গাড়ির জানালায় লাগানো স্টিকারগুলো আসলে নিরুৎসাহিত করার জন্য। "এই গাড়িটি অ্যালার্ম দ্বারা সুরক্ষিত"—এর উদ্দেশ্য হলো চোরকে রাস্তার একটু দূরে আরও সহজ লক্ষ্য খুঁজতে বাধ্য করা। তাই UC San Diego-এর নিরাপত্তা গবেষকেরা একটি নির্দিষ্ট স্টিকার সম্পর্কে যে তথ্য প্রকাশ করেছেন, তাতে তিক্ত পরিহাস রয়েছে: চালকের পাশের জানালায় লাগানো "KARR" লেখা ডিক্যালটি একটি জনপ্রিয় আফটারমার্কেট অ্যালার্ম সিস্টেমের উপস্থিতি নির্দেশ করে, যা গবেষকদের অনুমান অনুযায়ী যুক্তরাষ্ট্রে 2 মিলিয়নেরও বেশি গাড়িতে ইনস্টল করা আছে।
তাদের অনুসন্ধান অনুযায়ী, KARR-সজ্জিত গাড়ির Bluetooth-এর আওতার মধ্যে থাকা যে কেউ কোনো ধরনের পরিচয় যাচাই ছাড়াই সেটিকে কমান্ড পাঠাতে পারে—নীরবে দরজা খুলে দেওয়া, অ্যালার্ম বন্ধ করা, হর্ন বাজানো, লাইট জ্বালানো, এমনকি ইগনিশন নিষ্ক্রিয় করে চালককে গাড়ি নিয়ে বিপাকে ফেলা সম্ভব। গাড়িকে সুরক্ষিত রাখার কথা যে ফিচারগুলোর, এই গবেষণা অনুযায়ী সেগুলোই পার্কিং লটে দাঁড়িয়ে থাকা কোনো অপরিচিত ব্যক্তির হাতে গাড়িটির সঙ্গে করার কাজের একটি তালিকা।
বাস্তবে এই ত্রুটির অর্থ কী
সাধারণ "আমার পাসওয়ার্ড ফাঁস হয়েছে" ধরনের ঘটনার সঙ্গে এর পার্থক্য কয়েকটি বিষয়ে স্পষ্ট:
- চুরি করার মতো কোনো পাসওয়ার্ড নেই। এটি দুর্বল পরিচয়পত্র বা পুনর্ব্যবহৃত লগইনের ঘটনা নয়। গবেষকেরা বর্ণনা করেছেন, কীভাবে তারা সরাসরি Bluetooth-এর মাধ্যমে অ্যালার্ম ইউনিটে কমান্ড পাঠাতে পেরেছেন—একটি সুপরিকল্পিত সিস্টেমে যে কাজের আগে পেয়ারিং ও প্রমাণীকরণ প্রয়োজন হওয়ার কথা।
- শুধু কাছাকাছি থাকাই যথেষ্ট। Bluetooth-এর পরিসর কম—বাস্তবে মাইলের পর মাইল নয়, কয়েক দশ মিটারের ব্যাপার—তবু এর অর্থ হলো "পার্কিং লট, ড্রাইভওয়ে বা রাস্তায় আপনার গাড়ির পাশে দাঁড়িয়ে থাকা যে কেউ", পৃথিবীর অন্য প্রান্তের কোনো দূরবর্তী হ্যাকার নয়। এতে ব্যাপক মাত্রায় দূরবর্তী আক্রমণের সুযোগ সীমিত হলেও হঠাৎ করা দুষ্টুমির বাধা কমে যায়।
- এটি শুধু "দরজা খুলে দেওয়া"র মধ্যে সীমাবদ্ধ নয়। ইগনিশন নিষ্ক্রিয় করার বিষয়টি বিশেষভাবে ভাবার মতো। কোনো অপ্রমাণীকৃত অপরিচিত ব্যক্তি নির্দেশ দিলেই যে অ্যালার্ম সিস্টেম আপনার গাড়ি চালু হতে বাধা দিতে পারে, সেটি নিরাপত্তা-পণ্যের ছদ্মবেশে থাকা একটি ডিনায়াল-অফ-সার্ভিস ডিভাইস।
প্রোটোকল-স্তরের ত্রুটির পূর্ণ প্রযুক্তিগত বিবরণ আমাদের সামনে নেই, আর গবেষকদের আনুষ্ঠানিক পেপারটিও এখনো সর্বসাধারণের জন্য প্রকাশিত হয়েছে বলে মনে হয় না। তাই ঠিক কোন Bluetooth পেয়ারিং ধাপটি এড়িয়ে যাওয়া হচ্ছে—এ ধরনের নির্দিষ্ট বিষয় আমরা নিজেরা যাচাই করতে পারছি না। এই লেখাটিকে আপনার ঝুঁকি যাচাই ও সমাধান খুঁজে বের করার নির্দেশিকা হিসেবে দেখুন, পরবর্তী পূর্ণাঙ্গ প্রকাশের বিকল্প হিসেবে নয়।
