‘সেট করেই ভুলে যাওয়া’ নিরাপত্তা অডিট

গত কয়েক সপ্তাহে চারটি অসম্পর্কিত নিরাপত্তা-সংক্রান্ত ঘটনা সামনে এসেছে। এক গবেষক দেখেছেন যে KARR নামের একটি আফটারমার্কেট কার অ্যালার্ম—যা আনুমানিক ২০ লক্ষেরও বেশি গাড়িতে বসানো আছে—ব্লুটুথের সীমার মধ্যে থাকা যে কেউ নিঃশব্দে আনলক, ডিসআর্ম বা নিষ্ক্রিয় করে দিতে পারে। Bitsight-এর এক থ্রেট রিসার্চার আবিষ্কার করেছেন যে জনপ্রিয় সস্তা স্ট্রিমিং স্টিক H96 বছরের পর বছর ধরে নিঃশব্দে তার মালিকদের ইন্টারনেট সংযোগ ভাড়া দিয়ে আসছে এবং মোবাইল ফোন সেজে জালিয়াতিমূলক বিজ্ঞাপনে ক্লিক করছে। এক হ্যাকার ১০ কোটিরও বেশি মানুষের তথ্যের সঙ্গে যুক্ত একাধিক ভঙ্গের (breach) দায় স্বীকার করেছে—কোনো চতুর এক্সপ্লয়েটের মাধ্যমে নয়, বরং বছর কয়েক আগে ঘটা এক ইনফোস্টিলার সংক্রমণ থেকে পড়ে থাকা গ্রাহক পাসওয়ার্ডের মাধ্যমে, এমন সব অ্যাকাউন্টে যেখানে কখনও মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করা হয়নি। আর গবেষকরা দেখিয়েছেন যে সঠিক পরিস্থিতিতে ম্যালওয়্যার Google Password Manager-এর মাধ্যমে সিঙ্ক করা পাসকি বের করে আনতে পারে—যে সিস্টেমটি আমাদের অনেকে পাসওয়ার্ডের ঝুঁকি এড়াতেই বেছে নিয়েছিলাম।

আলাদাভাবে দেখলে এগুলো চার ধরনের সমস্যা—একটি হার্ডওয়্যার ত্রুটি, একটি সাপ্লাই-চেইন জালিয়াতি প্রকল্প, একটি করপোরেট ভঙ্গ (breach), এবং একটি ক্রিপ্টোগ্রাফি বাস্তবায়নের সমস্যা। কিন্তু প্রযুক্তির সঙ্গে সম্পর্কহীন একটি মূল কারণ এদের সবার মধ্যে মিল রয়েছে। প্রতিটি ক্ষেত্রেই, ঝুঁকিপূর্ণ জিনিসটি একবার বসানো, চালু বা তৈরি করা হয়েছিল—আর তারপর আর কেউ কখনও সেদিকে ফিরে তাকায়নি।

শিরোনামের আড়ালে লুকিয়ে থাকা প্যাটার্ন

নিরাপত্তা-ঋণ (security debt) ঠিক সেই জায়গাগুলোতেই জমতে থাকে যেখান থেকে আপনি নজর সরিয়ে নেন। একটি কার অ্যালার্ম ডিলারের অ্যাড-অন প্যাকেজে বসানো হয় এবং তারপর আর কখনও মাথায় আসে না, যতক্ষণ না সেটাই কারণ হয়ে দাঁড়ায় আপনার গাড়ি অন্য কারও হাতে চলে যাওয়ার। একটি স্ট্রিমিং স্টিক টিভিতে প্লাগ করা হয়, বছরের পর বছর ভালোভাবে কাজ করে, আর কখনও সন্দেহ জাগায় না কারণ সেটি তখনও আপনার চাওয়া জিনিসই চালিয়ে যাচ্ছে—বিজ্ঞাপন জালিয়াতির ট্রাফিক আর ব্যান্ডউইথ-শেয়ারিং তার পাশাপাশি অদৃশ্যভাবে ঘটতে থাকে। একটি লগইন ক্রেডেনশিয়াল তৈরি হয়, লগইন প্রম্পটে কাজ করে, আর তারপর বছরের পর বছর ডেটাবেসে পড়ে থাকে, এমনকি যে ডিভাইস থেকে সেটি ফাঁস হয়েছিল তা বহু আগে বিস্মৃত হয়ে যাওয়ার পরেও—কারণ যে পাসওয়ার্ডের কথা আপনি ভাবেনই না, তা পাল্টানো এমন একটা কাজ যা কেউ ক্যালেন্ডারে টুকে রাখে না। একটি পাসকি বিশেষভাবে "পাসওয়ার্ডের চেয়ে বেশি নিরাপদ" হওয়ার জন্য সেট করা হয়, আর সেই সুনামই একটা কারণ হয়ে দাঁড়ায় যাতে আপনি ভাবা বন্ধ করে দেন যে ডিভাইসটি যেখানে থাকে তাকে আসলে কী রক্ষা করছে।

