বিশ্বজুড়ে ইন্টারনেটের নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হয়েছে। মাত্র কয়েক দিনের ব্যবধানে বহুল ব্যবহৃত বিভিন্ন সফটওয়্যারে একের পর এক গুরুতর দুর্বলতা প্রকাশ পেয়েছে। এসব দুর্বলতা কাজে লাগিয়ে সাইবার অপরাধীরা গুরুত্বপূর্ণ কম্পিউটারব্যবস্থা নিয়ন্ত্রণে নিতে পারে। পরিস্থিতি সামাল দিতে গিয়ে হিমশিম খাচ্ছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা। বিশেষ করে এআইয়ের সহায়তায় দুর্বলতা শনাক্ত করার গতি বেড়ে যাওয়ায় নিরাপত্তার ত্রুটি প্রকাশ, সমাধান তৈরি এবং ব্যবহারকারীদের সতর্ক করার মধ্যে নতুন ভারসাম্যহীনতা দেখা দিয়েছে।
গত ২০ অক্টোবর বড় বড় ওয়েব ব্রাউজারের নিরাপত্তা দলগুলোর কাছে অস্বাভাবিক একটি ইমেইল আসে। বার্তাটিতে লেখা ছিল, ‘এখানে একটি সমস্যা হয়েছে।’ এর সঙ্গে আটটি গোপন নিরাপত্তা চাবি বা প্রাইভেট কি-সংবলিত একটি ফাইল যুক্ত ছিল। এসব চাবি ইন্টারনেটে যোগাযোগের তথ্য এনক্রিপ্ট বা সংকেতায়িত করতে ব্যবহৃত হয়। ফলে অনলাইনে তথ্যের গোপনীয়তা ও নিরাপত্তা রক্ষায় এগুলোর গুরুত্ব অত্যন্ত বেশি।
সাধারণভাবে নিরাপদ ক্রিপ্টোগ্রাফিক ব্যবস্থায় ব্যবহৃত এমন চাবি যথেষ্ট দীর্ঘ ও জটিল হওয়া জরুরি। কিন্তু ইমেইলে পাঠানো চাবিগুলো ছিল অস্বাভাবিক রকমের ছোট। এগুলো ভারতের একটি কর্তৃপক্ষের ইস্যু করা বলে জানানো হয়। আটটি চাবির কোনোটির দৈর্ঘ্যই তিন অঙ্কের বেশি ছিল না। এমনকি একটি প্রাইভেট কি ছিল মাত্র ‘৪’। পুরো বার্তাটির শেষে প্রেরকের পরিচয় হিসেবে লেখা ছিল শুধু ‘ওয়েইন’।
এ ধরনের দুর্বল চাবি সংশ্লিষ্ট কেন্দ্রীয় ডেটাবেইস থেকে বাতিল করা তুলনামূলকভাবে সহজ। কিন্তু ইন্টারনেটের সঙ্গে যুক্ত প্রতিটি ব্যবস্থা ও সফটওয়্যার নতুন নিরাপত্তা তথ্য গ্রহণ করেছে কি না, তা নিশ্চিত করা অনেক কঠিন। কোনো কোনো ব্যবস্থায় পুরোনো চাবি থেকে গেলে নিরাপত্তার ঝুঁকি থেকেই যায়। এই সমস্যা সমাধানে যখন নিরাপত্তা দলগুলো ব্যস্ত, তখনই সামনে আসে আরেকটি বড় বিপদ।
বুধবার সকালে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটির খবর প্রকাশিত হয়। কয়েক কোটি ওয়েব অ্যাপ্লিকেশন এই ভাষার ওপর নির্ভরশীল। অনলাইন আলোচনা ও বার্তা আদান-প্রদানের ফোরাম, আর্থিক সেবা দেওয়ার পোর্টাল এবং সরকারি ওয়েবসাইটের মতো গুরুত্বপূর্ণ ব্যবস্থায় পিএইচপি ব্যবহৃত হয়। ফলে এর নিরাপত্তা দুর্বলতা শুধু প্রযুক্তি প্রতিষ্ঠান নয়, সরকারি সংস্থা ও সাধারণ ব্যবহারকারীদের জন্যও বড় ঝুঁকি তৈরি করতে পারে।
