টানা তিন দিন ধরে বন্ধ আছে বাংলাদেশ ব্যাংকের ওয়েবসাইট। একই নিরাপত্তা ঝুঁকিতে টানা ৩৬ ঘণ্টা বন্ধ রাখা হয়েছে ডিজিটাল ভূমিসেবার সার্ভার। বন্ধ আছে আরও ৬টি ব্যাংকের ওয়েবসাইট।
বিশ্বজুড়ে সাইবার নিরাপত্তা সতর্কতা জারি করার পর বাংলাদেশসহ বিশ্বের বিভিন্ন দেশের সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। গত বুধবার, ২১এ অক্টোবর বিশ্বজুড়ে ওয়েবসাইট পরিচালনায় ব্যবহৃত পিএইচপি প্রোগ্রামিং ভাষার দুটি গুরুতর নিরাপত্তা ত্রুটি খুঁজে পাওয়া যায়। এরপরই সতর্কতামূলক ব্যবস্থা নেওয়া শুরু করে বিভিন্ন দেশের সরকারি ও বেসরকারি প্রতিষ্ঠানগুলো।
পিএইচপি বিশ্বব্যাপী জনপ্রিয় প্রোগ্রামিং ভাষা হিসেবে পরিচিত। বিশ্বের বিভিন্ন গুরুত্বপূর্ণ সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট তৈরি ও পরিচালনার কাজে ব্যবহার করা হয়ে থাকে এই প্রোগ্রামিং ভাষা। কিন্তু বিশ্বের সবচেয়ে জনপ্রিয় প্রোগ্রামিং ভাষার ফাউন্ডেশনে পূর্ণকালীন কর্মী মাত্র একজন। অর্থায়নও প্রয়োজনের তুলনায় অনেক কম। রয়টার্সকে শুক্রবার ইমেইলে জানিয়েছে পিএইচপি ফাউন্ডেশনের নির্বাহী পরিচালক এলিজাবেথ ব্যারন।
সাইবার-নিরাপত্তা সংস্থা উইজ-এর গবেষকরা পিএইচপি প্রোগ্রামিং ভাষার এই দুর্বলতাগুলো বের করেন। তারা এই ত্রুটিগুলোকে গুরুতর হিসাবে বিবেচনা করছেন। গবেষকরা মনে করছেন, এযাবৎকালে এআই দিয়ে শনাক্ত এই ত্রুটিগুলো সবচেয়ে ‘গুরুতর ত্রুটি’।
বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে এ ঘটনাগুলো বাংলাদেশের ডিজিটাল অবকাঠামোর নিরাপত্তা নিয়ে গুরুত্বপূর্ণ প্রশ্ন সামনে এনেছে। দেশের সরকারি ও বেসরকারি প্রতিষ্ঠানের কোন কোন ব্যবস্থায় পিএইচপি ব্যবহৃত হচ্ছে, সেগুলোর নিরাপত্তা হালনাগাদ করা হয়েছে কি না এবং সম্ভাব্য সাইবার হামলা মোকাবিলায় প্রতিষ্ঠানগুলোর প্রস্তুতি কতটা, এসব বিষয় এখন বিশেষভাবে গুরুত্বপূর্ণ।
কেন একটি প্রোগ্রামিং ভাষার ত্রুটি এত গুরুত্বপূর্ণ?
