পিএইচপি প্রযুক্তিতে নতুন একটি নিরাপত্তাত্রুটি ধরা পড়ায় বাংলাদেশের পাঁচ শতাধিক ওয়েবসাইট ও অ্যাপ সাইবার ঝুঁকির মুখে পড়েছে। ঝুঁকিতে থাকা সাইটগুলোর মধ্যে সরকারি ও বেসরকারি দুই ধরনের প্রতিষ্ঠানই আছে। বিষয়টি নিয়ে সতর্কবার্তা দিয়েছে সরকারের সাইবার নিরাপত্তা বিষয়ক সংস্থা বিজিডি ই-গভ সার্ট।
সংস্থাটির সূত্র জানিয়েছে, ওই সাইট ও অ্যাপগুলো এখনো পিএইচপির পুরোনো সংস্করণ ব্যবহার করছে। আগে সতর্ক করা হলেও সংস্করণ হালনাগাদ করা হয়নি। ফলে দেশের ডিজিটাল সেবার নিরাপত্তা নিয়ে নতুন করে উদ্বেগ দেখা দিয়েছে।
পিএইচপি একটি প্রোগ্রামিং ভাষা, যা ওয়েবসাইটের নেপথ্যে থেকে কাজ করে। ব্যবহারকারী সাধারণত এটি দেখতে পান না, কিন্তু সাইটের বহু গুরুত্বপূর্ণ কাজ এর ওপরই নির্ভর করে। বিবিসির একটি প্রতিবেদনে সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের বরাত দিয়ে বলা হয়েছে, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপি দিয়ে চলে। তাই এই প্রযুক্তিতে কোনো দুর্বলতা দেখা দিলে তার প্রভাব একটি দেশ বা একটি খাতে সীমাবদ্ধ থাকে না, ছড়িয়ে পড়ে বিশ্বজুড়ে।
সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিট নজরদারির সময় ঝুঁকিতে থাকা এই সাইটগুলো শনাক্ত করে। এর বেশির ভাগই বেসরকারি প্রতিষ্ঠানের। তবে আর্থিক খাত এবং জনগুরুত্বপূর্ণ কিছু সরকারি ওয়েবসাইটও এই তালিকায় আছে। এসব সাইটে সাধারণ মানুষের ব্যক্তিগত তথ্য বা লেনদেনসংক্রান্ত তথ্য থাকে। তাই ঝুঁকির মাত্রা তুলনামূলক বেশি বলে মনে করা হচ্ছে।
ঘটনার সূত্রপাত গত সপ্তাহে। যুক্তরাষ্ট্রের দুটি সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের একদল গবেষক কৃত্রিম বুদ্ধিমত্তার সহায়তায় পিএইচপিতে দুটি ত্রুটি খুঁজে পান। ২১ অক্টোবর পিএইচপির উন্নয়নকারী দল জরুরি নিরাপত্তা হালনাগাদ প্রকাশ করে এবং ওই দুটি গুরুতর ত্রুটি সারিয়ে ফেলে। এর দুই দিন পর, ২৩ অক্টোবর, কর্তৃপক্ষ আরও একটি ত্রুটির কথা জানায়। সেটিই এখন নতুন করে আলোচনায় এসেছে।
এই নতুন ত্রুটি জড়িত পিএইচপির সেশন ব্যবস্থাপনার সঙ্গে। সেশন ব্যবস্থাপনার মাধ্যমে ওয়েবসাইট ব্যবহারকারীকে চেনে ও তার অবস্থা মনে রাখে। ফাইল আপলোডের অগ্রগতি দেখানোর একটি বিশেষ সুবিধাও এর সঙ্গে যুক্ত। বিশেষজ্ঞদের ভাষ্য, এই দুর্বলতা কাজে লাগিয়ে হামলাকারীরা সার্ভারে অনুমতি ছাড়া নির্দেশনা চালাতে পারে। অর্থাৎ হামলাকারী সার্ভারের নিয়ন্ত্রণ নিতে পারে। তখন তথ্য চুরি, সাইটের বিষয়বস্তু বদলে ফেলা কিংবা সেবা অচল করে দেওয়ার মতো ঘটনাও ঘটতে পারে।
