পিএইচপি প্রোগ্রামিং ভাষায় দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর সাইবার হামলার আশঙ্কায় বিশ্বের বিভিন্ন দেশের সরকারি ও বাণিজ্যিক প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। ত্রুটি দুটি কাজে লাগিয়ে হামলাকারীরা দূর থেকে সার্ভারে অননুমোদিত নির্দেশনা কার্যকর করতে পারে বলে সতর্ক করেছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা। এমন পরিস্থিতিতে বাংলাদেশের সরকারি ও বেসরকারি ওয়েবসাইট কতটা নিরাপদ এবং সম্ভাব্য হামলা মোকাবিলায় প্রস্তুতি কতটা—তা নিয়ে উদ্বেগ তৈরি হয়েছে।
পিএইচপি একটি বহুল ব্যবহৃত প্রোগ্রামিং ভাষা। ওয়েবসাইটের পেছনের বিভিন্ন কার্যক্রম পরিচালনায় এটি ব্যবহার করা হয়। ব্যবহারকারীর তথ্য প্রক্রিয়াকরণ, ডেটাবেজ থেকে তথ্য সংগ্রহ, লগইন যাচাই এবং অনলাইন ফরম পরিচালনার মতো কাজেও পিএইচপি গুরুত্বপূর্ণ ভূমিকা রাখে। জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেম ওয়ার্ডপ্রেসেও এই ভাষা ব্যবহৃত হয়।
বাংলাদেশের সরকারি-বেসরকারি বিভিন্ন প্রতিষ্ঠানও ওয়েবসাইট ও অনলাইন সেবা পরিচালনায় পিএইচপি ব্যবহার করে। তবে কোনো ওয়েবসাইটে পিএইচপি থাকলেই সেটি ঝুঁকিতে রয়েছে, এমন নয়। ঝুঁকি নির্ভর করে ব্যবহৃত সংস্করণ, নিরাপত্তা হালনাগাদ এবং সার্ভারের সুরক্ষাব্যবস্থার ওপর।
কী ধরনের ঝুঁকি তৈরি হয়েছে?
আন্তর্জাতিক সংবাদমাধ্যম এএফপির প্রতিবেদনে সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের বরাত দিয়ে বলা হয়েছে, পিএইচপিতে শনাক্ত দুটি ত্রুটি কাজে লাগিয়ে সার্ভারে অননুমোদিত নির্দেশনা কার্যকর করার সুযোগ তৈরি হতে পারে। এর ফলে সার্ভারে থাকা ফাইল, ডেটাবেজ ও গুরুত্বপূর্ণ তথ্য ঝুঁকিতে পড়তে পারে।
ত্রুটি দুটি পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। একটির কারণে মেমোরির স্বল্পতা সামাল দেওয়ার প্রক্রিয়ায় সমস্যা হতে পারে। অন্যটি মেমোরি থেকে সরিয়ে দেওয়া তথ্যের পুরোনো রেফারেন্স পুনরায় ব্যবহারের সুযোগ তৈরি করতে পারে। এসব দুর্বলতা কাজে লাগিয়ে হামলাকারীরা সার্ভারের নিয়ন্ত্রণ নেওয়ার চেষ্টা করতে পারে।
এ ধরনের ঝুঁকি শুধু শক্তিশালী পাসওয়ার্ড ব্যবহার করে ঠেকানো সম্ভব নয়। কারণ, ত্রুটিটি যদি সার্ভারে ব্যবহৃত পিএইচপি সংস্করণে থাকে, তাহলে সফটওয়্যারের মূল স্তরেই আক্রমণের সুযোগ তৈরি হতে পারে।
এএফপির প্রতিবেদন অনুযায়ী, সতর্কতামূলক ব্যবস্থা হিসেবে ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ের অনুরোধে দেশটির বেশ কিছু স্থানীয় প্রশাসনের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। এর মধ্যে প্যারিস পুলিশের ওয়েবসাইটও রয়েছে। নেদারল্যান্ডসে ডিজিডি ডিজিটাল পরিচয় যাচাই সেবা, দেশটির প্রতিনিধি পরিষদ ও জাতীয় সাইবার নিরাপত্তা কেন্দ্রের ওয়েবসাইট অফলাইনে রাখা হয়। বেলজিয়ামও তাদের পররাষ্ট্র মন্ত্রণালয়ের ওয়েবসাইট বন্ধ রাখার কথা জানিয়েছে।
তবে বেলজিয়ামের জাতীয় সাইবার নিরাপত্তা কেন্দ্র জানিয়েছিল, তখন পর্যন্ত এই ত্রুটি কাজে লাগিয়ে কোনো ওয়েবসাইটে হামলার ঘটনা তাদের নথিভুক্ত হয়নি। অর্থাৎ, সতর্কতামূলকভাবে ওয়েবসাইট বন্ধ রাখা মানেই সেগুলো আক্রান্ত হয়েছে, এমন নয়।
বাংলাদেশের সরকারি ওয়েবসাইট কতটা নিরাপদ?
