পিএইচপি প্রোগ্রামিং ল্যাঙ্গুয়েজে বিদ্যমান নিরাপত্তা ত্রুটির কারণে সাময়িকভাবে বন্ধ রাখা বাংলাদেশের অধিকাংশ ওয়েবসাইট বর্তমানে সচল হয়েছে। তবে এই ওয়েবসাইটগুলো পুনরায় চালু হলেও সরকারি ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের ওয়েব অ্যাপ্লিকেশন ও সাইটগুলোতে এখনো নিরাপত্তা ঝুঁকি রয়ে গেছে বলে শনাক্ত করেছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।
এই নিরাপত্তা ঝুঁকি মোকাবিলায় আজ রোববার নতুন করে একটি জরুরি সতর্কবার্তা জারি করেছে বিজিডি ই-গভ সার্ট। সতর্কবার্তায় সংস্থাটি উল্লেখ করেছে যে, তাদের সাইবার থ্রেট ইন্টেলিজেন্স (সিটিআই) ইউনিটের নিয়মিত নজরদারির মাধ্যমে সরকারি, জনখাত এবং বেসরকারি প্রতিষ্ঠানের একাধিক ওয়েব অ্যাপ্লিকেশনে নিরাপত্তা ঝুঁকি ধরা পড়েছে। দেখা গেছে, এসব অ্যাপ্লিকেশনে পিএইচপির অত্যন্ত পুরোনো, সম্ভাব্য ঝুঁকিপূর্ণ কিংবা মেয়াদোত্তীর্ণ সংস্করণ ব্যবহার করা হচ্ছে।
তথ্যপ্রযুক্তি বিভাগের একটি সূত্র থেকে জানা গেছে, আজ সন্ধ্যা ৬টা পর্যন্ত পাওয়া তথ্যানুযায়ী ৫০টিরও বেশি সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট এবং ওয়েব অ্যাপ্লিকেশনে পিএইচপির ত্রুটিপূর্ণ পুরনো সংস্করণ ব্যবহৃত হচ্ছে। ধারণা করা হচ্ছে, এই সংখ্যা আরও বৃদ্ধি পেতে পারে।
সার্টের দেওয়া সতর্কবার্তায় আরও বলা হয়েছে, ইতিপূর্বে এই বিষয়ে অবহিত করা হলেও সংশ্লিষ্ট অনেক প্রতিষ্ঠান তাদের নিরাপত্তা ব্যবস্থা হালনাগাদ করেছে কি না, তা নিশ্চিত করেনি। এমনকি কিছু প্রতিষ্ঠান এই বিষয়ে কোনো ধরনের জবাবও দেয়নি। এর ফলে এসব ওয়েবসেবা সাইবার হামলা এবং অননুমোদিত প্রবেশের উচ্চ ঝুঁকিতে রয়েছে।
বিষয়টি নিয়ে জানতে চাওয়া হলে বিজিডি ই-গভ সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার মুক্তকণ্ঠকে বলেন, “আগের সতর্কবার্তা জারির পরেও নজরদারিতে দেখা গেছে, অনেক প্রতিষ্ঠান পিএইচপির সংস্করণ হালনাগাদ করেনি। কোনো কোনো প্রতিষ্ঠানের ওয়েবসাইটে আরও পুরোনো সংস্করণ রয়ে গেছে। এতে ওয়েবসাইটগুলো নিরাপত্তাঝুঁকিতে থাকছে। এ কারণে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নতুন করে সতর্ক করা হয়েছে এবং পিএইচপির সংস্করণ হালনাগাদ করে সর্বশেষ সংস্করণে যাওয়ার পরামর্শ দেওয়া হয়েছে।”
উল্লেখ্য যে, বিশ্বজুড়ে পিএইচপির নিরাপত্তা ত্রুটির বিষয়টি সামনে আসার পর গত বৃহস্পতিবার সতর্কতামূলক ব্যবস্থা হিসেবে নিজেদের ওয়েবসাইট বন্ধ করে দেয় বাংলাদেশ ব্যাংক। একই পদক্ষেপ নেয় অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক এবং বেঙ্গল কমার্শিয়াল ব্যাংকসহ আরও বেশ কয়েকটি ব্যাংক। প্রযুক্তি অবকাঠামোর নিরাপত্তা যাচাই এবং সম্ভাব্য সাইবার ঝুঁকি এড়াতেই এই পদক্ষেপ নেওয়া হয়েছিল। বাংলাদেশ ব্যাংক তখন জানিয়েছিল, ওয়েবসাইট বন্ধ থাকলেও ব্যাংকিং সেবায় কোনো প্রভাব পড়েনি। এছাড়া ডিজিটাল ভূমিসেবার ওয়েবসাইটটিও সাময়িকভাবে বন্ধ রাখা হয়েছিল।