বিষয়টিকে আরও জটিল করেছে এই ত্রুটির সমাধান এখনো না থাকা। সার্ট গতকাল এক সতর্কবার্তায় জানিয়েছে, নতুন ত্রুটির জন্য নিরাপত্তা সংশোধনী এখনো প্রকাশ হয়নি। পিএইচপির ঠিক কোন কোন সংস্করণ আক্রান্ত এবং ঝুঁকি শেষ পর্যন্ত কত বড় হতে পারে, তাও নির্ধারণ করা যায়নি। অর্থাৎ প্রতিষ্ঠানগুলো যদি নতুন সংস্করণে যেতে চায়ও, এই মুহূর্তে পুরোপুরি নিরাপদ কোনো সংস্করণ হাতে নেই।
এ অবস্থায় সার্ট সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে কয়েকটি তাৎক্ষণিক পদক্ষেপের পরামর্শ দিয়েছে। প্রথমত, পিএইচপির সেশন আপলোড প্রগ্রেস সুবিধা সাময়িকভাবে বন্ধ রাখতে বলা হয়েছে। এ ছাড়া সার্ভারের প্রয়োজনীয় সেবা নতুন করে চালু করা, সফটওয়্যারের বিন্যাস যাচাই করা এবং সন্দেহজনক কার্যকলাপের দিকে নজর রাখার কথাও বলা হয়েছে। এই পদক্ষেপগুলো স্থায়ী সমাধান নয়। তবে সংশোধনী না আসা পর্যন্ত ঝুঁকি কিছুটা কমিয়ে রাখতে সাহায্য করবে।
পরিস্থিতির গুরুত্ব নিয়ে সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার গণমাধ্যমকে বলেন, ওয়েবসাইট হালনাগাদ করা হলে ঝুঁকি কমে আসবে। তবে এখন পর্যন্ত যতগুলো সাইট শনাক্ত হয়েছে, সেই সংখ্যা উদ্বেগজনক। এই সংখ্যা যে ছোট নয়, সেটি আরও স্পষ্ট হয় কয়েক দিন আগের তথ্যের সঙ্গে মেলালে। ২৫ অক্টোবর প্রকাশিত একটি প্রতিবেদনে ঝুঁকিতে থাকা সাইটের সংখ্যা বলা হয়েছিল অর্ধশতাধিক। এখন সেটি পাঁচ শতাধিকে পৌঁছেছে।
ঝুঁকি বাড়ার পেছনে প্রযুক্তিগত কারণের পাশাপাশি আছে মানসিকতার প্রশ্নও। সার্টের একাধিক কর্মকর্তা জানিয়েছেন, সরকারি ও বেসরকারি, দুই ধরনের প্রতিষ্ঠানের ওয়েবসাইটেই এখনো পুরোনো ও ঝুঁকিপূর্ণ সংস্করণ চালু আছে। সতর্ক করার পরও প্রতিষ্ঠানগুলো ত্রুটি সংশোধনের কোনো নিশ্চয়তা দেয়নি। এতে নাগরিকদের গুরুত্বপূর্ণ তথ্য চুরি এবং সাইবার হামলার আশঙ্কা তৈরি হয়েছে বলে কর্মকর্তারা মনে করছেন।
একটি বেসরকারি হোস্টিং কোম্পানির প্রধান প্রযুক্তি কর্মকর্তা জুনায়েদ মিয়াজী এ প্রবণতার একটি কারণ তুলে ধরেছেন। তাঁর মতে, ওয়েবসাইট চালু থাকলেই অনেকে ধরে নেন সেটি নিরাপদ। এই ভুল ধারণা থেকে নিয়মিত সফটওয়্যার হালনাগাদ ও নিরাপত্তা ত্রুটি সারানোর কাজে অবহেলা হয়। অথচ নিরাপত্তাব্যবস্থা সময়মতো হালনাগাদ রাখা অত্যন্ত জরুরি। একটি সাইট ঠিকমতো খুলছে মানেই সেটি হামলার ঝুঁকিমুক্ত, এমন নয়। হামলাকারী নীরবে ঢুকে পড়লেও বাইরে থেকে সাধারণত কিছু বোঝা যায় না।
