ChessHere.com: তথ্য উন্মুক্ত হওয়ার অভিযোগ

প্রথম দেখায় দাবার প্ল্যাটফর্মগুলোকে কম ঝুঁকির বিনোদনমূলক সাইট মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম ও প্লেইনটেক্সট পাসওয়ার্ড একসঙ্গে থাকলে তা অ্যাকাউন্টের নিরাপত্তার জন্য গুরুতর ঝুঁকি তৈরি করে, প্ল্যাটফর্মটি যে বিষয়েরই হোক না কেন। কোনো ব্যবহারকারী ইমেইল, গেমিং, সামাজিক যোগাযোগমাধ্যম বা কেনাকাটার অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করে থাকলে, আক্রমণকারীরা অন্য সিস্টেমেও সেই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করতে পারে। তাই ChessHere.com-এর ঘটনাটি শুধু দাবার অ্যাকাউন্টের নিরাপত্তার মধ্যেই সীমাবদ্ধ নয়।

এই নথির যাচাইযোগ্য তথ্যের ধরন হলো ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডগুলো প্লেইনটেক্সট আকারে রয়েছে, এই দাবিটি বিশেষভাবে গুরুত্বপূর্ণ। প্লেইনটেক্সট পাসওয়ার্ড হলো এমন পাসওয়ার্ড, যা ব্যবহার করতে আক্রমণকারীকে হ্যাশ ভাঙা, অভিধানভিত্তিক আক্রমণ বা প্রযুক্তিগত বিশ্লেষণ করতে হয় না; সরাসরিই ব্যবহার করা যায়। অন্যদিকে, ব্যবহারকারীর নামের মাধ্যমে বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তির ব্যবহৃত পরিচয়গুলোর মধ্যে মিল খুঁজে পাওয়া যেতে পারে।

এই নথিতে ইমেইল ঠিকানাকে যাচাইকৃত তথ্যের ধরন হিসেবে যোগ করা হয়নি। এটি একটি সচেতন সীমাবদ্ধতা; কোন কোন তথ্য ফাঁস হয়েছে, সে বিষয়ে ব্যবহারকারীকে ভুল ধারণা না দিতে কেবল বারবার উল্লেখিত ও জোরালো প্রমাণসমর্থিত ক্ষেত্রগুলো ব্যবহার করা হয়েছে। কোনো ব্যবহারকারী ChessHere.com-এ ব্যবহৃত একই নাম অন্য গেমের ফোরাম, সামাজিক যোগাযোগমাধ্যম বা দাবার কমিউনিটিতেও ব্যবহার করে থাকলে, অ্যাকাউন্টগুলোর মধ্যে সম্পর্ক খুঁজে বের করা সহজ হতে পারে।

আধুনিক সিস্টেমে পাসওয়ার্ড এমন হ্যাশ মান হিসেবে সংরক্ষণ করা উচিত, যেখান থেকে উল্টো প্রক্রিয়ায় মূল পাসওয়ার্ড উদ্ধার করা যায় না। শক্তিশালী হ্যাশ অ্যালগরিদম ও প্রতিটি পাসওয়ার্ডের জন্য স্বতন্ত্র সল্ট মান ব্যবহার করা হলে, ডেটাবেস ফাঁস হলেও আক্রমণকারীর আসল পাসওয়ার্ড বের করতে সময় লাগে। প্লেইনটেক্সট আকারে সংরক্ষণ করলে এই সুরক্ষা সম্পূর্ণভাবে হারিয়ে যায়। তথ্য দেখতে পাওয়া যে কেউ পাসওয়ার্ড পড়তে, কপি করতে এবং অন্য সেবায় সেটি দিয়ে প্রবেশের চেষ্টা করতে পারে।

এই কারণে ChessHere.com-এর নথিতে ঘটনার তীব্রতা ‘উচ্চ’ হিসেবে নির্ধারণ করা হয়েছে। ক্ষতিগ্রস্ত তথ্যের ধরনের সংখ্যা কম মনে হলেও পাসওয়ার্ডের প্রকৃতি ঝুঁকি বাড়ায়। বিশেষ করে, ব্যবহারকারীরা পুরোনো গেম, ফোরাম ও কমিউনিটি সাইটে বছরের পর বছর একই ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। এর ফলে 2017 সালের ফাঁস হওয়া তথ্যও আজ পর্যন্ত আক্রমণের উপকরণ হিসেবে ব্যবহারযোগ্য থেকে যেতে পারে।