পিএইচপি একটি সার্ভার-সাইড প্রোগ্রামিং ভাষা। ওয়েবসাইট তৈরি ও পরিচালনায় এক দশকেরও বেশি সময় ধরে সারা পৃথিবীতে জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপি। ব্যবহারকারীর দেওয়া তথ্য প্রক্রিয়াকরণ, ডেটাবেজ থেকে তথ্য সংগ্রহ, লগইন যাচাই এবং ওয়েবপেজে পরিবর্তনশীল তথ্য দেখানোর মতো কাজে পিএইচপি ব্যবহৃত হয়।
ওয়ার্ডপ্রেসের মতো জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেমও এই ভাষার ওপর নির্ভরশীল। ফলে সংবাদমাধ্যম, অনলাইন মার্কেট, ব্লগ, বিভিন্ন ব্যবসা প্রতিষ্ঠান এবং সরকারি ওয়েবসাইটের একটি বড় অংশে পিএইচপির ব্যবহার রয়েছে।
প্রযুক্তি বিশ্লেষক প্রতিষ্ঠান ‘ডব্লিউয়হ্রিটেক্স’এর তথ্য অনুযায়ী, যেসব ওয়েবসাইটের সার্ভার-সাইড প্রোগ্রামিং ভাষা শনাক্ত করা যায়, সেগুলোর প্রায় ৭০ শতাংশে পিএইচপি ব্যবহৃত হয়। অর্থাৎ, এই ভাষার নিরাপত্তায় গুরুতর দুর্বলতা দেখা দিলে তার প্রভাব একাধিক প্রতিষ্ঠান ও দেশের ডিজিটাল ব্যবস্থায় পড়তে পারে।
বিশ্বজুড়ে কেন ওয়েবসাইট বন্ধ রাখা হয়েছে
সম্প্রতি পিএইচপিতে শনাক্ত দুটি ত্রুটি বিশ্বজুড়ে উদ্বেগ তৈরি করেছে। নিরাপত্তা গবেষকেরা এগুলোকে ডাকছেন পিএইচপি টু শেল। ত্রুটিগুলো কাজে লাগানো গেলে নির্দিষ্ট পরিস্থিতিতে কোনো হামলাকারী পাসওয়ার্ড ছাড়াই দূর থেকে আক্রান্ত সার্ভারে হামলা চালানোর সুযোগ পেতে পারেন। সাইবার নিরাপত্তার ভাষায় একে বলা হয় রিমোট কোড এক্সিকিউশন।
বাংলাদেশ সরকারের সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্টের ২২এ অক্টোবর প্রকাশিত সতর্কবার্তায় ত্রুটি দুটির সম্ভাব্য ঝুঁকি ব্যাখ্যা করা হয়েছে। এগুলো পিএইচপির মেমোরি ব্যবস্থাপনা ও অভ্যন্তরীণ অবস্থা পরিচালনার সঙ্গে সম্পর্কিত। দুর্বলতাগুলো কাজে লাগানো গেলে সার্ভারের ফাইল, ডেটাবেজ এবং অন্যান্য সংরক্ষিত তথ্য ঝুঁকিতে পড়তে পারে।
এ ধরনের ত্রুটির ক্ষেত্রে শুধু ওয়েবসাইটের লগইন ব্যবস্থা শক্তিশালী করা যথেষ্ট নয়। কারণ, দুর্বলতা তৈরি হয়েছে ওয়েবসাইট পরিচালনার মূল সফটওয়্যার স্তরে। ফলে কোনো ওয়েবসাইটে শক্তিশালী পাসওয়ার্ড কিংবা আলাদা লগইন নিরাপত্তা থাকলেও ত্রুটিযুক্ত সার্ভার ঝুঁকিতে থাকতে পারে।
তবে পিএইচপি ব্যবহার করা সব ওয়েবসাইটই আক্রান্ত হয়েছে, এমন নয়। ঝুঁকি নির্ভর করে পিএইচপির সংস্করণ, নিরাপত্তা সংশোধনী প্রয়োগ করা হয়েছে কি না এবং সার্ভারের অন্যান্য সুরক্ষাব্যবস্থার ওপর।
পিএইচপির নিরাপত্তা ত্রুটির খবর প্রকাশ্যে আসার পর বিভিন্ন দেশের সরকার, ব্যবসা প্রতিষ্ঠান এবং সাইবার নিরাপত্তা সংস্থা দ্রুত ব্যবস্থা নিতে শুরু করে। কিছু প্রতিষ্ঠান সংশোধিত সফটওয়্যার ইনস্টল করে, আবার যেসব ব্যবস্থা তাৎক্ষণিকভাবে নিরাপদ করা সম্ভব হয়নি, সেগুলোর ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়।
রয়টার্স, বিবিসি ও দ্য গার্ডিয়ানের প্রতিবেদনে ফ্রান্স, নেদারল্যান্ডস, জাপান, ফিনল্যান্ডসহ বিভিন্ন দেশের সরকারি ও বেসরকারি সেবা সাময়িকভাবে বন্ধ রাখার তথ্য উঠে এসেছে। ব্যাংকিং, রেল, বিমান পরিবহন, করসংক্রান্ত সেবা এবং বিভিন্ন সরকারি পোর্টালও এর প্রভাবের মুখে পড়ে।
ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথু প্রিন্স জানিয়েছেন, ত্রুটির বিস্তারিত প্রকাশ্যে আসার পর তাদের নেটওয়ার্কে কয়েক লাখ হামলার চেষ্টা হয়েছে।