এ ঘটনা সামনে এনেছে আরেকটি বড় প্রশ্ন, দেশের ওয়েবসাইটের নিরাপত্তা নিশ্চিত করার দায়িত্ব আসলে কার। দেশের ডিজিটাল অবকাঠামোর সুরক্ষায় জাতীয় সাইবার সুরক্ষা এজেন্সি ও বাংলাদেশ কম্পিউটার কাউন্সিলের ভূমিকা আছে। বিজিডি ই-গভ সার্ট কাজ করে কাউন্সিলের অধীনে। সংস্থাটি সাইবার হুমকি শনাক্ত করে এবং নিরাপত্তা ত্রুটি নিয়ে সতর্কবার্তা দেয়। কিন্তু সতর্কবার্তার পর প্রতিষ্ঠানগুলো কত দ্রুত দুর্বলতা সারাচ্ছে, নিরাপত্তা নিয়ম ঠিকভাবে মানছে কি না এবং তা যাচাই করার ব্যবস্থা কতটা কার্যকর, এ নিয়ে প্রশ্ন থেকে যাচ্ছে। অর্থাৎ হুমকি শনাক্ত ও সতর্ক করার কাজ হচ্ছে, কিন্তু সেই সতর্কতা বাস্তবে মানা হচ্ছে কি না, তা নিশ্চিত করার কাঠামো স্পষ্ট নয়।
তথ্যপ্রযুক্তি বিশেষজ্ঞ সুমন আহমেদ সাবিরও এ বিষয়ে কথা বলেছেন। তাঁর মতে, ওয়েবসাইটের নিরাপত্তার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানেরই। কিন্তু শুধু দায়িত্ব ঠিক করে দিলে চলবে না। প্রতিষ্ঠানগুলো নিরাপত্তাব্যবস্থা সঠিকভাবে অনুসরণ করছে কি না, তা যাচাইয়ের ব্যবস্থাও থাকতে হবে। তিনি জাতীয় পর্যায়ে সাইবার নিরাপত্তার মানদণ্ড নির্ধারণ এবং তা মানা হচ্ছে কি না, তা তদারকির একটি কাঠামো গড়ে তোলার ওপর জোর দিয়েছেন।
ঘটনার আরেকটি দিক হলো, এর রেশ বিশ্বজুড়ে ছড়িয়েছে। পিএইচপির আগের দুটি গুরুতর ত্রুটির কারণে সাইবার হামলার আশঙ্কায় বিভিন্ন দেশের সরকারি সংস্থা সাময়িকভাবে নিজেদের ওয়েবসাইট বন্ধ করে দেয়। বাংলাদেশেও কয়েকটি ওয়েবসাইট বন্ধ করা হয়েছিল, পরে সেগুলো আবার চালু হয়। তবে এবারের ঝুঁকি আগের চেয়ে ভিন্ন। আগের ত্রুটির সমাধান এসেছিল, আর এবার সমাধান এখনো আসেনি।
সব মিলিয়ে চিত্রটি এমন, পিএইচপির নতুন ত্রুটির স্থায়ী সমাধান এখনো অনুপস্থিত, ঝুঁকিতে থাকা ওয়েবসাইটের সংখ্যা কয়েক দিনেই বেড়ে পাঁচ শতাধিক হয়েছে, এবং এর মধ্যে আর্থিক ও জনগুরুত্বপূর্ণ সরকারি সাইটও আছে। সংশোধনী প্রকাশের আগ পর্যন্ত সার্টের পরামর্শ মেনে সাময়িক সুরক্ষা নেওয়া এবং সন্দেহজনক কার্যকলাপে নজর রাখাই এখন প্রতিষ্ঠানগুলোর সামনে প্রধান উপায়। দীর্ঘ মেয়াদে সতর্কবার্তা বাস্তবে মানা হচ্ছে কি না, তা নিশ্চিত করার একটি কার্যকর কাঠামো গড়ে তোলাই হবে দেশের ডিজিটাল সেবার নিরাপত্তার সবচেয়ে বড় পরীক্ষা।