ইন্টারনেটের অন্যতম গুরুত্বপূর্ণ প্রোগ্রামিং ভাষা পিএইচপি (PHP)-এর একটি গুরুতর নিরাপত্তা ত্রুটি প্রায় ২২ বছর ধরে অমীমাংসিত ছিল। মানুষের পক্ষে ত্রুটিটি কাজে লাগানোর উপায় বের করা ছিল অত্যন্ত জটিল ও সময়সাপেক্ষ। কিন্তু কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে মাত্র দুই দিনের মধ্যে সেটিকে কাজে লাগানোর পদ্ধতি শনাক্ত করেছেন গবেষকেরা। এতে বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হয়েছে।
পিএইচপি এমন একটি প্রোগ্রামিং ভাষা, যা বিশ্বের বিপুলসংখ্যক ওয়েবসাইট পরিচালনায় ব্যবহৃত হয়। এতে থাকা নিরাপত্তা ত্রুটিটি কাজে লাগিয়ে হ্যাকাররা পাসওয়ার্ড পড়তে, ডেটাবেজের তথ্য চুরি করতে কিংবা পুরো ওয়েবসাইটের নিয়ন্ত্রণ নিতে পারতেন।
২০০৪ সালের জুলাইয়ে নিরাপত্তা গবেষক স্টেফান এসার প্রথম এ ধরনের একটি গুরুতর ত্রুটি সম্পর্কে সতর্ক করেছিলেন। তবে তাঁর সতর্কতা দীর্ঘদিন কার্যত উপেক্ষিত ছিল। ২০২০ সালে আরেক গবেষক সংশ্লিষ্ট একটি সমস্যা শনাক্ত করলে পিএইচপি রক্ষণাবেক্ষণের দায়িত্বে থাকা ব্যক্তিরা আংশিক সমাধান দেন। ২০২৪ সালেও একই ধরনের আরেকটি নিরাপত্তা দুর্বলতা শনাক্ত হয়েছিল, কিন্তু সেটি ঠিক করা হয়নি।
এত গুরুত্বপূর্ণ একটি নিরাপত্তা সমস্যা দুই দশকের বেশি সময় ধরে কেন অমীমাংসিত ছিল, তার প্রধান কারণ ছিল ত্রুটিটি কাজে লাগানোর পদ্ধতি বের করার জটিলতা। এ জন্য দীর্ঘ সময় ধরে একঘেয়ে ও সূক্ষ্ম কোড বিশ্লেষণ করতে হতো। ফলে তাত্ত্বিকভাবে ঝুঁকি থাকলেও বাস্তবে সেটিকে কাজে লাগানো ছিল অত্যন্ত কঠিন।
কিন্তু এআই সেই বাধা দূর করে দিয়েছে।
আসুন জেনে নেই পবিত্র কাবার গিলাপের অজানা ইতিহাসপ্রতিবেদন অনুযায়ী, গত ৩০ জুলাই এআই নিরাপত্তা প্রতিষ্ঠান ক্যালিফের গবেষকেরা ওপেনএআইয়ের নতুন ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের সঙ্গে যুক্ত হয়ে পিএইচপির নিরাপত্তা পরীক্ষা শুরু করেন। তাঁরা একটি বৃহৎ ভাষাভিত্তিক এআই মডেল ব্যবহার করে সম্ভাব্য দুর্বলতা খুঁজছিলেন। শুরুতে বড় কোনো নিরাপত্তা ত্রুটি পাওয়ার প্রত্যাশা ছিল না তাঁদের।
তবে ১ আগস্টের মধ্যে গবেষকেরা পিএইচপির দুর্বলতা কাজে লাগানোর একটি পদ্ধতি খুঁজে পান। পরবর্তী কয়েক দিনের মধ্যে আরও একটি পদ্ধতি শনাক্ত হয়। পরে একই মাসে গুগল-সমর্থিত সাইবার নিরাপত্তা প্রতিষ্ঠান উইজও পিএইচপির কয়েকটি নিরাপত্তা ত্রুটি কাজে লাগানোর নতুন পদ্ধতি খুঁজে পায়।