নতুন নথি যোগ করার আগে ChessHere, chesshere.com এবং সংশ্লিষ্ট নামের বিভিন্ন রূপ ব্যবহার করে বিদ্যমান নথিগুলোর মধ্যে একই ঘটনা আগে থেকে আছে কি না, তা পরীক্ষা করা হয়েছে। একই ডোমেইন নাম বা শিরোনামে আগে কোনো তথ্য ফাঁসের নথি যোগ করা হয়নি বলে এটিকে স্বতন্ত্র নথি হিসেবে বিবেচনা করা হয়েছে। উন্মুক্ত উৎসগুলোতে একই ডোমেইন নামের পাশাপাশি 2017 সালের ডিসেম্বর, প্রায় 5 লাখ রেকর্ড এবং ব্যবহারকারীর নাম ও প্লেইনটেক্সট পাসওয়ার্ডের তথ্যের উল্লেখ থাকায় ঘটনাটি নথিভুক্ত করার উপযুক্ত বলে বিবেচিত হয়েছে।

তবে সব বিবরণ নিশ্চিত করে প্ল্যাটফর্ম পরিচালনাকারীর দেওয়া কোনো পূর্ণাঙ্গ আনুষ্ঠানিক বিবৃতি শনাক্ত করা যায়নি। তাই যাচাইয়ের অবস্থা সীমিত রাখা হয়েছে। ব্যবহারকারীর কাছে তথ্যের নিশ্চয়তার মাত্রা যথাযথভাবে তুলে ধরতেই এই সিদ্ধান্ত নেওয়া হয়েছে। নথিতে যাচাইকৃত তথ্যের ধরন ও উন্মুক্ত উৎসে পাওয়া সামঞ্জস্যপূর্ণ তথ্য যোগ করা হয়েছে। অন্যদিকে, যাচাই না হওয়া ইমেইল, পেমেন্ট, বার্তা বা প্রোফাইলের তথ্য বিবরণে অন্তর্ভুক্ত করা হয়নি।

ChessHere.com অ্যাকাউন্টের পাসওয়ার্ড অন্য কোথাও ব্যবহার করে থাকলে, আপনার প্রথমে সেসব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত। ইমেইল অ্যাকাউন্টকে সর্বোচ্চ অগ্রাধিকার দিতে হবে। কারণ আক্রমণকারী ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ পেয়ে গেলে অন্য অ্যাকাউন্টগুলোর পাসওয়ার্ড রিসেট প্রক্রিয়া ব্যবহার করতে পারে। এরপর গেম সেবা, সামাজিক যোগাযোগমাধ্যম, ফোরাম, কেনাকাটার সাইট ও পেমেন্ট অ্যাকাউন্টগুলো পরীক্ষা করা উচিত।

পাসওয়ার্ডের সঙ্গে ব্যবহারকারীর নামও প্রকাশ হয়ে গেলে অতিরিক্ত ঝুঁকি তৈরি হয়। আক্রমণকারী বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম খুঁজে লক্ষ্য ব্যক্তির অন্য অ্যাকাউন্ট শনাক্ত করতে পারে এবং একই পাসওয়ার্ড বা তার কাছাকাছি রূপ দিয়ে প্রবেশের চেষ্টা করতে পারে। দাবা, গেমিং ও ফোরাম কমিউনিটিতে একই ব্যবহারকারীর নাম দীর্ঘদিন ব্যবহার করা সাধারণ ব্যাপার বলে অ্যাকাউন্টগুলোর মধ্যে সম্পর্ক খুঁজে বের করার এই ঝুঁকি বিশেষভাবে গুরুত্বপূর্ণ।