এটি আপনার গাড়ির ক্ষেত্রে প্রযোজ্য কি না কীভাবে যাচাই করবেন
KARR একটি আফটারমার্কেট পণ্য, অর্থাৎ গাড়ি কারখানা থেকে বের হওয়ার পর এটি ইনস্টল করা হয়—সাধারণত ডিলারের অতিরিক্ত প্যাকেজ, কোনো অটো শপ, অথবা আগের মালিকের মাধ্যমে। ফলে "আক্রান্ত মডেলগুলোর" কোনো একক তালিকা নেই; বিষয়টি হলো কোন গাড়িতে কোন অ্যালার্ম বক্স বসানো হয়েছে, গাড়ির ব্র্যান্ড যা-ই হোক। যাচাই করার কয়েকটি উপায়:
- চালকের পাশের জানালাটি দেখুন। গবেষকেরা উল্লেখ করেছেন, দৃশ্যমান "KARR" ডিক্যাল সিস্টেমটি ইনস্টল করা থাকার সাধারণ লক্ষণ—চালক ও সামনের যাত্রীর জানালার নিচের কোণটি দেখুন, যেখানে ইনস্টলাররা সাধারণত অ্যালার্ম ও নিরাপত্তা স্টিকার লাগান।
- ড্যাশের নিচে দেখুন। আপনি যদি ব্যবহৃত গাড়ি কিনে থাকেন বা উত্তরাধিকারসূত্রে পেয়ে থাকেন এবং অ্যালার্ম ইনস্টল করার কথা মনে না থাকে, তাহলে স্টিয়ারিং কলাম বা ড্যাশবোর্ডের কাছে জ্বলতে থাকা LED (অ্যালার্ম "সক্রিয়" থাকার সাধারণ নির্দেশক), সঙ্গে এমন একটি ফব যা আপনি ডিলারের কাছ থেকে পাননি—এসব আফটারমার্কেট সিস্টেম থাকার ইঙ্গিত।
- কাগজপত্র দেখুন অথবা বিক্রেতা/ইনস্টলারকে জিজ্ঞেস করুন। কোন দোকান আপনার অ্যালার্ম ইনস্টল করেছে তা জানা থাকলে, অথবা ব্যবহৃত গাড়ি কেনার সময় এটি যুক্ত হয়ে থাকলে, ব্র্যান্ড ও মডেল নিশ্চিত করার এটাই দ্রুততম উপায়।
- সন্দেহ থাকলে, স্টিকার দেখে অনুমান না করে কোনো মেকানিক বা ইনস্টলারকে এটি শনাক্ত করতে বলুন—ডিক্যাল আগের কোনো আনইনস্টল করা সিস্টেমের অবশিষ্ট চিহ্ন হতে পারে, আবার KARR-সজ্জিত প্রতিটি গাড়িতে স্টিকারটি টিকে থাকবেই এমনও নয়।
আপনার গাড়িতে এমন একটি থাকলে কী করবেন
প্রতিবেদন অনুযায়ী, গবেষকেরা একটি সমাধান নিয়ে কাজ করেছেন এবং তথ্য প্রকাশের পাশাপাশি প্যাচ প্রয়োগের প্রক্রিয়াও প্রদর্শন করেছেন—এটি আশাব্যঞ্জক লক্ষণ যে এটি এমন কোনো হার্ডওয়্যার ত্রুটি নয় যার সমাধান অসম্ভব। তবে কিছু করার আগে:
- প্রথমে নির্মাতা বা আপনার মূল ইনস্টলারের মাধ্যমে এগোন। যিনি সিস্টেমটি ইনস্টল করেছেন তার সঙ্গে, অথবা সরাসরি KARR-এর নির্মাতা/সহায়তা চ্যানেলের সঙ্গে যোগাযোগ করুন এবং এই প্রকাশিত ত্রুটি সম্পর্কে নির্দিষ্টভাবে জিজ্ঞেস করুন—আপনার ইউনিটের জন্য ফার্মওয়্যার আপডেট পাওয়া যায় কি না তাও জানতে চান। সাধারণভাবে "আমার অ্যালার্ম কি নিরাপদ?"—এমন প্রশ্নের ওপর নির্ভর করবেন না; দুর্বলতাটির নাম উল্লেখ করুন, যাতে আপনাকে এ বিষয়ে জানেন এমন কারও কাছে পাঠানো হয়।