সাইবার নিরাপত্তা বিশেষজ্ঞরা পরামর্শ দিচ্ছেন, আক্রান্ত হওয়ার অপেক্ষা না করে ঝুঁকিপূর্ণ সার্ভার আপডেট করতে হবে। দ্রুত সংশোধন সম্ভব না হলে সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখতে হবে। কারণ, দুর্বলতা সম্পর্কে বিস্তারিত জেনে গেলে হামলাকারীরা তা কাজে লাগানোর চেষ্টা করতে পারে।
অর্থ ও জনবল সংকটে পিএইচপি ফাউন্ডেশন
রয়টার্সের এক প্রতিবেদনে পিএইচপি ফাউন্ডেশনের সীমিত জনবল ও অর্থায়নের বিষয়টিও উঠে এসেছে। সংস্থাটির নির্বাহী পরিচালক এলিজাবেথ ব্যারন জানিয়েছেন, ফাউন্ডেশনে তিনি একমাত্র পূর্ণকালীন কর্মী। তার সঙ্গে কাজ করেন ১৪ জন ঠিকাদার, যাদের অধিকাংশই খণ্ডকালীন। ফাউন্ডেশনের পরিচালনা পর্ষদের সদস্যরাও বিনা পারিশ্রমিকে দায়িত্ব পালন করেন।
অনুদান ও বিভিন্ন প্রতিষ্ঠানের সহায়তায় পরিচালিত এই ফাউন্ডেশন পিএইচপির নিরাপত্তা ত্রুটি তদন্ত, সেগুলো সংশোধন এবং সংশ্লিষ্ট নিরাপত্তা হালনাগাদ সমন্বয়ের জন্য বাইরের গবেষক ও প্রযুক্তি প্রতিষ্ঠানের সঙ্গে কাজ করে। এ কাজে ওপেনএআই, সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ ও ক্যালিফের মতো সংস্থাও যুক্ত রয়েছে।
ব্যারন জানান, কৃত্রিম বুদ্ধিমত্তা একদিকে গবেষকদের সফটওয়্যারের দুর্বলতা শনাক্ত করতে সাহায্য করছে, অন্যদিকে পিএইচপি রক্ষণাবেক্ষণের কাজও বাড়িয়ে দিচ্ছে। এক বছরে প্রকল্পটিতে জমা পড়া কোড পরিবর্তনের প্রস্তাব প্রায় দ্বিগুণ হয়েছে, কিন্তু অবদানকারীর সংখ্যা একই হারে বাড়েনি। এসব প্রস্তাব ও বাগ রিপোর্ট যাচাই করতে দক্ষ মানুষের উল্লেখযোগ্য সময় ও অভিজ্ঞতা প্রয়োজন।
ব্যারনের মতে, বিশ্বজুড়ে বিপুলসংখ্যক ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হলেও এর রক্ষণাবেক্ষণের দায়িত্বে থাকা ফাউন্ডেশনটির অর্থায়ন প্রয়োজনের তুলনায় অনেক কম।
বাংলাদেশে কোন কোন সেবা ঝুঁকির মুখে?
বাংলাদেশে পিএইচপি নিরাপত্তা ত্রুটির প্রভাব নিয়ে উদ্বেগের প্রধান কারণ হলো, সরকারি ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট এবং অনলাইন সেবায় এই প্রযুক্তির ব্যবহার রয়েছে। তবে সব প্রতিষ্ঠানের ব্যবহৃত প্রযুক্তি, সফটওয়্যারের সংস্করণ ও নিরাপত্তাব্যবস্থা এক নয়।
সরকারি ন্যাশনাল পোর্টাল ব্যবস্থার আওতায় থাকা প্রায় ৩৬ হাজার ৫০০টি ওয়েবসাইট পিএইচপি দিয়ে তৈরি নয় বলে জানিয়েছেন অ্যাসপায়ার টু ইনোভেট বা এটুআইয়ের কর্মকর্তারা। ফলে এই নির্দিষ্ট ত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়।
তবে জাতীয় পোর্টালের বাইরে বিভিন্ন সরকারি দপ্তর ও প্রতিষ্ঠান নিজস্ব উদ্যোগে ওয়েবসাইট তৈরি করেছে। এসব ওয়েবসাইটে কোন প্রযুক্তি ব্যবহার করা হয়েছে, তা যাচাই করা হচ্ছে বলে বিভিন্ন খবরে উঠে এসেছে। একইভাবে, সরকারি পোর্টাল নিরাপদ থাকলেও তার সঙ্গে যুক্ত অন্য কোনো সেবা বা সার্ভারে দুর্বলতা আছে কি না, সেটিও আলাদাভাবে পরীক্ষা করার কথা বলেছে বিশেষজ্ঞরা।
বেসরকারি খাতেও পিএইচপির ব্যবহার রয়েছে। প্রথম আলোর প্রতিবেদনে বেসরকারি হোস্টিং প্রতিষ্ঠান লিমডা হোস্টের প্রধান প্রযুক্তি কর্মকর্তা জুনাইদ মিয়াজীর বক্তব্য অনুযায়ী, তাদের গ্রাহকদের প্রায় ৮০ শতাংশের ওয়েবসাইট পিএইচপিভিত্তিক। একইভাবে সংবাদমাধ্যম, ই-কমার্স প্রতিষ্ঠান, হোস্টিং সেবা প্রদানকারী এবং বিভিন্ন অনলাইন প্ল্যাটফর্মের সার্ভারে এই ভাষা থাকতে পারে। এসব ব্যবস্থায় পুরোনো বা ঝুঁকিপূর্ণ সংস্করণ ব্যবহার করা হলে সেগুলো আলাদাভাবে নিরাপত্তা হালনাগাদের প্রয়োজন হবে।
বাংলাদেশ ব্যাংক ও ডিজিটাল ভূমিসেবায় কী ঘটেছে?