• ChessHere.com অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য যেসব সেবাতেও ব্যবহার করা হয়েছে, সেখানেও তা পরিবর্তন করা উচিত।
• একই পাসওয়ার্ডের ধরনে সামান্য পরিবর্তন এনে ব্যবহার করাও এড়িয়ে চলা উচিত।
• ইমেইল অ্যাকাউন্টে দুই ধাপে যাচাইকরণ চালু করা উচিত।
• পাসওয়ার্ড ম্যানেজার দিয়ে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা উচিত।
• একই ব্যবহারকারীর নাম দিয়ে খোলা পুরোনো ফোরাম ও গেমের অ্যাকাউন্টগুলো পর্যালোচনা করা উচিত।
• সক্রিয় সেশন ও সংযুক্ত অ্যাপ্লিকেশনগুলো পরীক্ষা করা উচিত।
• কিছুদিন সন্দেহজনক লগইনের সতর্কবার্তাগুলো নিবিড়ভাবে পর্যবেক্ষণ করা উচিত।

গেমিং ও শখভিত্তিক কমিউনিটিতে ব্যবহারকারীরা প্রায়ই বছরের পর বছর একই ডাকনাম ব্যবহার করেন। এই ডাকনামের সঙ্গে সামাজিক যোগাযোগমাধ্যম, ফোরাম, স্ট্রিমিং প্ল্যাটফর্ম, গেম ক্লায়েন্ট বা ইমেইল ঠিকানার শুরুর অংশের সম্পর্ক থাকতে পারে। তথ্য ফাঁসের কোনো ডেটাসেটে ব্যবহারকারীর নাম ও পাসওয়ার্ড একসঙ্গে পাওয়া গেলে, আক্রমণকারী শুধু সেই প্ল্যাটফর্মেই নয়, ব্যবহারকারীর ডিজিটাল পরিচয়ের সঙ্গে যুক্ত অন্য জায়গাগুলোতেও প্রবেশের চেষ্টা করে।

তাই ব্যবহারকারীর নামের তথ্যকে তুচ্ছ মনে করা উচিত নয়। ইমেইল না থাকলেও আক্রমণকারী সার্চ ইঞ্জিন, ফোরাম, গেমিং প্রোফাইল ও সামাজিক যোগাযোগমাধ্যমের মাধ্যমে ব্যবহারকারীর নামের মিল খুঁজে পেতে পারে। একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হলে, ব্যবহারকারীর নামটি সরাসরি প্রবেশের চেষ্টা করার উপকরণ হয়ে ওঠে। আপনার পুরোনো ডাকনাম দিয়ে খোলা অ্যাকাউন্টগুলোর পাসওয়ার্ডের নিরাপত্তাও মূল্যায়ন করা উচিত।

ChessHere.com-এর এই নথি দেখায় যে পাসওয়ার্ডের নিরাপত্তার ক্ষেত্রে ছোট বা মাঝারি কমিউনিটি প্ল্যাটফর্মগুলোরও বড় প্ল্যাটফর্মের মতো একই মানদণ্ড অনুসরণ করা উচিত। পাসওয়ার্ড কখনোই প্লেইনটেক্সট আকারে সংরক্ষণ করা উচিত নয়। শক্তিশালী পাসওয়ার্ড হ্যাশ অ্যালগরিদম, স্বতন্ত্র সল্ট মান, নিরাপদ সেশন ব্যবস্থাপনা, অ্যাডমিন প্যানেলের সুরক্ষা ও নিয়মিত নিরাপত্তা আপডেট মৌলিক প্রয়োজন।

কমিউনিটি প্ল্যাটফর্মে পুরোনো সফটওয়্যার উপাদান, ফোরাম প্লাগইন, অ্যাডমিন প্যানেল ও ব্যাকআপ ফাইল প্রায়ই ঝুঁকির উৎস হয়ে ওঠে। ডেটাবেসের ব্যাকআপ ওয়েব রুট ডিরেক্টরিতে রাখা উচিত নয়, অ্যাডমিন অ্যাকাউন্টে একাধিক উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করা উচিত, পাসওয়ার্ড রিসেটের প্রক্রিয়াগুলো লগে নথিভুক্ত করা উচিত এবং সন্দেহজনকভাবে বিপুল পরিমাণ তথ্য একসঙ্গে এক্সপোর্ট করা হচ্ছে কি না, তা পর্যবেক্ষণ করা উচিত। তথ্য ফাঁসের সন্দেহ হলে ব্যবহারকারীদের পাসওয়ার্ড বাধ্যতামূলকভাবে রিসেট করতে হবে।

