যেভাবে ত্রুটি প্রকাশ পেল
নব্বইয়ের দশকের শুরুতে উদ্ভাবিত পিএইচপি (হাইপারটেক্সট প্রিপ্রসেসর) দিয়ে তৈরি হয় অনলাইন কেনাকাটার মাধ্যম, সংবাদমাধ্যমের পোর্টাল ও সরকারি সেবা প্ল্যাটফর্ম। সম্প্রতি সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা ওপেনএআই ও গুগলের বিভিন্ন এআই মডেল ব্যবহার করে পিএইচপির ব্যাকএন্ড কোডে এই মারাত্মক দুর্বলতা শনাক্ত করেন। সফটওয়্যারের ইতিহাসে একে অন্যতম মারাত্মক ত্রুটি হিসেবে উল্লেখ করেছে নিরাপত্তা প্রতিষ্ঠান উইজ। গবেষকেরা জানান, মানুষের চোখে যেসব সূক্ষ্ম ফাঁকফোকর বছরের পর বছর অলক্ষে থেকে গেছে, আধুনিক এআই মডেলগুলো তা কয়েক মুহূর্তেই বের করে আনছে।
২২ বছর কেন অমীমাংসিত ছিল
২০০৪ সালের জুলাইয়ে কম্পিউটার নিরাপত্তা গবেষক স্টেফান এসার প্রথম পিএইচপির এই গুরুতর দুর্বলতার বিষয়ে সতর্ক করেছিলেন। তবে বিষয়টি দুই দশকের বেশি সময় ধরে কার্যত গুরুত্ব পায়নি। কারণ এই ত্রুটি ব্যবহার করে কার্যকর সাইবার হামলা চালানো মানুষের জন্য ছিল অসম্ভব রকমের জটিল, সময়সাপেক্ষ ও ক্লান্তিকর। সাইবার নিরাপত্তা বিশেষজ্ঞদের কাছে বিষয়টি সিকিউরিটি বাই এগজশন নামে পরিচিত ছিল। অর্থাৎ প্রক্রিয়াটি এত বেশি শ্রমসাধ্য ছিল যে হ্যাকারদের পক্ষে বাস্তব আক্রমণ চালানো লাভজনক মনে হয়নি। কিন্তু মানুষের জন্য যা ছিল মাসের পর মাসের জটিল কোডিং, এআই তা মাত্র দুই দিনেই বের করে ফেলে হামলার পথ তৈরি করেছে।
ফিল্ডওয়ার্ক এআইয়ের প্রধান নির্বাহী নিক রজার্স বলেন, ‘সাইবার জগতের এই দুর্বলতাকে তাত্ত্বিক পর্যায় থেকে বাস্তবে রূপ দেয়া মানুষের জন্য ছিল অত্যন্ত একঘেয়ে ও যান্ত্রিক কাজ। কিন্তু কৃত্রিম বুদ্ধিমত্তা ক্লান্ত হয় না। মানুষ বসে কফি খেতে খেতেই পুরো কাজটি এআইকে দিয়ে করিয়ে নিতে পারছে।’
যেভাবে সাইবার হামলার সুযোগ তৈরি হল
বিশেষজ্ঞরা জানান, পিএইচপির এই ত্রুটির কারণে সার্ভারের মেমোরি ফুরিয়ে ক্র্যাশ করলে ব্যাকএন্ডে কিছু পুরোনো তথ্য থেকে যায়। এই তথ্য ব্যবহার করে আক্রমণকারীরা সিস্টেমে ক্ষতিকর কোড ঢুকিয়ে দিতে পারে। ইউনিভার্সিটি অব নিউ সাউথ ওয়েলসের সাইবার নিরাপত্তা বিশেষজ্ঞ রাহাত মাসুদ বার্তা সংস্থা এএফপিকে বলেন, ‘এই দুর্বলতার ফলে আক্রমণকারীরা কোনো ইউজারনেম বা পাসওয়ার্ড ছাড়াই সার্ভারে ঢুকতে পারবে। একবার সার্ভারের নিয়ন্ত্রণ পেলে তারা সংবেদনশীল তথ্য চুরি থেকে শুরু করে ওয়েবসাইটের আধেয় বদলে ফেলাসহ যেকোনো ক্ষতি করতে পারে।’
বিশ্বজুড়ে ওয়েবসাইটের সেবা বন্ধ
সমস্যাটি সমাধানের জন্য পিএইচপি কর্তৃপক্ষ দ্রুত একটি নিরাপত্তা প্যাচ বা হালনাগাদ সংস্করণ প্রকাশ করে। তবে প্যাচ প্রকাশের ঠিক আগেই ত্রুটির বিস্তারিত তথ্য অনলাইনে ফাঁস হয়ে যায়। সঙ্গে সঙ্গে মার্কিন ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) বিভিন্ন সংস্থাকে অবিলম্বে ওয়েবসাইট হালনাগাদ করার অথবা ঝুঁকিপূর্ণ ব্যবস্থাগুলো ইন্টারনেট থেকে পুরোপুরি বিচ্ছিন্ন রাখার নির্দেশ দেয়। চীন ও ইউরোপীয় ইউনিয়নের পক্ষ থেকেও একই বার্তা দেয়া হয়। পিএইচপি ফাউন্ডেশনের প্রকৌশলী ফলকার ডুশ পরিস্থিতিটিকে ২০১৪ সালের আলোচিত হার্টব্লিড সংকটের সঙ্গে তুলনা করেন। নিরাপত্তার স্বার্থে অস্ট্রেলিয়া, ফিনল্যান্ড, নেদারল্যান্ডস ও যুক্তরাজ্যের বিভিন্ন সরকারি সংস্থার পোর্টাল এবং সংবাদমাধ্যম তাদের অনলাইন সেবা বন্ধ রাখে। অনলাইন বিশ্বকোষ উইকিপিডিয়া কর্তৃপক্ষও সেবা সাময়িক ব্যাহত হওয়ার বিষয়ে ব্যবহারকারীদের সতর্ক করেছে।
ঝুঁকি কি পুরোপুরি কেটে গেছে?
সফটওয়্যার হালনাগাদ এলেও হামলার ঝুঁকি এখনো কাটেনি। নিরাপত্তা প্রতিষ্ঠান ক্লাউডফেয়ার জানায়, প্যাচ প্রকাশের আগেই অনলাইনে হাজার হাজার হ্যাকিংয়ের চেষ্টা চালানো হয়। সাইবার নিরাপত্তা প্রতিষ্ঠান ক্রাউডস্ট্রাইকের কর্মকর্তা অ্যাডাম মেয়ার্স বলেন, ‘হ্যাকারদের আগে থেকে ত্রুটি বের করতে হয় না; তথ্য জানার পরপরই তারা সেটিকে হামলার হাতিয়ার বানাতে পারে।’ বিশেষজ্ঞরা সতর্ক করে বলছেন, বিশ্বজুড়ে লাখ লাখ ওয়েবসাইটে এখনো পিএইচপির পুরোনো সংস্করণ চলছে। এগুলো দ্রুত হালনাগাদ না করা হলে যে কেউ সহজে সাইবার হামলার শিকার হতে পারে।
—এফপি ও সিএনএনের প্রতিবেদনে অবলম্বনে