বুধবার এসব ত্রুটির সমাধান প্রকাশ করা হয়। একই সঙ্গে গবেষণার ফলাফলও জনসমক্ষে আনা হয়। উইজের মতে, এটি সফটওয়্যারের ইতিহাসে অন্যতম গুরুতর নিরাপত্তা দুর্বলতা।
যুক্তরাষ্ট্রের কার্নেগি মেলন বিশ্ববিদ্যালয়ের কম্পিউটার প্রকৌশল বিভাগের অধ্যাপক ভায়াস সেকার বলেন, এআই খুব দ্রুত মানুষের চেয়েও কার্যকরভাবে এ ধরনের কাজ করতে পারে—এ বিষয়ে সাইবার নিরাপত্তা খাত দীর্ঘদিন ধরে সতর্ক করে আসছে। তাঁর মতে, এটি এমন অনেক ঘটনার প্রথম হতে পারে এবং নিরাপত্তাব্যবস্থার জন্য একটি বড় সতর্কবার্তা।
সেকার মনে করেন, পিএইচপির মতো আরও অনেক সফটওয়্যারে একই ধরনের নিরাপত্তা দুর্বলতা রয়েছে। এর কিছু সম্পর্কে জানা গেলেও অনেকগুলো এখনো অজানা।
এআই সহজলভ্য হওয়ায় বাড়ছে সাইবার হামলার আশঙ্কা
সাইবার নিরাপত্তা বিশেষজ্ঞদের উদ্বেগের অন্যতম কারণ হলো, এ ধরনের আক্রমণ পরিচালনার জন্য এখন আর বিশেষায়িত এআই মডেল থাকা জরুরি নয়। ক্যালিফের গবেষক রায়ান অস্টিন তাঁর ব্লগে জানিয়েছেন, তাঁদের গবেষণায় সাধারণ মানুষের জন্য সহজলভ্য এআই মডেল ব্যবহার করা হয়েছিল।
অর্থাৎ, এআইয়ের মাধ্যমে নিরাপত্তা ত্রুটি শনাক্ত ও কাজে লাগানোর সক্ষমতা শুধু বড় প্রযুক্তিপ্রতিষ্ঠান বা বিশেষজ্ঞদের মধ্যে সীমাবদ্ধ থাকছে না। সাইবার অপরাধীরাও একই ধরনের প্রযুক্তি ব্যবহার করতে পারে।
এআই প্রতিষ্ঠান অ্যানথ্রোপিকও নিরাপত্তা নিয়ে উদ্বেগের কারণে জুন মাসে তাদের ‘মাইথোস’ মডেলটির উন্মুক্ত ব্যবহারের পরিকল্পনা স্থগিত করেছিল বলে প্রতিবেদনে উল্লেখ করা হয়েছে। মডেলটি সফটওয়্যারের নিরাপত্তা দুর্বলতা শনাক্ত এবং আক্রমণের সম্ভাব্য পথ খুঁজে বের করতে এতটাই দক্ষ ছিল যে যুক্তরাষ্ট্র সরকার এটিকে জাতীয় নিরাপত্তার জন্য হুমকি হিসেবে বিবেচনা করে।
ফিল্ডওয়ার্ক এআইয়ের প্রধান নির্বাহী নিক রজার্সের মতে, এত দিন দীর্ঘ ও ক্লান্তিকর কাজের ওপর নির্ভর করে যেসব নিরাপত্তা দুর্বলতা কাজে লাগানো থেকে অপরাধীদের বিরত রাখা যেত, এআইয়ের কারণে সেই বাধা আর কার্যকর থাকছে না।
'যারা এপস্টেইনকে কাবার গিলাফ দিয়েছিল, তারাই মক্কাকে লক্ষ্যবস্তু করছে'কীভাবে কাজ করে পিএইচপির নিরাপত্তা ত্রুটি?