এর কোনোটির জন্যই কোনো অত্যাধুনিক আক্রমণকারীর দরকার হয়নি এমন কোনো অভিনব ত্রুটি খুঁজে বের করতে যা কেউ কল্পনাও করেনি। কার অ্যালার্ম আর পাসকি চুরির ঘটনায় প্রকৃত প্রযুক্তিগত গবেষণার প্রয়োজন হয়েছিল, তা ঠিক। কিন্তু বড় আকারে ক্ষতিটা আসলে যা ঘটতে দিয়েছিল তা হলো "একবার সেট আপ করা" আর "কখনও আর ফিরে না দেখা"-র মধ্যেকার ফাঁক।

আপনার ইতিমধ্যে থাকা জিনিসগুলোর ২০ মিনিটের অডিট

এই ফাঁক বেশিরভাগটাই বন্ধ করতে আপনার নতুন কিছু কেনার বা অন্য রকম মানুষ হয়ে ওঠার দরকার নেই। উপরের বিভাগগুলোর মধ্য দিয়ে একবার চোখ বুলিয়ে নিলেই হবে—তবে সেটাকে একবারের সেটআপ কাজ না ভেবে বরং বারবার ফিরে আসা একটা রুটিন কাজ হিসেবে দেখতে হবে।

১. আফটারমার্কেট ও অ্যাড-অন ডিভাইস

তৃতীয় পক্ষের দ্বারা বসানো যেকোনো কিছুর চারপাশে একবার ঘুরে দেখুন—যা মূল ডিভাইসের সঙ্গে বিল্ট-ইন ছিল না, যেমন কার অ্যালার্ম, ড্যাশ ক্যাম, স্মার্ট লক, আফটারমার্কেট ট্র্যাকার। প্রস্তুতকারকের অ্যাপ বা সাইটে ফার্মওয়্যার আপডেট করার কোনো ব্যবস্থা আছে কিনা দেখুন এবং সত্যিই সেটা চালান। বিশেষভাবে KARR অ্যালার্মের ক্ষেত্রে, গবেষকরা উল্লেখ করেছেন যে সহজ একটি দৃশ্যমান চিহ্ন হলো ড্রাইভারের পাশের জানালায় "KARR" স্টিকার; যদি আপনার গাড়িতে এটি থাকে, তবে এটা ঠিক আছে ধরে নেওয়ার আগে ইনস্টলার বা প্রস্তুতকারকের কাছে প্যাচ সম্পর্কে খোঁজ নিন। যে অভ্যাসটা গড়ে তোলা দরকার তা হলো: রেডিও এবং প্রস্তুতকারকের অ্যাপযুক্ত যেকোনো ডিভাইসই এমন একটা জিনিস যার মাঝে মাঝে রক্ষণাবেক্ষণ দরকার, ঠিক আপনার ফোন বা ল্যাপটপের মতোই।

২. আপনার টিভিতে যা কিছু প্লাগ করা আছে

H96-এর মতো নামের জেনেরিক স্ট্রিমিং বক্স, যা মার্কেটপ্লেসে বিক্রি হয় এবং প্রায়ই "আনলিমিটেড" কনটেন্টের জন্য একবারের ফি-র বিজ্ঞাপন দিয়ে প্রচার করা হয়, তা গভীরভাবে খতিয়ে দেখার মতো। যদি আপনার কাছে এমন একটি থাকে, তবে বুঝে নিন যে এর ঝুঁকি শুধু পাইরেটেড কনটেন্টেই সীমাবদ্ধ নয়—আসল কথা হলো ডিভাইসটি নিজেই হয়তো আপনার নেটওয়ার্কে নিজস্ব উদ্দেশ্য নিয়ে চলা একটি দ্বিতীয় কম্পিউটারের মতো আচরণ করছে। যদি আপনি যাচাই করতে না পারেন যে কোনো ডিভাইস আপনার নেটওয়ার্কে ঠিক কী করছে, আর সেটি এসেছে এমন একটি অপরিচিত ব্র্যান্ড থেকে যা দামের তুলনায় খুব বেশি ভালো কিছুর প্রতিশ্রুতি দিচ্ছে, তাহলে সেটাকে একটা গেস্ট নেটওয়ার্কে আলাদা করে রাখার বা এমন কোনো প্রতিষ্ঠিত ব্র্যান্ডের মূলধারার স্ট্রিমিং ডিভাইস দিয়ে বদলে ফেলার যথেষ্ট কারণ আছে, যে প্রতিষ্ঠানের রক্ষা করার মতো একটা সুনাম আছে।