ত্রুটিগুলো সমাধানের জন্য বুধবার বিকেলে নিরাপত্তা প্যাচ প্রকাশের কথা জানানো হয়। এর আগ পর্যন্ত আক্রান্ত প্রতিষ্ঠানগুলোকে নিজেদের ব্যবস্থা পুরোপুরি অফলাইনে রাখার পরামর্শ দেওয়া হয়। সাধারণ পরিস্থিতিতে কোনো ওয়েবসাইট বা অনলাইন সেবা বন্ধ করে দেওয়ার পরামর্শ দেওয়া হয় না। কিন্তু সম্ভাব্য ক্ষতির মাত্রা এতটাই গুরুতর ছিল যে, সাময়িকভাবে সেবা বন্ধ রাখাকেই নিরাপদ পদক্ষেপ হিসেবে বিবেচনা করা হয়। এর ফলে কয়েকটি সরকারি ওয়েবসাইটও বন্ধ হয়ে যায়।
পরবর্তী ঘটনাপ্রবাহে বোঝা যায়, সতর্কতাটি অমূলক ছিল না। নিরাপত্তা ত্রুটির খবর প্রকাশের কয়েক ঘণ্টার মধ্যেই এর বিস্তারিত তথ্য ফাঁস হয়ে যায়। তখনও প্যাচ প্রকাশের জন্য ১২ ঘণ্টারও বেশি সময় বাকি ছিল। অর্থাৎ, সংশ্লিষ্ট প্রতিষ্ঠানগুলোর হাতে সমস্যার সমাধান পৌঁছানোর আগেই সম্ভাব্য আক্রমণকারীরা ত্রুটিটি কাজে লাগানোর প্রয়োজনীয় তথ্য পেয়ে যেতে পারে।
পিএইচপির এই দুর্বলতা ছিল বিশেষভাবে বিপজ্জনক। এর মাধ্যমে দূর থেকে অনুমতি ছাড়াই কোনো কম্পিউটারে নির্দেশনা বা কোড চালানো সম্ভব হতে পারে। সাইবার নিরাপত্তার ভাষায় একে বলা হয় ‘রিমোট কোড এক্সিকিউশন’। কোনো আক্রমণকারী এমন ত্রুটি কাজে লাগাতে পারলে আক্রান্ত কম্পিউটার বা সার্ভারের ওপর নিয়ন্ত্রণ প্রতিষ্ঠা করতে পারে। এমনকি গুরুত্বপূর্ণ তথ্য চুরি, সেবা বিঘ্নিত করা কিংবা অন্য ব্যবস্থায় প্রবেশের পথও তৈরি হতে পারে।
এই ঝুঁকি কতটা বাস্তব, তার প্রমাণ হিসেবে ত্রুটিটি কাজে লাগানোর একটি নমুনা পদ্ধতিও ব্যাপকভাবে ছড়িয়ে পড়ে। ফলে নিরাপত্তা প্যাচ প্রকাশের আগেই দুর্বলতাটি ব্যবহার করে আক্রমণ চালানোর আশঙ্কা বেড়ে যায়। এ ধরনের পরিস্থিতিতে প্রতিটি মুহূর্ত গুরুত্বপূর্ণ। কারণ, নিরাপত্তা ত্রুটি সম্পর্কে বিস্তারিত তথ্য যত দ্রুত ছড়ায়, আক্রমণকারীদের প্রস্তুতি নেওয়ার সুযোগও তত বাড়তে পারে।
বুধবার রাত পেরিয়ে বৃহস্পতিবারে পৌঁছানোর সময় আরও দুটি নিরাপত্তা ত্রুটির খবর প্রকাশিত হয়। এর মধ্যে একটি ছিল সফটওয়্যার উন্নয়নের কাজে ব্যবহৃত গিটল্যাবের সঙ্গে সম্পর্কিত। ত্রুটিটির গুরুতরতা ছিল ১০-এর মধ্যে ১০—অর্থাৎ সর্বোচ্চ পর্যায়ে। সফটওয়্যার তৈরির বিভিন্ন ধাপে গিটল্যাব ব্যবহৃত হওয়ায় এ ধরনের দুর্বলতা উন্নয়নপ্রক্রিয়া ও সংশ্লিষ্ট তথ্যের নিরাপত্তার জন্য উদ্বেগজনক হতে পারে।
