পিএইচপি প্রোগ্রামিং ল্যাঙ্গুয়েজের নিরাপত্তা ত্রুটির কারণে সাময়িকভাবে বন্ধ থাকা বাংলাদেশের বেশির ভাগ ওয়েবসাইট আবার সচল হয়েছে। তবে রোববার (২৬ অক্টোবর) সন্ধ্যা ৬টা পর্যন্ত সরকারি ও বেসরকারি অর্ধশতাধিক ওয়েবসাইট ও অ্যাপ্লিকেশনে পিএইচপির পুরোনো, ঝুঁকিপূর্ণ সংস্করণ ব্যবহৃত হচ্ছে বলে শনাক্ত করেছে সরকারের সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট।
একটি সারভারের ত্রুটি দেখে মনে হতে পারে বিষয়টি নিছক কারিগরি। কিন্তু এই ত্রুটির সুযোগে যদি নাগরিকের তথ্য, জমির দলিল, ব্যাংকিং তথ্য বিদেশি কিংবা অন্য কারও হাতে চলে যায়, তাহলে সেটি আর কারিগরি সমস্যা থাকে না; তখন তা হয়ে ওঠে সার্বভৌমত্বের প্রশ্ন। রাষ্ট্র যে তথ্য রক্ষার দায় নিয়েছে, সেই তথ্যের নিরাপত্তা নিশ্চিত করা রাষ্ট্রেরই দায়িত্ব।
কী ঘটেছে
বিজিডি ই-গভ সার্ট রোববার জরুরি সতর্কবার্তা জারি করে জানিয়েছে, সংস্থার সাইবার থ্রেট ইন্টেলিজেন্স (সিটিআই) ইউনিটের নিয়মিত নজরদারিতে সরকারি, জনখাত ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের একাধিক ওয়েব অ্যাপ্লিকেশনে নিরাপত্তা ঝুঁকি শনাক্ত হয়েছে। এসব অ্যাপ্লিকেশনে পিএইচপির পুরোনো, সম্ভাব্য ঝুঁকিপূর্ণ কিংবা মেয়াদোত্তীর্ণ সংস্করণ ব্যবহার করা হচ্ছে।
তথ্যপ্রযুক্তি বিভাগের একটি সূত্র প্রথম আলোকে জানিয়েছে, রোববার সন্ধ্যা ৬টা পর্যন্ত সরকারি ও বেসরকারি প্রতিষ্ঠানের ৫০টির বেশি ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে পিএইচপির ত্রুটিপূর্ণ পুরোনো সংস্করণ ব্যবহারের তথ্য পাওয়া গেছে। সংখ্যাটি আরও বাড়তে পারে।
সতর্কবার্তায় আরও বলা হয়েছে, আগে অবহিত করার পরও সংশ্লিষ্ট বেশ কিছু প্রতিষ্ঠান নিরাপত্তা হালনাগাদ করেছে কি না তা নিশ্চিত করেনি। কেউ কেউ কোনো জবাবই দেয়নি। ফলে এসব ওয়েবসেবা সাইবার হামলা ও অননুমোদিত প্রবেশের উচ্চ ঝুঁকিতে রয়েছে।
সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার বলেন, আগের সতর্কবার্তার পরও নজরদারিতে দেখা গেছে অনেক প্রতিষ্ঠান পিএইচপির সংস্করণ হালনাগাদ করেনি; কোনো কোনো প্রতিষ্ঠানের ওয়েবসাইটে আরও পুরোনো সংস্করণ রয়ে গেছে। সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নতুন করে সতর্ক করে সর্বশেষ সংস্করণে যাওয়ার পরামর্শ দেওয়া হয়েছে।
ব্যাংক ও ভূমিসেবা: বন্ধ ছিল যেসব প্ল্যাটফর্ম
বিশ্বজুড়ে পিএইচপির নিরাপত্তা ত্রুটির বিষয়টি সামনে আসার পর গত বৃহস্পতিবার নিজেদের ওয়েবসাইট বন্ধ করে দেয় বাংলাদেশ ব্যাংক। এরপর অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকসহ আরও কয়েকটি ব্যাংক সতর্কতামূলক ব্যবস্থা হিসেবে ওয়েবসাইট বন্ধ রাখে। ডিজিটাল ভূমিসেবার ওয়েবসাইটও বন্ধ ছিল। বাংলাদেশ ব্যাংক জানিয়েছিল, ব্যাংকিং সেবায় এতে কোনো প্রভাব পড়েনি।
নিরাপত্তা যাচাইয়ের পর রোববার বেশির ভাগ ওয়েবসাইট আবার চালু হয়েছে। দুপুরের দিকে সচল হয় জনতা ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট, প্রায় একই সময়ে স্বাভাবিক হয় ডিজিটাল ভূমিসেবার ওয়েবসাইটও। তবে সন্ধ্যা ৬টা ৫১ মিনিটেও বন্ধ পাওয়া যায় বাংলাদেশ ব্যাংকের নিয়োগসংক্রান্ত ওয়েবসাইট erecruitment.bb.org.bd; সেখানে রক্ষণাবেক্ষণ চলছে বলে বার্তা দেওয়া হচ্ছিল।
ঝুঁকি কতটা গভীর, কোন সার্ভার বিপদে
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তি অনুযায়ী, ঢাকা মেইল জানিয়েছে, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিড ভিত্তিক সার্ভার এই ঝুঁকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে। ক্যাম্পাস টাইমসের প্রতিবেদন অনুযায়ী, ওয়েবসাইট নির্মাণে বহুল ব্যবহৃত পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে।