বৈশ্বিক সতর্কতার পর বাংলাদেশ ব্যাংক তাদের অফিশিয়াল ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। ২২এ অক্টোবর রাতে প্রথম আলোকে দেওয়া বক্তব্যে ব্যাংকের মুখপাত্র আরিফ হোসেন খান জানান, ওয়েবসাইটে কোনো ত্রুটি আছে কি না, তা পরীক্ষা করা হচ্ছে। বিশ্বব্যাপী হামলার আশঙ্কায় সতর্কতামূলক ব্যবস্থা হিসেবে এ সিদ্ধান্ত নেওয়া হয়।যদিও বাংলাদেশ ব্যাংক জানিয়েছে, তাদের ওয়েবসাইট বন্ধ থাকলেও ইন্টারনেট ব্যাংকিং ও মোবাইল ব্যাংকিংয়ের লেনদেন স্বাভাবিক আছে।
এরপর ভূমি মন্ত্রণালয় ডিজিটাল ভূমিসেবার সার্ভার বন্ধ রেখে নিরাপত্তা উন্নয়নের উদ্যোগ নেয়। মন্ত্রণালয়ের বিজ্ঞপ্তি অনুযায়ী, বিজিডি ই-গভ সার্টের জরুরি সতর্কবার্তার পরিপ্রেক্ষিতে ২২এ অক্টোবর দিবাগত রাত ১২টা থেকে ২৪এ অক্টোবর দুপুর ১২টা পর্যন্ত ৩৬ ঘণ্টা রক্ষণাবেক্ষণের সময় নির্ধারণ করা হয়।
এই সময় নামজারি বা মিউটেশন, ভূমি উন্নয়ন কর পরিশোধ, ভূমির রেকর্ড ও মৌজা ম্যাপ সংগ্রহ, ভূমি অধিগ্রহণ, ইজারা, ভূমি রাজস্ব মামলা এবং ভূমি তথ্য ব্যাংকসহ বিভিন্ন সেবা বন্ধ থাকার কথা জানানো হয়। সাময়িক বন্ধের আগে ভূমিসেবার জন্য নির্দিষ্ট সময়ের পর কোনো অর্থ পরিশোধ না করতেও ব্যবহারকারীদের অনুরোধ জানানো হয়।
বাংলাদেশের প্রস্তুতি কতটা?
এখন পর্যন্ত বাংলাদেশ ব্যাংক, ভূমিসেবা ও ৬টি ব্যাংকের ওয়েবসাইট বন্ধ থাকার খবর পাওয়া গেছে। বাংলাদেশ ব্যাংক বৃহস্পতিবার থেকে তাদের ওয়েবসাইট বন্ধ রেখেছে। কেন্দ্রীয় ব্যাংকের এই পদক্ষেপের পর সতর্কতামূলক ব্যবস্থা হিসেবে আরও কয়েকটি ব্যাংকও ওয়েবসাইট বন্ধ করে দেয়। ব্যাংকগুলো হলো অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংক।
ব্যাংকগুলো জানিয়েছে, সম্ভাব্য সাইবার ঝুঁকি এড়াতে এবং প্রযুক্তি অবকাঠামোর নিরাপত্তা যাচাই করতে এ ব্যবস্থা নেওয়া হয়েছে। নিরাপত্তা যাচাই ও প্রয়োজনীয় ব্যবস্থা সম্পন্ন হলে ওয়েবসাইটগুলো আবার চালু করা হবে।
বিজিডি ই-গভ সার্টের সতর্কবার্তায় সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে প্রথমে তাদের সার্ভারে কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করার কথা বলা হয়েছে। এরপর প্রতিষ্ঠানগুলোকে ব্যবহৃত সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করে প্রয়োজনীয় নিরাপত্তা সংশোধনী প্রয়োগ করতে হবে।
বিশেষজ্ঞদের মতে, এখানে প্রথম চ্যালেঞ্জ হলো, প্রতিষ্ঠানের সব সার্ভার ও সফটওয়্যারের পূর্ণাঙ্গ হিসাব থাকা। কোনো প্রতিষ্ঠানের একাধিক ওয়েবসাইট, অ্যাপ্লিকেশন, পুরোনো সার্ভার বা তৃতীয় পক্ষের হোস্টিং থাকতে পারে। এসবের মধ্যে কোথায় পিএইচপি চলছে, তা জানা না থাকলে সব ঝুঁকিপূর্ণ ব্যবস্থা শনাক্ত করা কঠিন।
দ্বিতীয়ত, নিরাপত্তা হালনাগাদ কার্যকর হয়েছে কি না, তা নিশ্চিত করতে হবে। শুধু ওয়েবসাইটের অ্যাপ্লিকেশন আপডেট করলেই পিএইচপির মূল সফটওয়্যার হালনাগাদ হয়ে গেছে, ব্যাপারটা এমন নয়। সার্ভারে যে সংস্করণটি বাস্তবে ব্যবহারকারীর অনুরোধ প্রক্রিয়াকরণ করছে, সেটি সংশোধিত হয়েছে কি না, তা যাচাই করতে হবে।
তৃতীয়ত, সম্ভাব্য অনুপ্রবেশের লক্ষণ খুঁজতে হবে। কোনো সার্ভার দুর্বল থাকা অবস্থায় ইন্টারনেটে উন্মুক্ত থাকলে সেখানে অস্বাভাবিক নির্দেশনা চালানো, অপরিচিত ফাইল তৈরি কিংবা সন্দেহজনক সংযোগের চেষ্টা হয়েছে কি না, তা পরীক্ষা করা জরুরি।
সরকারি নিরাপত্তা সংস্থার পরামর্শ হলো, তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে ইন্টারনেট থেকে প্রবেশাধিকার সীমিত করতে হবে, নির্দিষ্ট আইপি ঠিকানার মাধ্যমে সংযোগ অনুমোদন এবং সন্দেহজনক কার্যক্রম পর্যবেক্ষণের মতো সাময়িক ব্যবস্থা নিতে হবে। তবে এসব ব্যবস্থা স্থায়ী সমাধান নয়; ঝুঁকিপূর্ণ সফটওয়্যার যথাযথভাবে সংশোধন করাই মূল লক্ষ্য।
ভবিষ্যৎ প্রস্তুতি কী হবে?
পিএইচপির এই ঘটনা বাংলাদেশের জন্য একটি সতর্কবার্তা। ডিজিটাল সেবা বিস্তৃত হওয়ার সঙ্গে সঙ্গে সেগুলোর নিরাপত্তা নিশ্চিত করাও জরুরি হয়ে উঠছে। সরকারি পোর্টাল, আর্থিক সেবা, ভূমি ব্যবস্থাপনা এবং বেসরকারি অনলাইন প্ল্যাটফর্মের নিরাপত্তা একক কোনো পদক্ষেপের ওপর নির্ভর করতে পারে না।
সাইবার নিরাপত্তা বিশেষজ্ঞরা বলছেন, প্রতিষ্ঠানগুলোর নিয়মিত সফটওয়্যার হালনাগাদ, সার্ভারের তালিকা সংরক্ষণ, নিরাপত্তা লগ পরীক্ষা এবং জরুরি পরিস্থিতিতে সাড়া দেওয়ার পরিকল্পনা থাকা প্রয়োজন। একই সঙ্গে, সেবা পরিচালনাকারী প্রতিষ্ঠান ও হোস্টিং সেবাদাতাদের মধ্যে সমন্বয় জরুরি, যাতে নিরাপত্তা ত্রুটি শনাক্ত হলে দ্রুত সংশোধন করা যায়।
এআইয়ের সাহায্যে পুরোনো সফটওয়্যারের দুর্বলতা দ্রুত শনাক্ত হওয়ার সম্ভাবনা বাড়ছে। এতে নিরাপত্তা জোরদারের পাশাপাশি হামলাকারীদের জন্যও নতুন সুযোগ তৈরি হচ্ছে। ফলে শুধু একটি ত্রুটি ঠিক করাই যথেষ্ট নয়; ভবিষ্যতে নতুন দুর্বলতা শনাক্ত হলে দ্রুত ব্যবস্থা নেওয়ার সক্ষমতাও গড়ে তুলতে হবে।