এই ঘটনাগুলোর আরেকটি উল্লেখযোগ্য দিক হলো, সব কটি ত্রুটিই এআইয়ের সহায়তায় শনাক্ত হয়েছে বলে মনে করা হচ্ছে। এআইভিত্তিক প্রযুক্তি সফটওয়্যারের কোড বিশ্লেষণ করে এমন দুর্বলতা খুঁজে বের করতে পারে, যা মানুষের চোখ এড়িয়ে যেতে পারে বা শনাক্ত করতে অনেক বেশি সময় লাগতে পারে। এতে নিরাপত্তা গবেষণার গতি বাড়ছে। একই সঙ্গে একের পর এক দুর্বলতা সামনে আসায় সেগুলো যাচাই, সমাধান এবং ব্যবহারকারীদের কাছে সতর্কবার্তা পৌঁছানোর চাপও বাড়ছে।
নিরাপত্তা বিশেষজ্ঞদের দ্রুত প্যাচ স্থাপনে উৎসাহিত করার উদ্দেশ্যে কিছু ত্রুটির তথ্য সমাধান প্রস্তুত হওয়ার আগেই প্রকাশ করা হয়েছিল। এর পেছনে একটি যুক্তি রয়েছে। দুর্বলতার অস্তিত্ব জানলে প্রতিষ্ঠানগুলো আগেভাগে প্রস্তুতি নিতে পারে এবং প্যাচ প্রকাশের পর দ্রুত তা স্থাপন করতে পারে। কিন্তু এই পদ্ধতির ঝুঁকিও রয়েছে। সমাধান তৈরির আগেই ত্রুটির বিস্তারিত তথ্য প্রকাশিত হলে সাইবার অপরাধীরাও তা কাজে লাগানোর সুযোগ পেতে পারে।
এখানেই এআইনির্ভর সাইবার নিরাপত্তার একটি কঠিন প্রশ্ন সামনে আসে। এআই যদি বিপুলসংখ্যক নিরাপত্তা দুর্বলতা দ্রুত শনাক্ত করতে পারে, তাহলে সেগুলোর সমাধান সম্পর্কে ব্যবহারকারীদের কীভাবে জানানো হবে? একদিকে দ্রুত সতর্কবার্তা দেওয়া জরুরি, অন্যদিকে সেই তথ্য যেন আক্রমণকারীদের জন্য সুবিধা তৈরি না করে, সেটিও নিশ্চিত করতে হবে।
সমস্যাটি শুধু ত্রুটি শনাক্ত করার মধ্যে সীমাবদ্ধ নয়। কোনো দুর্বলতা শনাক্ত হওয়ার পর সেটি যাচাই করা, কার্যকর প্যাচ তৈরি করা, বিভিন্ন সফটওয়্যার ও ব্যবস্থায় প্যাচের কার্যকারিতা পরীক্ষা করা এবং ব্যবহারকারীদের কাছে তা পৌঁছে দেওয়ার জন্য সময় লাগে। এআই প্রথম ধাপকে দ্রুততর করলেও পরের ধাপগুলো একই গতিতে এগোবে, এমন নিশ্চয়তা নেই।
ফলে সাইবার নিরাপত্তার ভবিষ্যৎ চ্যালেঞ্জ হতে পারে শুধু দুর্বলতা খুঁজে বের করা নয়, বরং সেই দুর্বলতার খবর ও সমাধান নিরাপদভাবে পরিচালনা করা। প্রযুক্তি যত দ্রুত ত্রুটি শনাক্ত করবে, নিরাপত্তা দলগুলোকেও তত দ্রুত প্রতিক্রিয়া জানাতে হবে। অন্যথায়, নিরাপত্তা বাড়ানোর জন্য ব্যবহৃত প্রযুক্তিই অনিচ্ছাকৃতভাবে আক্রমণকারীদের জন্য নতুন সুযোগ তৈরি করতে পারে।