2017 সালের ডিসেম্বরের তথ্য ফাঁসের ঘটনা আজ পুরোনো মনে হতে পারে। তবে পাসওয়ার্ড ও ব্যবহারকারীর নাম ব্যবহারের অভ্যাস দীর্ঘস্থায়ী হয়। অনেকেই পুরোনো পাসওয়ার্ডের সঙ্গে একটি সংখ্যা, বিস্ময়চিহ্ন বা বছর যোগ করে নতুন পাসওয়ার্ড তৈরি করেন। আক্রমণকারীরা স্বয়ংক্রিয় সরঞ্জাম দিয়ে এ ধরনের পাসওয়ার্ড চেষ্টা করে। তাই পুরোনো প্লেইনটেক্সট পাসওয়ার্ডও বর্তমান অ্যাকাউন্টে আক্রমণের কাজে লাগতে পারে।

এ ছাড়া পুরোনো ডেটাসেটের সঙ্গে নতুন ডেটাসেট মিলিয়ে নেওয়া যায়। অন্য কোনো তথ্য ফাঁসের ঘটনায় একই ব্যবহারকারীর নামের সঙ্গে যুক্ত ইমেইল থাকতে পারে, আরেক জায়গায় ফোন নম্বর এবং অন্য কোনো প্ল্যাটফর্মে প্রোফাইলের লিংক থাকতে পারে। এসব অংশ একত্র করলে আক্রমণকারীর পক্ষে লক্ষ্য ব্যক্তির আরও পূর্ণাঙ্গ প্রোফাইল তৈরি করা সম্ভব হয়। আপনার শুধু আলাদা আলাদা তথ্য ফাঁসের ঘটনা নয়, সামগ্রিক ডিজিটাল পদচিহ্নও বিবেচনা করা উচিত।

ChessHere.com-এর তথ্য ফাঁসের নথিটি অনলাইন দাবার প্ল্যাটফর্মটির সঙ্গে সম্পর্কিত এবং প্রায় 526,686টি ব্যবহারকারী রেকর্ডকে প্রভাবিত করেছে বলে জানানো হয়েছে। ফাঁস হয়েছে বলে জানানো প্রধান তথ্যের ধরন হলো ব্যবহারকারীর নাম ও প্লেইনটেক্সট পাসওয়ার্ড। যাঁরা একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করেন, তাঁদের অন্য অ্যাকাউন্টে অননুমোদিত প্রবেশের ঝুঁকি এই সমন্বয়ের কারণে বেড়ে যায়। এই নথিতে ইমেইল বা পেমেন্টের তথ্য যাচাই করা হয়নি বলে সেগুলো তথ্যের ধরন হিসেবে যোগ করা হয়নি।

আনুষ্ঠানিক প্রাথমিক উৎসের নিশ্চিতকরণ না থাকায় নথিটিকে যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। তবু ডোমেইন নাম, তারিখ, রেকর্ডের সংখ্যা ও তথ্যের ধরন প্রকাশ্যে পাওয়া নথিগুলোর সঙ্গে সামঞ্জস্যপূর্ণ হওয়ায় ব্যবহারকারীদের সতর্ক করতে এটি যোগ করা হয়েছে। ChessHere.com-এর ব্যবহারকারীদের সব সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ড পরিবর্তন করা, তাঁদের ব্যবহারকারীর নামের সঙ্গে যুক্ত অ্যাকাউন্টগুলো পর্যালোচনা করা এবং যেখানে সম্ভব দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত।

প্রথম ধাপ হলো ChessHere.com-এ ব্যবহৃত পাসওয়ার্ডটি মনে করা এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের তালিকা তৈরি করা। দ্বিতীয় ধাপ হলো ইমেইল অ্যাকাউন্টের নিরাপত্তা সেটিংস পরীক্ষা করা। তৃতীয় ধাপ হলো পাসওয়ার্ড ম্যানেজার ব্যবহার শুরু করা এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা। চতুর্থ ধাপ হলো পুরোনো ফোরাম ও গেমের অ্যাকাউন্টগুলো থেকে লগআউট করা।

আপনার এখন আর ব্যবহার না করা অ্যাকাউন্টগুলো বন্ধ করা উচিত, অথবা সেগুলোর পাসওয়ার্ড বদলে এলোমেলোভাবে তৈরি স্বতন্ত্র পাসওয়ার্ড দেওয়া উচিত। ভুলে যাওয়া পুরোনো অ্যাকাউন্ট আপনার নিরাপত্তার দুর্বল দিক হয়ে উঠতে পারে, যা আক্রমণকারী কাজে লাগাতে পারে। বিশেষ করে একই ব্যবহারকারীর নাম ও পাসওয়ার্ড একসঙ্গে ব্যবহার করা হয়ে থাকলে, পরিত্যক্ত অ্যাকাউন্টও অন্য অ্যাকাউন্টে পৌঁছানোর পথ হিসেবে কাজে লাগতে পারে। তাই নিরাপত্তার তালিকায় পুরোনো শখভিত্তিক প্ল্যাটফর্মগুলোকেও রাখা উচিত।

ChessHere.com-এর মতো শখভিত্তিক প্ল্যাটফর্মে ব্যবহৃত পাসওয়ার্ড প্রায়ই এমন অ্যাকাউন্টের হয়, যেগুলোকে ব্যবহারকারী কম ঝুঁকির বলে মনে করেন। সমস্যা হলো, কম ঝুঁকির বলে ধরে নেওয়া সেই একই পাসওয়ার্ড দিয়ে আরও গুরুত্বপূর্ণ সেবায়ও প্রবেশের চেষ্টা করা হয়। আক্রমণকারীরা পুরোনো দাবা, গেম ও ফোরামের রেকর্ডগুলোকে আলাদাভাবে মূল্যায়ন করে না; তারা সেগুলোকে বর্তমান ইমেইল ঠিকানা, সামাজিক যোগাযোগমাধ্যমের ব্যবহারকারীর নাম ও অন্যান্য ডেটাসেটের সঙ্গে মিলিয়ে নেয়। তাই পুরোনো অ্যাকাউন্ট আর ব্যবহার না করলেও আপনার পরীক্ষা করা উচিত, সেই পাসওয়ার্ড আর কোথায় ব্যবহার করা হচ্ছে।

এই ধারাবাহিকতায় ব্যবহারকারীর নামও একটি গুরুত্বপূর্ণ সূত্র। একই ডাকনাম দিয়ে তৈরি সম্প্রচার, গেমিং, ফোরাম বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইল থাকতে পারে। এসব প্রোফাইলে প্রকাশ্যে থাকা তথ্য আক্রমণকারীকে আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে সাহায্য করে। পাসওয়ার্ড পরিবর্তনের পাশাপাশি একই ব্যবহারকারীর নাম দিয়ে তৈরি পুরোনো অ্যাকাউন্টগুলোর প্রোফাইল থেকে অপ্রয়োজনীয় তথ্য কমিয়ে দেওয়া এবং অব্যবহৃত অ্যাকাউন্ট বন্ধ করা আরও কার্যকর প্রতিরক্ষা গড়ে তোলে।

এই নথিতে ইমেইল ঠিকানা যাচাই করা হয়নি বলে কিছু ব্যবহারকারী ঝুঁকি কম মনে করতে পারেন। কিন্তু ব্যবহারকারীর নাম ও প্লেইনটেক্সট পাসওয়ার্ড একসঙ্গে পাওয়া গেলে তা আক্রমণকারীর প্রবেশের চেষ্টা করার জন্য যথেষ্ট উপকরণ হতে পারে। বিশেষ করে ব্যবহারকারীর নাম যদি ইমেইল ঠিকানার শুরুর অংশের সঙ্গে মিলে যায়, অথবা অন্য প্ল্যাটফর্মেও একইভাবে ব্যবহৃত হয়, তাহলে ইমেইল ঠিকানা খুঁজে পাওয়া কঠিন নাও হতে পারে। তাই ঝুঁকি মূল্যায়নের সময় শুধু তথ্যের ধরনের সংখ্যা নয়, পাসওয়ার্ড প্লেইনটেক্সট আকারে থাকা এবং ব্যবহারকারীর নাম অন্যত্রও ব্যবহার করা যেতে পারে, এই বিষয়গুলোও বিবেচনা করা উচিত।