সরকারি ওয়েবসাইট তৈরি ও ব্যবস্থাপনার সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তাদের ভাষ্য অনুযায়ী, জাতীয় পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এই নির্দিষ্ট ত্রুটির কারণে এসব ওয়েবসাইট সরাসরি ঝুঁকিতে পড়ার কথা নয়।
এটুআইয়ের একজন জ্যেষ্ঠ কর্মকর্তা নাম প্রকাশ না করার শর্তে জানান, বিশ্বজুড়ে নিরাপত্তা সতর্কতা জারির পর তাঁদের সাইবার নিরাপত্তা দলকে সতর্ক করা হয়েছে। সম্ভাব্য ঝুঁকি দেখা দিলে দ্রুত ব্যবস্থা নেওয়ার জন্য সংশ্লিষ্টদের আগেই বিষয়টি জানানো হয়েছে।
জাতীয় পোর্টাল কাঠামোর আওতায় প্রায় ৩৬ হাজার ৫০০টি ওয়েবসাইট রয়েছে। কর্মকর্তাদের দাবি, এসব ওয়েবসাইট পিএইচপিভিত্তিক নয়। তবে জাতীয় পোর্টালের বাইরে বিভিন্ন সরকারি দপ্তর ও প্রতিষ্ঠান নিজস্ব উদ্যোগে ওয়েবসাইট তৈরি করেছে। সেগুলোতে কোন প্রযুক্তি ব্যবহার করা হয়েছে, তা যাচাই করা প্রয়োজন।
অন্যদিকে, বেসরকারি খাতে পিএইচপির ব্যবহার ব্যাপক। ফলে সরকারি জাতীয় পোর্টাল ব্যবস্থা সরাসরি ঝুঁকিতে না থাকলেও বেসরকারি প্রতিষ্ঠান, হোস্টিং সেবা এবং বিভিন্ন ওয়েবভিত্তিক অ্যাপ্লিকেশনে নিরাপত্তা ঝুঁকি তৈরি হতে পারে।
বেসরকারি হোস্টিং প্রতিষ্ঠান লিমডা হোস্টের প্রধান প্রযুক্তি কর্মকর্তা জুনাইদ মিয়াজী বৃহস্পতিবার জানান, তাঁদের গ্রাহকদের প্রায় ৮০ শতাংশ ওয়েবসাইট পিএইচপিভিত্তিক। নিরাপত্তা ত্রুটির খবর পাওয়ার পর তাঁরা সার্ভারে সংশোধিত প্যাচ প্রয়োগ করেছেন। তাঁর ভাষ্য অনুযায়ী, এখন পর্যন্ত তাঁদের ব্যবস্থায় এই ত্রুটির কারণে কোনো প্রভাব শনাক্ত হয়নি।
ঝুঁকি মোকাবিলায় কী করতে হবে?