৩. পুরনো পাসওয়ার্ড, বিশেষত পুনরায় ব্যবহৃত বা নিষ্ক্রিয় পড়ে থাকা পাসওয়ার্ড

Snowflake-সংশ্লিষ্ট হ্যাকারের দোষ স্বীকারের সঙ্গে যুক্ত ভঙ্গটি (breach) প্ল্যাটফর্মের কোনো ত্রুটির কারণে ঘটেনি। এটি ঘটেছিল বছর কয়েক আগে কারও কম্পিউটারে থাকা ম্যালওয়্যারের মাধ্যমে সংগৃহীত ক্রেডেনশিয়ালের কারণে, যে ক্রেডেনশিয়ালগুলো কেউ কখনও পাল্টায়নি, এমন সব অ্যাকাউন্টে যেখানে মাল্টি-ফ্যাক্টর অথেন্টিকেশন বন্ধ করে রাখা হয়েছিল। এটি সম্পূর্ণরূপে এড়ানো সম্ভব এমন একটি ব্যর্থতা, আর এটা খুবই সাধারণ: আপনি একবার তৈরি করে খুব কমই লগইন করেন এমন যেকোনো অ্যাকাউন্টই ঠিক সেই ধরনের অ্যাকাউন্ট যার উপর এখনই বছরের পর বছরের পুরনো, ফাঁস হয়ে যাওয়া কোনো পাসওয়ার্ড বসে থাকতে পারে। যদি আপনার পাসওয়ার্ড ম্যানেজার কোনো ভঙ্গ (breach) বা পুনরায়-ব্যবহারের চেক অফার করে, তবে সেটা চালান। যদি কোনো অ্যাকাউন্ট MFA-র সুবিধা দেয় আর সেটা বন্ধ থাকে, তবে সেটা চালু করুন—এই একটিমাত্র নিয়ন্ত্রণই ঠেকিয়ে দিতে পারত সেই অনুপ্রবেশ, যা ১০ কোটিরও বেশি মানুষের রেকর্ড উন্মুক্ত করে দিয়েছিল।

৪. যে অ্যাকাউন্ট আপনার পাসকিগুলো পাহারা দেয়

ফিশিং আর পুনরায়-ব্যবহারের নির্দিষ্ট সমস্যার ক্ষেত্রে পাসওয়ার্ডের তুলনায় পাসকি প্রকৃতই একটা উন্নতি। কিন্তু Google Password Manager-এর মাধ্যমে সিঙ্ক করা পাসকি চুরির সাম্প্রতিক গবেষণাটি একটা কাজের স্মারক যে পাসকি কোনো জাদু নয়—এটি যে অ্যাকাউন্ট আর ডিভাইসের মাধ্যমে সিঙ্ক হয় তার নিরাপত্তাই উত্তরাধিকারসূত্রে পায়। তার মানে হলো, যে অ্যাকাউন্টে আপনার পাসওয়ার্ড ম্যানেজার বা পাসকি সিঙ্ক থাকে, তার প্রাপ্য হলো আপনার কাছে থাকা সবচেয়ে শক্তিশালী সুরক্ষা: ডিভাইসটিতেই একটা শক্তিশালী, অনন্য পাসকোড, সিঙ্ক করা অ্যাকাউন্টে MFA, আর সেই ডিভাইসে আপনি কী ইনস্টল করছেন সে ব্যাপারে সতর্কতা—কারণ এই গবেষণাটি নির্ভর করে ডিভাইসে আগে থেকেই চলতে থাকা ম্যালওয়্যারের উপর, পাসকির মধ্যে "প্যাচ" করে দেওয়া যায় এমন কোনো ত্রুটির উপর নয়।

পরে না করে এখনই কেন এটা করা দরকার

এই চারটি ঘটনার একটিও এমন কোনো হুমকির কথা বলে না যা নিয়ে আজই আতঙ্কিত হতে হবে। কিন্তু চারটিই এমন হুমকির কথা বলে যা মাস কিংবা বছরের পর বছর ধরে বেড়ে উঠেছে, ঠিক এই কারণেই যে কেউ ফিরে তাকায়নি। এর সমাধান কোনো নতুন টুল বা সাবস্ক্রিপশন নয়—এটা হলো একটা বারবার ফিরে আসা সময় বেছে নেওয়া, হয়তো আপনার ইতিমধ্যে থাকা কোনো অভ্যাসের পাশাপাশি, যেমন ব্যাংক স্টেটমেন্ট চেক করা, যাতে আপনি ইতিমধ্যে যে জিনিসগুলোর মালিক এবং যাদের ইতিমধ্যেই বিশ্বাস করেন সেগুলো সম্পর্কে একটা সাধারণ প্রশ্ন জিজ্ঞেস করতে পারেন: আমি সবশেষ কবে এটা পরীক্ষা করেছিলাম, আর আমি ছাড়া অন্য কারও কি এখনও এটার দিকে নজর রাখার কোনো কারণ আছে?