- আপনার ইনস্টলার নন—এমন কেউ ব্যক্তিগতভাবে আপনার গাড়ির অ্যালার্ম "ঠিক করে দেওয়ার" প্রস্তাব দিলে সতর্ক থাকুন—এমনকি তার হাতে কোনো অ্যাপ থাকা সদিচ্ছাসম্পন্ন অপরিচিত ব্যক্তিও। উদ্দেশ্য ভালো হলেও, আপনার পরিচিত নন এমন কাউকে গাড়ির সিস্টেমে সংযোগ করে সেগুলো "প্যাচ" করতে দেওয়া ঠিক সেই ধরনের প্রবেশাধিকার, যা এড়ানোই এই পুরো ঘটনার মূল কথা। পরিচয় ও যোগ্যতা যাচাই করুন এবং বৈধ চ্যানেল—লাইসেন্সপ্রাপ্ত ইনস্টলার বা নির্মাতা—ব্যবহার করুন, এতে বেশি সময় লাগলেও।
- প্যাচ না পেলে, আপনার প্রকৃত ঝুঁকি বুঝে নিন। বাস্তবে এই ত্রুটির সবচেয়ে সম্ভাব্য অপব্যবহার সামান্য ধরনের—কেউ আপনার লাইট বা হর্ন নিয়ে খেলতে পারে, অথবা জানালা না ভেঙে তালা খোলা যায় কি না তা কোনো চোর পরীক্ষা করতে পারে। নিরাপত্তার দিক থেকে ইগনিশন নিষ্ক্রিয় করার ক্ষমতাটিই সবচেয়ে গুরুত্বপূর্ণ (ভাবুন, আপনি যান চলাচলের মধ্যে ঢোকার সময় এটি সক্রিয় হলো), তাই প্যাচ না পাওয়া গেলে অন্তর্বর্তী ব্যবস্থা হিসেবে ইগনিশন-কিল ফাংশনটি আলাদাভাবে নিষ্ক্রিয় বা পুনর্বিন্যস্ত করা যায় কি না, ইনস্টলারকে জিজ্ঞেস করুন।
- যে দোকানটি এটি ইনস্টল করেছিল সেটি আর ব্যবসা না করলে অথবা পণ্যটির লাইন বন্ধ হয়ে গেলে, এটিকে অন্যান্য অসমর্থিত IoT ডিভাইসের মতো বিবেচনা করুন: এটি ইনস্টল রাখা থেকে পাওয়া নিরাপত্তা-সুবিধা এখনও ঝুঁকির চেয়ে বেশি কি না ভেবে দেখুন এবং অপসারণের বিষয়ে কোনো মেকানিককে জিজ্ঞেস করুন।
বৃহত্তর শিক্ষা: "Bluetooth আছে" এবং "নিরাপদ"—এ দুটি ভিন্ন দাবি
গাড়ির অ্যালার্মের বাইরেও এটি একটি কার্যকর উদাহরণ। সুবিধার ওপর নিজেদের বাজারজাত করে এমন যেকোনো আফটারমার্কেট ডিভাইস—ফোন থেকে সক্রিয় করা যায় এমন একটি ওয়্যারলেস অ্যালার্ম, রিমোট স্টার্টার, স্মার্ট গ্যারেজ ওপেনার—সংজ্ঞা অনুযায়ী কারখানার সরঞ্জামে না থাকা একটি রেডিও ইন্টারফেস যুক্ত করেছে। সেই ইন্টারফেসের বিশ্বাসযোগ্যতা তার প্রমাণীকরণ ব্যবস্থার মতোই; আর "এটি একটি নিরাপত্তা কোম্পানির তৈরি"—প্রমাণীকরণ সঠিকভাবে করা হয়েছে, এর প্রমাণ নয়। কোনো ওয়্যারলেস অতিরিক্ত নিরাপত্তা পণ্য ইনস্টল করার (বা রেখে দেওয়ার) আগে ইনস্টলার বা নির্মাতাকে কয়েকটি সরল প্রশ্ন করা যুক্তিসঙ্গত: কমান্ড গ্রহণের আগে কি এটি পেয়ারিং/প্রমাণীকরণ চায়? ফার্মওয়্যার আপডেট পাওয়ার কোনো পদ্ধতি কি বিক্রেতা প্রকাশ করেছে? কেউ কি স্বাধীনভাবে এটি পরীক্ষা করেছে? কেউ উত্তর দিতে না পারলে, সেটি ত্রুটি থাকার প্রমাণ নয়—তবে আপনার জানালার স্টিকারটি আসলে কী প্রতিশ্রুতি দিচ্ছে, সে বিষয়ে প্রত্যাশা সীমিত রাখার কারণ বটে।
উৎস: KARR Bluetooth দুর্বলতা নিয়ে গবেষণার খবর প্রথম প্রকাশিত হয়েছিল Schneier on Security-এর মাধ্যমে, যেখানে UC San Diego-এর গবেষকদের প্রকাশনার উল্লেখ করা হয়েছিল।