পিএইচপি মূলত ওয়েবসাইট পরিচালনার জন্য প্রয়োজনীয় নির্দেশনা কার্যকর করতে ব্যবহৃত হয়। এর নিরাপত্তা ত্রুটিটি এমন একটি পরিস্থিতি তৈরি করতে পারত, যেখানে সার্ভারের মেমোরি শেষ হয়ে যাওয়ায় সেটি বন্ধ হয়ে যেত এবং আগের কিছু তথ্য মেমোরিতে থেকে যেত। পরে সেই তথ্য কাজে লাগিয়ে সংবেদনশীল ডেটা ফাঁস করা কিংবা ক্ষতিকর কোড চালানো সম্ভব হতে পারত।
বিষয়টি বোঝাতে একটি ব্যস্ত রেস্তোরাঁর রান্নাঘরের উদাহরণ দেওয়া যায়। অতিরিক্ত জটিল অর্ডারের চাপে রাঁধুনি কাজ শেষ না করেই চলে গেলেন। রান্নাঘরে পড়ে রইল নোংরা পাত্র, কাঁচা উপকরণ ও ছড়িয়ে-ছিটিয়ে থাকা রেসিপি। এরপর নতুন রাঁধুনি এসে সেগুলো ঠিকমতো পরিষ্কার না করেই খাবার পরিবেশন করলেন। এমনকি রান্নার নির্দেশনাও গ্রাহকদের হাতে তুলে দিলেন। পিএইচপির ত্রুটির ক্ষেত্রেও সার্ভারের অপ্রত্যাশিতভাবে বন্ধ হয়ে যাওয়ার পর থেকে যাওয়া তথ্যকে কাজে লাগানোর সুযোগ তৈরি হতে পারত।
গবেষকেরা এআই ব্যবহার করে এ ধরনের দুর্বলতা কাজে লাগানোর একাধিক পদ্ধতি শনাক্ত করেন। এর একটি পদ্ধতিতে সংকুচিত ফাইলের আকার ও ফাইলটি খুলে ফেলার পর তার প্রকৃত আকার হিসাব করার মধ্যে থাকা অসামঞ্জস্য কাজে লাগানো হয়। এর ফলে ক্ষতিকর ফাইল নিরাপত্তাব্যবস্থার ফাঁক গলে প্রবেশ করে ভেতরে গিয়ে কার্যকর হওয়ার সুযোগ পেতে পারে।
অন্য পদ্ধতিতে ফাইল ও ফোল্ডারের অত্যন্ত জটিল এবং বহুস্তরবিশিষ্ট কাঠামো ব্যবহার করে পিএইচপির মেমোরির ওপর অতিরিক্ত চাপ সৃষ্টি করা হয়। এতে সার্ভারের মেমোরি শেষ হয়ে যাওয়ার মতো পরিস্থিতি তৈরি হতে পারে।
সমাধান প্রকাশ হলেও ঝুঁকি পুরোপুরি কাটেনি
পিএইচপির ত্রুটির জন্য নিরাপত্তা প্যাচ প্রকাশ করা হলেও ঝুঁকি পুরোপুরি দূর হয়েছে কি না, তা নিয়ে সংশয় রয়েছে। সাইবার নিরাপত্তা প্রতিষ্ঠান ক্রাউডস্ট্রাইকের কর্মকর্তা অ্যাডাম মেয়ার্স বলেন, এখনো পিএইচপির অনেক পুরোনো সংস্করণ ব্যবহৃত হচ্ছে। ফলে সব সিস্টেমে নিরাপত্তা প্যাচ পৌঁছেছে কি না, সেটি গুরুত্বপূর্ণ প্রশ্ন।