বিশ্লেষকরা বলছেন, পিএইচপির নিরাপত্তা ত্রুটিকে হালকাভাবে নেওয়ার সুযোগ নেই; আবার যাচাই ছাড়া কোনো প্রতিষ্ঠানকে আক্রান্ত ঘোষণা করাও ঠিক হবে না, এমন সতর্কবার্তা দিয়েছে বাংলা ট্রিবিউন। কোনো সার্ভার ঝুঁকিতে আছে কি না, তা নির্ভর করে ব্যবহৃত সফটওয়্যার সংস্করণ, নিরাপত্তা হালনাগাদ এবং সার্ভারের বিন্যাসের ওপর।
কেন সরকারি ওয়েবসাইটের ঝুঁকি বেশি গুরুত্বপূর্ণ
সার্টের কর্মকর্তারা বলছেন, সরকারি ওয়েবসাইটের ক্ষেত্রে এই ঝুঁকি বিশেষভাবে গুরুত্বপূর্ণ। কারণ সরকারি ডিজিটাল প্ল্যাটফর্মে নাগরিকদের ব্যক্তিগত তথ্য ও গুরুত্বপূর্ণ নথি সংরক্ষিত থাকতে পারে। এসব ব্যবস্থার নিয়ন্ত্রণ অন্যদের হাতে গেলে তথ্যের গোপনীয়তা ও অখণ্ডতা ক্ষতিগ্রস্ত হতে পারে।
১৯৭১ সালে আমরা রক্ত দিয়ে অর্জন করেছিলাম আমাদের নিজের ভূমি, নিজের তথ্য, নিজের রাষ্ট্র পরিচালনার অধিকার। আজ সেই রাষ্ট্রের নাগরিকতথ্য যদি উদাসীনতার কারণে অন্যের নিয়ন্ত্রণে চলে যায়, তবে সেটি কমবেশি সেই স্বাধীনতারই অবমূল্যায়ন। ডিজিটাল যুগে দেশের সীমানা আর মাত্র নদী ও সীমান্তপিলারে নয়; সেই সীমানা রক্ষার দায় এখন সার্ভাররুম থেকেও নিতে হয়।
করণীয় কী
বিজিডি ই-গভ সার্ট সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে ইন্টারনেট থেকে ব্যবহার করা যায় এমন সব ওয়েব অ্যাপ্লিকেশন, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে পিএইচপির কোন সংস্করণ ব্যবহৃত হচ্ছে তা যাচাই করতে বলেছে। ঝুঁকিপূর্ণ সংস্করণগুলো নিরাপত্তা ত্রুটি সংশোধন করা হয়েছে এমন সংস্করণে উন্নীত করতে হবে। যেসব সংস্করণে নির্মাতা প্রতিষ্ঠান আর নিরাপত্তা হালনাগাদ দেয় না, সেগুলোর জায়গায় সমর্থিত সংস্করণ ব্যবহার করতে হবে।
যেসব ক্ষেত্রে তাৎক্ষণিকভাবে হালনাগাদ সম্ভব নয়, সেখানে সাময়িকভাবে ওয়েবসেবায় প্রবেশের সুযোগ সীমিত করতে হবে। প্রয়োজনে ভার্চ্যুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন) ব্যবহার, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি দেওয়া কিংবা অপ্রয়োজনীয় উন্মুক্ত প্রবেশাধিকার বন্ধ রাখার কথা বলা হয়েছে। সংস্থাটি স্পষ্ট করে বলেছে, প্রবেশাধিকার সীমিত করলে ঝুঁকি কিছুটা কমতে পারে, তবে এটি প্রয়োজনীয় নিরাপত্তা হালনাগাদের বিকল্প নয়। তৃতীয় পক্ষের মাধ্যমে পরিচালিত হলেও ওয়েব অ্যাপ্লিকেশন ও অবকাঠামোর নিরাপত্তা নিশ্চিত করার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানেরই।
প্রশ্নোত্তর
পিএইচপির ত্রুটিতে বাংলাদেশে কয়টি ওয়েবসাইট ঝুঁকিতে ছিল?
রোববার সন্ধ্যা ৬টা পর্যন্ত সরকারি ও বেসরকারি প্রতিষ্ঠানের ৫০টির বেশি ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে পিএইচপির ত্রুটিপূর্ণ পুরোনো সংস্করণ ব্যবহারের তথ্য পাওয়া গেছে, সংখ্যাটি আরও বাড়তে পারে বলে তথ্যপ্রযুক্তি বিভাগের একটি সূত্র জানিয়েছে।
কোন কোন ব্যাংক ওয়েবসাইট বন্ধ রেখেছিল?
বাংলাদেশ ব্যাংকের পর অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকসহ আরও কয়েকটি ব্যাংক সতর্কতামূলক ব্যবস্থা হিসেবে নিজেদের ওয়েবসাইট বন্ধ রাখে।
সাধারণ প্রতিষ্ঠানের এখন করণীয় কী?
বিজিডি ই-গভ সার্টের পরামর্শ হলো সব ওয়েব অ্যাপ্লিকেশন, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে পিএইচপির সংস্করণ যাচাই করা এবং নিরাপত্তা ত্রুটি সংশোধন করা সংস্করণে উন্নীত হওয়া; তাৎক্ষণিকভাবে সম্ভব না হলে প্রবেশাধিকার সীমিত করা।