতের ক্ষেত্রে কঠোর বিধিনিষেধ আরোপ করে। চীনের সরকারি সার্টিফিকেট কর্তৃপক্ষকেও একপর্যায়ে তাদের আস্থার তালিকা থেকে বাদ দেওয়া হয়। ভারতের সংস্থাটিকে শেষ পর্যন্ত gov.in-এর মতো সরকারি ডোমেইনের জন্য সীমিত ভূমিকা দেওয়া হয়।
ডিজিটাল সার্বভৌমত্বের ভিত্তি আস্থা
ইমুধ্রার ঘটনা ভারতের জন্য পুরোনো সেই সতর্কবার্তাই ফিরিয়ে এনেছে। ডিজিটাল নিরাপত্তা ও পরিচয় যাচাইয়ের ব্যবসায় সবচেয়ে গুরুত্বপূর্ণ সম্পদ হলো বিশ্বাসযোগ্যতা। একবার সেই আস্থা নষ্ট হলে বাজার, প্রযুক্তি কিংবা সরকারি সমর্থন—কোনোটিই সহজে তা ফিরিয়ে আনতে পারে না। ডিজিনোটার নিরাপত্তা ভাঙনের কয়েক সপ্তাহের মধ্যেই দেউলিয়া হয়ে যায়। সার্টিফিকেশন ব্যবসার নিয়ম বারবার লঙ্ঘনের পর সিম্যানটেকও তাদের কার্যক্রম বিক্রি করে দিতে বাধ্য হয়েছিল।
ভারত দীর্ঘদিন ধরে নিজস্ব ব্রাউজার, ডেটা সংরক্ষণ এবং ডিজিটাল অবকাঠামো গড়ে তোলার ওপর জোর দিয়ে আসছে। ১৪০ কোটির বেশি মানুষের একটি দেশের নিজস্ব প্রযুক্তিগত সক্ষমতা থাকা প্রয়োজন—এ যুক্তি অস্বীকার করার সুযোগ নেই। কিন্তু ডিজিটাল সার্বভৌমত্বের অর্থ শুধু বিদেশি প্রযুক্তির ওপর নির্ভরতা কমানো নয়; বরং এমন প্রতিষ্ঠান ও ব্যবস্থা গড়ে তোলা, যেগুলোর ওপর দেশি-বিদেশি ব্যবহারকারী সমানভাবে আস্থা রাখতে পারেন।
এখানে ভারতের সরকারি প্রতিক্রিয়াও গুরুত্বপূর্ণ। সামাজিক যোগাযোগমাধ্যমে অতিরঞ্জিত প্রচারের অভিযোগ তুলে মূল প্রশ্ন থেকে মনোযোগ সরানো কোনো সমাধান নয়। ইমুধ্রা একটি বেসরকারি প্রতিষ্ঠান হলেও তাদের কার্যক্রম আন্তর্জাতিক ডিজিটাল নিরাপত্তার সঙ্গে যুক্ত। তাই তদন্তের ফল, নিরাপত্তা ব্যর্থতার কারণ এবং সম্ভাব্য ক্ষতির পরিসর সম্পর্কে পূর্ণ স্বচ্ছতা প্রয়োজন।
কোনো প্রযুক্তিগত ব্যর্থতাকে শুরুতেই ষড়যন্ত্র বলে ধরে নেওয়া ঠিক নয়। কিন্তু অবহেলার বিশ্বাসযোগ্য ব্যাখ্যা দিতে না পারলে সন্দেহের জায়গা তৈরি হয়। আর ডিজিটাল নিরাপত্তার ক্ষেত্রে সেই সন্দেহ শুধু একটি প্রতিষ্ঠানের সুনাম নষ্ট করে না; পুরো দেশের প্রযুক্তিগত সক্ষমতা ও আন্তর্জাতিক গ্রহণযোগ্যতাকেও প্রশ্নের মুখে ফেলে।
ইমুধ্রার দুর্বল চাবি হয়তো একটি প্রতিষ্ঠানের বিপর্যয়। কিন্তু এর চেয়েও বড় ঝুঁকি হলো, ভারত যদি এই ঘটনাকে আত্মসমালোচনা ও সংস্কারের সুযোগ হিসেবে না দেখে বাইরের প্রতিক্রিয়াকে অযৌক্তিক বলে উড়িয়ে দেয়। ডিজিটাল বিশ্বে নিজস্ব সক্ষমতা প্রতিষ্ঠার আগে প্রমাণ করতে হয়—নিজের হাতে থাকা নিরাপত্তার চাবিগুলো সত্যিই নিরাপদ।
অ্যান্ডি মুখার্জির আরও লেখা
এআই যুগে ভারতের তরুণদের কর্মবিমুখতা: দক্ষতা হারানোর নীরব সংকট
সুদের ঝড়ের আগেই প্রস্তুতি: কেন এশিয়ার রিয়েল এস্টেট খাত এখন বেশি আত্মবিশ্বাসী
ডিজিটাল মুদ্রার নতুন লড়াইয়ে কেন উদ্বিগ্ন চীন