এ ছাড়া নিরাপত্তা প্যাচ প্রকাশের আগেই ত্রুটি সম্পর্কে তথ্য ফাঁস হওয়ার ঘটনা ঘটেছে বলে জানিয়েছে ক্লাউডফ্লেয়ার। প্রতিষ্ঠানটির তথ্য অনুযায়ী, আনুষ্ঠানিক ঘোষণার আগের কয়েক ঘণ্টায় হাজার হাজারবার ত্রুটিটি কাজে লাগানোর চেষ্টা করা হয়।
মেয়ার্স বলেন, সাইবার অপরাধীদের সব সময় নিরাপত্তা ত্রুটি প্রথমে আবিষ্কার করতে হয় না। অন্য কেউ সেটি শনাক্ত করার পরও তারা ত্রুটিটি কাজে লাগানোর চেষ্টা করতে পারে। বাস্তবে কতটা আক্রমণ ঘটেছে, তা এখনো পর্যবেক্ষণ করা হচ্ছে।
ভারত-পাকিস্তান ও শ্রীলংকার তুলনায় বাংলাদেশের ঋণের হার কমনিরাপদ কোড তৈরিতে জোর দেওয়ার পরামর্শ
নিরাপত্তা ত্রুটি মোকাবিলায় ওপেনএআইয়ের পরামর্শের মধ্যে রয়েছে শুরু থেকেই আরও নিরাপদ কোড লেখা এবং সফটওয়্যার তৈরির সময় নিরাপত্তাকে অগ্রাধিকার দেওয়া। তবে দীর্ঘদিন ধরে পিএইচপিতে তৈরি ওয়েবসাইট ও অ্যাপ্লিকেশনের ক্ষেত্রে এ পরিবর্তন সহজ নয়।
ক্রাউডস্ট্রাইকের কর্মকর্তা মেয়ার্স বলেন, পিএইচপি থেকে অন্য কোনো প্রোগ্রামিং ভাষায় পুরো ব্যবস্থা স্থানান্তর করা ব্যয়বহুল ও জটিল কাজ। এটি শুধু একটি ই-মেইল সেবা থেকে অন্যটিতে যাওয়ার মতো নয়; অনেক ক্ষেত্রে পুরো অ্যাপ্লিকেশন নতুন করে তৈরি করতে হতে পারে।
এ কারণে বিশেষজ্ঞরা শুধু পুরোনো সফটওয়্যার বদলে ফেলার বদলে নিরাপত্তা ব্যবস্থাপনায় মৌলিক পরিবর্তনের ওপর জোর দিচ্ছেন। তাঁদের মতে, প্রতিটি সফটওয়্যার ও ব্যবসায়িক কার্যক্রমকে সম্ভাব্য নিরাপত্তাঝুঁকি হিসেবে বিবেচনা করতে হবে। কোনো সফটওয়্যারের নিরাপত্তা প্যাচ কয়েক দিন পিছিয়ে দিলেও তা বড় বিপদের কারণ হতে পারে।
কনসেন্ট্রিক এআইয়ের সহপ্রতিষ্ঠাতা মধু শশাঙ্ক বলেন, প্রতিটি ব্যবসায়িক কার্যক্রমকে উচ্চ ঝুঁকির বিষয় হিসেবে বিবেচনা করা প্রয়োজন। কারণ, আগে যেসব নিরাপত্তা ত্রুটি কাজে লাগাতে দীর্ঘ সময় ও প্রচুর পরিশ্রমের প্রয়োজন হতো, এআই এখন সেই কাজ অনেক সহজ করে দিয়েছে।
বিশেষজ্ঞদের আশঙ্কা, এআইয়ের এই সক্ষমতা ভবিষ্যতে আরও বহু অজানা নিরাপত্তা দুর্বলতা সামনে নিয়ে আসবে। ফলে শুধু নতুন প্রযুক্তি ব্যবহার নয়, সফটওয়্যারের নিরাপত্তা নিয়মিত পরীক্ষা, দ্রুত প্যাচ প্রয়োগ এবং পুরোনো সংস্করণ হালনাগাদ করাও এখন আগের চেয়ে অনেক বেশি জরুরি হয়ে উঠেছে।
সূত্র: সিএনএন