সরকারি ও বেসরকারি প্রতিষ্ঠানের সাইটেও সাইবার হামলার আশঙ্কা

পিএইচপি সফটওয়্যারের নতুন নিরাপত্তা দুর্বলতা ঘিরে বাংলাদেশের পাঁচ শতাধিক ওয়েবসাইট ও অ্যাপ্লিকেশনের নিরাপত্তা নিয়ে উদ্বেগ দেখা দিয়েছে। ঝুঁকির তালিকায় রয়েছে সরকারি ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট। পুরোনো সংস্করণ ব্যবহার এবং নিরাপত্তা হালনাগাদ না করায় এসব সাইট সম্ভাব্য সাইবার হামলার ঝুঁকিতে রয়েছে বলে সতর্ক করেছে সরকারের সাইবার নিরাপত্তা সংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।

সংশ্লিষ্ট সূত্রের তথ্য অনুযায়ী, পাঁচ শতাধিক ওয়েবসাইট ও অ্যাপে পিএইচপির পুরোনো সংস্করণ এখনো চালু রয়েছে। এর আগে সতর্ক করা হলেও অনেক প্রতিষ্ঠান সফটওয়্যার হালনাগাদ করেনি। ফলে দেশের অনলাইন সেবা ও ডিজিটাল অবকাঠামোর নিরাপত্তা নিয়ে নতুন করে প্রশ্ন উঠেছে।

পিএইচপি একটি বহুল ব্যবহৃত প্রোগ্রামিং ভাষা, যা মূলত ওয়েবসাইটের ব্যাকএন্ড বা সার্ভার-সংশ্লিষ্ট কার্যক্রম পরিচালনায় ব্যবহৃত হয়। বিশ্বের বিপুলসংখ্যক ওয়েবসাইট এই প্রযুক্তির ওপর নির্ভরশীল। ফলে এতে নিরাপত্তা দুর্বলতা দেখা দিলে অনেক ওয়েবসাইট একসঙ্গে ঝুঁকির মুখে পড়তে পারে।

সম্প্রতি কৃত্রিম বুদ্ধিমত্তার সহায়তায় পিএইচপির দুটি নিরাপত্তা ত্রুটি শনাক্ত করেন যুক্তরাষ্ট্রভিত্তিক সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা। এর পরিপ্রেক্ষিতে গত ২১ অক্টোবর পিএইচপি উন্নয়নকারী দল জরুরি নিরাপত্তা হালনাগাদ প্রকাশ করে। ওই আপডেটে গুরুতর দুটি দুর্বলতা সংশোধন করা হয়। পরে ২৩ অক্টোবর আরও একটি ত্রুটি শনাক্ত হওয়ার তথ্য জানায় পিএইচপি কর্তৃপক্ষ।

নতুন শনাক্ত হওয়া দুর্বলতাটি পিএইচপির সেশন ব্যবস্থাপনা এবং ফাইল আপলোডের অগ্রগতি পর্যবেক্ষণ-সংক্রান্ত একটি সুবিধার সঙ্গে যুক্ত। সাইবার নিরাপত্তা বিশেষজ্ঞদের আশঙ্কা, এই ত্রুটির সুযোগ নিয়ে আক্রমণকারীরা সার্ভারে অননুমোদিত নির্দেশনা কার্যকর করতে পারে।

নিরাপত্তা সংশোধন না আসা পর্যন্ত সতর্ক থাকার পরামর্শ

নতুন ত্রুটি নিয়ে গতকাল সতর্কতা জারি করেছে বিজিডি ই-গভ সার্ট। সংস্থাটির বিজ্ঞপ্তিতে বলা হয়েছে, এই দুর্বলতার জন্য এখনো নির্দিষ্ট নিরাপত্তা সংশোধনী প্রকাশ করা হয়নি। কোন কোন সংস্করণ এতে আক্রান্ত এবং ঝুঁকির প্রকৃত মাত্রা কতটা, সেটিও চূড়ান্তভাবে নির্ধারণ করা যায়নি।

এ অবস্থায় সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে পিএইচপির ‘সেশন আপলোড প্রগ্রেস’ সুবিধা সাময়িকভাবে বন্ধ রাখা, প্রয়োজনীয় সার্ভিস পুনরায় চালু করা, সফটওয়্যারের কনফিগারেশন যাচাই করা এবং সার্ভারে অস্বাভাবিক কার্যক্রম পর্যবেক্ষণের পরামর্শ দেওয়া হয়েছে।

ঝুঁকির তালিকায় সরকারি গুরুত্বপূর্ণ ওয়েবসাইটও

পিএইচপির আগের দুটি গুরুতর নিরাপত্তা ত্রুটি প্রকাশের পর আন্তর্জাতিক পর্যায়ে সাইবার নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছিল। বাংলাদেশেও সতর্কতামূলক পদক্ষেপ হিসেবে কিছু ওয়েবসাইট বন্ধ রাখা হয়, পরে সেগুলো আবার চালু করা হয়।

সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের পর্যবেক্ষণে দেশের পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিপূর্ণ হিসেবে চিহ্নিত হয়েছে। এসব সাইটের বড় অংশ বেসরকারি প্রতিষ্ঠানের হলেও আর্থিক খাতের ওয়েবসাইট এবং জনসাধারণের জন্য গুরুত্বপূর্ণ সরকারি সেবাও রয়েছে বলে জানা গেছে।

এ বিষয়ে সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার বলেন, সংশ্লিষ্ট ওয়েবসাইটগুলো হালনাগাদ করা হলে ঝুঁকি কমানো সম্ভব হবে। তবে এখন পর্যন্ত শনাক্ত হওয়া সাইটের সংখ্যা উদ্বেগজনক।

সতর্কতা পেয়েও কেন হালনাগাদ হচ্ছে না

সার্টের একাধিক কর্মকর্তার ভাষ্য অনুযায়ী, বিভিন্ন সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইটে এখনো পিএইচপির পুরোনো ও নিরাপত্তার দিক থেকে ঝুঁকিপূর্ণ সংস্করণ ব্যবহার করা হচ্ছে। সতর্কবার্তা পাওয়ার পরও অনেক প্রতিষ্ঠান নিরাপত্তা ত্রুটি সংশোধনের বিষয়ে কার্যকর পদক্ষেপ নেওয়ার নিশ্চয়তা দেয়নি।

এর ফলে নাগরিকদের ব্যক্তিগত ও গুরুত্বপূর্ণ তথ্য চুরি, সার্ভারে অননুমোদিত প্রবেশ এবং অন্যান্য সাইবার হামলার আশঙ্কা তৈরি হয়েছে।

একটি বেসরকারি হোস্টিং প্রতিষ্ঠানের প্রধান প্রযুক্তি কর্মকর্তা জুনায়েদ মিয়াজী মনে করেন, অনেকেই ওয়েবসাইট চালু থাকাকে সেটির নিরাপদ থাকার প্রমাণ হিসেবে বিবেচনা করেন। এ কারণে সফটওয়্যার নিয়মিত হালনাগাদ করা এবং নিরাপত্তা দুর্বলতা দূর করার বিষয়টি অবহেলিত হয়। অথচ ওয়েবসাইটের নিরাপত্তা বজায় রাখতে নিয়মিত আপডেট অত্যন্ত গুরুত্বপূর্ণ।

সাইবার নিরাপত্তার দায়িত্ব ও তদারকি নিয়ে প্রশ্ন

বাংলাদেশের ডিজিটাল অবকাঠামো সুরক্ষায় জাতীয় সাইবার সুরক্ষা এজেন্সি এবং বাংলাদেশ কম্পিউটার কাউন্সিলের অধীন বিজিডি ই-গভ সার্ট গুরুত্বপূর্ণ ভূমিকা পালন করে। সাইবার হুমকি শনাক্ত করা, সম্ভাব্য দুর্বলতা চিহ্নিত করা এবং সংশ্লিষ্ট প্রতিষ্ঠানকে সতর্ক করার কাজ করে সার্ট।

তবে সতর্কবার্তা দেওয়ার পর প্রতিষ্ঠানগুলো কত দ্রুত দুর্বলতা সংশোধন করছে, কিংবা নির্ধারিত নিরাপত্তাবিধি মেনে চলছে কি না, তা নিশ্চিত করার ব্যবস্থার কার্যকারিতা নিয়ে প্রশ্ন রয়েছে।

তথ্যপ্রযুক্তি বিশেষজ্ঞ সুমন আহমেদ সাবিরের মতে, ওয়েবসাইটের নিরাপত্তা নিশ্চিত করার প্রাথমিক দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের। কিন্তু দায়িত্ব নির্ধারণের পাশাপাশি প্রতিষ্ঠানগুলো যথাযথভাবে নিরাপত্তাব্যবস্থা অনুসরণ করছে কি না, সেটিও নিয়মিত যাচাই করা প্রয়োজন।

তিনি আরও মনে করেন, জাতীয় পর্যায়ে সাইবার নিরাপত্তার সুস্পষ্ট মানদণ্ড নির্ধারণ, তা বাস্তবায়ন এবং প্রতিষ্ঠানগুলো সেই মানদণ্ড মেনে চলছে কি না, তা পর্যবেক্ষণের জন্য কার্যকর কাঠামো গড়ে তোলা জরুরি।

দেশের পাঁচ শতাধিক ওয়েবসাইটের ঝুঁকির বিষয়টি আবারও দেখিয়ে দিয়েছে, শুধু সাইবার হামলার সতর্কবার্তা জারি করাই যথেষ্ট নয়। নিয়মিত সফটওয়্যার হালনাগাদ, দ্রুত নিরাপত্তা ত্রুটি সংশোধন এবং কার্যকর তদারকির সমন্বয়েই ডিজিটাল সেবাগুলোকে নিরাপদ রাখা সম্ভব।