নিরাপত্তা যাচাই প্রক্রিয়া শেষ হওয়ার পর আজ অধিকাংশ প্রতিষ্ঠানের বন্ধ থাকা ওয়েবসাইট পুনরায় চালু হয়েছে। দুপুরের দিকে জনতা ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট সচল হয়। প্রায় একই সময়ে স্বাভাবিক হয় ডিজিটাল ভূমিসেবার ওয়েবসাইটটিও, যদিও এটি শনিবার দুপুরের মধ্যেই চালু হওয়ার কথা ছিল। তবে বাংলাদেশ ব্যাংকের নিয়োগসংক্রান্ত ওয়েবসাইট erecruitment.bb.org.bd সন্ধ্যা ৬টা ৫১ মিনিটেও বন্ধ পাওয়া গেছে। ওই ওয়েবসাইটে প্রবেশের চেষ্টা করলে সেখানে রক্ষণাবেক্ষণ চলছে এমন বার্তা প্রদর্শিত হচ্ছিল।
সার্টের কর্মকর্তারা সতর্ক করে জানিয়েছেন, সরকারি ওয়েবসাইটের ক্ষেত্রে এ ধরনের ঝুঁকি অত্যন্ত সংবেদনশীল। কারণ সরকারি ডিজিটাল প্ল্যাটফর্মে নাগরিকদের ব্যক্তিগত তথ্য এবং অত্যন্ত গুরুত্বপূর্ণ নথি সংরক্ষিত থাকে। এসব ব্যবস্থার নিয়ন্ত্রণ যদি তৃতীয় পক্ষের হাতে চলে যায়, তবে তথ্যের গোপনীয়তা ও অখণ্ডতা মারাত্মকভাবে ক্ষতিগ্রস্ত হতে পারে।
এই ঝুঁকি মোকাবিলায় বিজিডি ই-গভ সার্ট সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নির্দেশ দিয়েছে যেন তারা ইন্টারনেট থেকে ব্যবহারযোগ্য সব ওয়েব অ্যাপ্লিকেশন, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে পিএইচপির কোন সংস্করণ ব্যবহৃত হচ্ছে তা দ্রুত যাচাই করে। ঝুঁকিপূর্ণ সংস্করণগুলোকে অবিলম্বে নিরাপত্তা ত্রুটি সংশোধন করা হয়েছে এমন সংস্করণে উন্নীত করতে হবে। প্রয়োজনে নিরাপত্তা সংশোধনী ব্যবহার করে ত্রুটি দূর করার কথা বলা হয়েছে। যেসব সংস্করণের জন্য নির্মাতাপ্রতিষ্ঠান আর নিরাপত্তা হালনাগাদ প্রদান করে না, সেগুলোর পরিবর্তে সমর্থিত সংস্করণ ব্যবহারের পরামর্শ দেওয়া হয়েছে।
যেসব ক্ষেত্রে তাৎক্ষণিকভাবে নিরাপত্তা হালনাগাদ করা সম্ভব নয়, সেখানে সাময়িকভাবে ওয়েবসেবায় প্রবেশের সুযোগ সীমিত করার কথা বলা হয়েছে। এর জন্য ভার্চ্যুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন) ব্যবহার, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি প্রদান কিংবা অপ্রয়োজনীয় উন্মুক্ত প্রবেশাধিকার বন্ধ রাখার পরামর্শ দেওয়া হয়েছে।
সংস্থাটি আরও সতর্ক করে বলেছে, সাময়িকভাবে ওয়েবসেবায় প্রবেশের সুযোগ সীমিত করলে ঝুঁকি কিছুটা কমতে পারে, তবে এটি প্রয়োজনীয় নিরাপত্তা হালনাগাদের বিকল্প নয়। ওয়েব অ্যাপ্লিকেশন ও সংশ্লিষ্ট অবকাঠামো তৃতীয় পক্ষের মাধ্যমে পরিচালিত হলেও এর সামগ্রিক নিরাপত্তা নিশ্চিত করার চূড়ান্ত দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানেরই।