China Software Developer Network-এর 2011 সালের তথ্য ফাঁস

এই রেকর্ডে প্রমাণসমর্থিত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম এবং পাসওয়ার্ড। পাসওয়ার্ড প্লেইনটেক্সটে থাকাই সবচেয়ে গুরুতর বিষয়। ব্যবহারকারীর নাম প্রযুক্তি কমিউনিটিতে ব্যক্তির পরিচয় নির্দেশ করে; ইমেইল ঠিকানা আক্রমণকারীকে ওই ব্যক্তির কাছে পৌঁছানোর সুযোগ দেয়। এই তিনটি তথ্য একসঙ্গে পাসওয়ার্ড অনুমান করে আক্রমণ চালানো, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং ডেভেলপার অ্যাকাউন্টগুলোর মধ্যে মিল খোঁজার কাজে ব্যবহার করা যেতে পারে। CSDN ব্যবহারকারীরা অন্য প্ল্যাটফর্মে একই ব্যবহারকারীর নাম দিয়ে প্রযুক্তিসংক্রান্ত অ্যাকাউন্ট খুলে থাকলে ঝুঁকি বেড়ে যায়। এই রেকর্ডে ফোন নম্বর, ঠিকানা, পেমেন্ট-সংক্রান্ত তথ্য বা কোড রিপোজিটরির বিষয়বস্তু তালিকাভুক্ত নেই বলে সেগুলো অন্তর্ভুক্ত করা হয়নি।

CSDN-এর ঘটনাটি দীর্ঘদিন ধরে পরিচিত এবং যাচাইকৃত তথ্য ফাঁস হিসেবে বিবেচিত। রেকর্ডের সংখ্যা 64 লাখের বেশি এবং ফাঁস হওয়া প্রধান তথ্যের ধরনগুলো প্রকাশ্যে জানা যায়। তবে এর অর্থ এই নয় যে প্রত্যেক ব্যবহারকারীর বর্তমান কাজের অ্যাকাউন্ট, ব্যক্তিগত কোড রিপোজিটরি বা আর্থিক অ্যাকাউন্ট ক্ষতিগ্রস্ত হয়েছে। ফাঁস হওয়া তথ্যগুলো হলো ইমেইল, ব্যবহারকারীর নাম এবং প্লেইনটেক্সট পাসওয়ার্ড। পাসওয়ার্ড সরাসরি পড়া যায় এবং ডেভেলপার ব্যবহারকারীরা অন্য প্রযুক্তিসেবাতেও একই পাসওয়ার্ড ব্যবহারের অভ্যাস বজায় রেখে থাকতে পারেন, এই দুই কারণেই ঝুঁকি এত বড়।

যেসব ডেভেলপারের 2011 সালে CSDN অ্যাকাউন্ট ছিল এবং যাঁরা প্রযুক্তিবিষয়ক ফোরাম, কোড রিপোজিটরি, ক্লাউড প্যানেল, ডোমেইন ব্যবস্থাপনা বা কাজের ইমেইলে একই ইমেইল ও পাসওয়ার্ড ব্যবহার করেছেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। প্রযুক্তি কমিউনিটির পুরোনো অ্যাকাউন্টগুলোর কথা প্রায়ই ভুলে যাওয়া হয়; কিন্তু সেগুলোর পাসওয়ার্ড অন্য সিস্টেমে বছরের পর বছর ব্যবহৃত হতে পারে। কোনো ডেভেলপারের পরিচয়ের সঙ্গে যুক্ত ইমেইল ঠিকানা ব্যবহার করে তাঁকে লক্ষ্য করে চাকরির প্রস্তাব, ভুয়া নিরাপত্তা সতর্কতা, রিপোজিটরিতে প্রবেশাধিকারের অনুরোধ বা ক্লাউড বিল-সংক্রান্ত বার্তা পাঠানো হতে পারে। প্রযুক্তিসংশ্লিষ্ট ব্যবহারকারীরা আরও জটিল, লক্ষ্যভিত্তিক আক্রমণের শিকার হতে পারেন।

যেসব ব্যবহারকারীর তথ্যের সঙ্গে CSDN-এর রেকর্ডের মিল পাওয়া গেছে, তাঁদের নিশ্চিত করতে হবে যে 2011 সালের সেই সময়ে ব্যবহৃত পাসওয়ার্ডটি এখন আর কোথাও ব্যবহার করা হচ্ছে না। কোনো কোড রিপোজিটরি, ক্লাউড প্যানেল, ইমেইল, ডোমেইন, ফোরাম বা কাজের অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে তা অবিলম্বে বদলানো উচিত। ডেভেলপার অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণ, সিকিউরিটি কি বা অ্যাপভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দেওয়া উচিত। পুরোনো পাসওয়ার্ডগুলো SSH কি, আর্কাইভ বা স্থানীয় টুলের পাসওয়ার্ড হিসেবেও ব্যবহার করা হয়ে থাকতে পারে; এই সম্ভাবনাটিও খতিয়ে দেখা উচিত।

অন্য ব্যবহারকারীদের অ্যাকাউন্টের তুলনায় ডেভেলপার অ্যাকাউন্টে একই পাসওয়ার্ড পুনর্ব্যবহারের প্রভাব আরও বিস্তৃত হতে পারে। কোড রিপোজিটরি, ক্লাউড অবকাঠামো এবং ডোমেইন ব্যবস্থাপনার জন্য আলাদা পাসওয়ার্ড ও একাধিক উপাদানভিত্তিক শক্তিশালী প্রমাণীকরণ ব্যবহার করা উচিত। ফোরামে ব্যবহৃত পুরোনো পাসওয়ার্ড আর নিরাপদ বলে বিবেচনা করা উচিত নয়। ব্যবহারকারীদের ব্যক্তিগত ও কাজের ইমেইল আলাদা রাখা উচিত। গুরুত্বপূর্ণ সিস্টেমে প্রযুক্তি কমিউনিটির অ্যাকাউন্টের হুবহু একই ব্যবহারকারীর নাম ব্যবহার করা উচিত নয়। নিরাপত্তা বিজ্ঞপ্তি নিয়মিত পর্যবেক্ষণ করা উচিত এবং অননুমোদিত রিপোজিটরি প্রবেশাধিকার ও অ্যাপ্লিকেশনের অনুমতিগুলো সময়ে সময়ে সরিয়ে দেওয়া উচিত।

LeakData-তে যাচাইয়ের সময় China Software Developer Network-এর সঙ্গে মিল পাওয়া গেলে, ব্যবহারকারীর এটিকে পুরোনো হলেও গুরুতর প্রভাব ফেলতে পারে এমন প্লেইনটেক্সট পাসওয়ার্ডের সতর্কসংকেত হিসেবে দেখা উচিত। এই মিলের অর্থ কোড বা পেমেন্ট-সংক্রান্ত তথ্য ফাঁস হয়েছে এমন নয়; তবে অতীতে পাসওয়ার্ড সরাসরি পড়া যেত বলে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। ব্যবহারকারীর প্রথমে যেসব সিস্টেমে একই পাসওয়ার্ড ব্যবহার করা হয়েছে, সেগুলোর সবগুলোতে পাসওয়ার্ড বদলানো উচিত। এরপর ডেভেলপার অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণ আরও শক্তিশালী করা উচিত। পুরোনো পাসওয়ার্ডের ধরন অনুসরণ করে তৈরি নতুন পাসওয়ার্ডও নিরাপদ বলে বিবেচনা করা উচিত নয়।