সাইবার নিরাপত্তা বিশেষজ্ঞদের মতে, প্রথমেই সরকারি-বেসরকারি সব গুরুত্বপূর্ণ সার্ভারে পিএইচপির কোন সংস্করণ ব্যবহার করা হচ্ছে, তার তালিকা তৈরি করতে হবে। এরপর ঝুঁকিপূর্ণ সংস্করণ শনাক্ত করে দ্রুত নিরাপত্তা হালনাগাদ নিশ্চিত করতে হবে।
সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা বলেন, ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলোকে অগ্রাধিকার দিয়ে সংশোধিত সংস্করণে হালনাগাদ করা জরুরি। বিশেষ করে সরকারি প্রতিষ্ঠানের সার্ভারগুলোতে ব্যবহৃত পিএইচপি সংস্করণ সম্পর্কে স্পষ্ট ধারণা থাকা প্রয়োজন।
তাঁর পরামর্শ অনুযায়ী, পিএইচপি ৮.১ ও এর আগের সংস্করণ ব্যবহার করা সার্ভারের ক্ষেত্রে সংশ্লিষ্ট লিনাক্স ডিস্ট্রিবিউশনের নিরাপত্তা হালনাগাদ প্রয়োগ করতে হবে অথবা সমর্থিত নতুন সংস্করণে যেতে হবে। হালনাগাদ করার আগপর্যন্ত ফায়ারওয়াল ব্যবহার করে ঝুঁকি কমানোর চেষ্টা করা যেতে পারে। তবে এটি স্থায়ী সমাধান নয়। কোনো সার্ভার দ্রুত হালনাগাদ করা সম্ভব না হলে সেটি সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার পরামর্শ দিয়েছেন তিনি।
সার্টের নির্দেশনায় যা বলা হয়েছে
সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্টও পিএইচপির নিরাপত্তা ত্রুটি নিয়ে সতর্কতা জারি করেছে। সংস্থাটির পরামর্শ হলো, সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে প্রথমে তাদের সার্ভার ও অ্যাপ্লিকেশনে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তা শনাক্ত করতে হবে। এরপর ব্যবহৃত সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করতে হবে।
পিএইচপি প্রকল্পের ডেভেলপাররা ত্রুটি সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছেন বলে আন্তর্জাতিক প্রতিবেদনে উল্লেখ করা হয়েছে। তাই প্রতিটি প্রতিষ্ঠানকে তাদের ব্যবহৃত পিএইচপি সংস্করণ ও অপারেটিং সিস্টেমের উপযোগী সংশোধিত সংস্করণ ইনস্টল করতে হবে। হালনাগাদের পর সংশ্লিষ্ট সার্ভারে প্রকৃতপক্ষে সংশোধিত সংস্করণ কার্যকর হয়েছে কি না, সেটিও নিশ্চিত করা জরুরি।
তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে ঝুঁকিপূর্ণ সার্ভারে ইন্টারনেট থেকে প্রবেশাধিকার সীমিত করা, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি দেওয়া এবং অননুমোদিত সংযোগ পর্যবেক্ষণের মতো সাময়িক ব্যবস্থা নেওয়া যেতে পারে।
বাংলাদেশের সামনে মূল চ্যালেঞ্জ
জাতীয় পোর্টালের ওয়েবসাইটগুলো পিএইচপিভিত্তিক না হওয়ায় একটি বড় সরকারি ওয়েবসাইট নেটওয়ার্ক এই নির্দিষ্ট ঝুঁকির বাইরে থাকতে পারে। কিন্তু দেশের সব সরকারি ওয়েবসাইট, বেসরকারি প্রতিষ্ঠানের সার্ভার ও অনলাইন সেবা একই প্রযুক্তিতে তৈরি নয়। তাই জাতীয় পোর্টালের নিরাপত্তা নিশ্চিত হওয়াই সামগ্রিক সাইবার নিরাপত্তার নিশ্চয়তা নয়।
এখন সবচেয়ে জরুরি হলো, সরকারি-বেসরকারি সব গুরুত্বপূর্ণ সার্ভারে ব্যবহৃত প্রযুক্তি ও সংস্করণ শনাক্ত করা, নিরাপত্তা হালনাগাদ প্রয়োগ এবং সম্ভাব্য অনুপ্রবেশের লক্ষণ পরীক্ষা করা। এসব পদক্ষেপ কত দ্রুত ও কার্যকরভাবে নেওয়া হচ্ছে, তার ওপরই নির্ভর করবে বাংলাদেশের ডিজিটাল সেবাগুলো এই নিরাপত্তা ঝুঁকি কতটা সফলভাবে মোকাবিলা করতে পারবে।
