DaFont তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ঘরটি সল্টবিহীন MD5 হ্যাশ ফরম্যাটে রয়েছে; এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পড়া যায় এমন অবস্থায় প্রকাশ করা হয়েছে। তবু MD5 দ্রুত কাজ করে এমন একটি দুর্বল হ্যাশিং পদ্ধতি হওয়ায় আক্রমণকারীরা বিশেষ করে সহজ বা আগে ফাঁস হওয়া পাসওয়ার্ডগুলো সহজেই অনুমান করতে পারে। সল্ট না থাকায় একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোকে একই হ্যাশ মানের মাধ্যমে পরস্পরের সঙ্গে যুক্ত করাও সহজ হয়।

ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে, সেই ব্যবহারকারীর সঙ্গে অন্য সৃজনশীল প্ল্যাটফর্ম, ফোরাম, ডিজাইন কমিউনিটি বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইল মিলিয়ে দেখা সম্ভব হতে পারে। শুধু একটি DaFont অ্যাকাউন্টকে খুব মূল্যবান মনে না-ও হতে পারে; তবে একই পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকলে ঝুঁকি বাড়ে। নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ভুয়া ফন্ট, লাইসেন্স, ডাউনলোড লিংক বা অ্যাকাউন্ট সতর্কতার বার্তা বিশ্বাসযোগ্য মনে হতে পারে, বিশেষ করে ডিজাইনার, এজেন্সির কর্মী বা কাজের সরঞ্জামে একই ইমেইল ঠিকানা ব্যবহার করা ব্যক্তিদের কাছে।

এই রেকর্ডে 6,37,340টি আক্রান্ত অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে এবং ঘটনাটি 16 মে 2017 তারিখে ঘটেছে বলে নথিভুক্ত আছে। কিছু প্রযুক্তিগত প্রতিবেদনে ডেটাবেসের কাঁচা তথ্যের সারির সংখ্যা আরও বেশি বলে উল্লেখ করা হলেও, এই রেকর্ডে ব্যবহৃত সংখ্যাটি যাচাইকৃত অ্যাকাউন্টের পরিধি নির্দেশ করে। ঘটনায় ফাঁস হওয়া প্রধান তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও সল্টবিহীন MD5 পাসওয়ার্ড হ্যাশ। সাইটটি পরে জানায় যে তারা পাসওয়ার্ড সংরক্ষণের কাঠামো আরও সুরক্ষিত করেছে এবং ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন বাধ্যতামূলক করেছে।

এই রেকর্ডে IP ঠিকানা, ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, জন্মতারিখ, প্রকৃত নাম বা ব্যক্তিগত বার্তার বিষয়বস্তুকে যাচাইকৃত তথ্যের ধরন হিসেবে গণ্য করা হয়নি। ঘটনাটিকে DaFont ব্যবহারকারীদের অ্যাকাউন্টের তথ্যে সীমিত হিসেবে বিবেচনা করা উচিত। মিল পাওয়ার অর্থ হলো সংশ্লিষ্ট ইমেইল ঠিকানাটি DaFont-এর ডেটাসেটে আছে; এর অর্থ এই নয় যে ব্যবহারকারীর ফন্ট ফাইল, পেমেন্টের তথ্য বা ডিভাইস আক্রান্ত হয়েছে।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা DaFont অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। পুরোনো ও কম গুরুত্ব দেওয়া অ্যাকাউন্টের পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়; তবে আক্রমণকারীরা স্বয়ংক্রিয় লগইন প্রচেষ্টায় এসব পাসওয়ার্ড ব্যবহার করতে পারে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একই হলে, বিভিন্ন ডিজাইন কমিউনিটি বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোর মধ্যেও সম্পর্ক খুঁজে বের করা সম্ভব।

ডিজাইনার, এজেন্সির কর্মী, ফন্ট নির্মাতা এবং সৃজনশীল কমিউনিটিতে সক্রিয় ব্যবহারকারীরা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো ফিশিংয়ের বেশি ঝুঁকিতে থাকেন। ভুয়া ফন্ট লাইসেন্স, কপিরাইট নোটিশ, ডাউনলোড প্যাকেজ, ডিজাইন ফাইল বা অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত বার্তা আসল বলে মনে হতে পারে। কাজের ইমেইল দিয়ে নিবন্ধন করা ব্যবহারকারীদের ক্ষেত্রে এই ঝুঁকি প্রতিষ্ঠানের নিরাপত্তা পর্যন্তও বিস্তৃত হতে পারে। তাই শুধু DaFont অ্যাকাউন্ট নয়, একই ইমেইল ও একই ধরনের পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট বিবেচনায় নেওয়া উচিত।

এই রেকর্ডে মিল দেখতে পেলে আপনার DaFont অ্যাকাউন্টের পাসওয়ার্ড এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত। নতুন পাসওয়ার্ডগুলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও অনুমান করা কঠিন হওয়া উচিত। ইমেইল অ্যাকাউন্টের সুরক্ষাকে অগ্রাধিকার দেওয়া, একাধিক স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাই চালু করা এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করে তৈরি সংস্করণগুলোকেও নিরাপদ মনে করা উচিত নয়।

ফন্ট ডাউনলোড, লাইসেন্স লঙ্ঘন, কপিরাইট নোটিশ, বিনামূল্যের প্যাকেজ, ডিজাইন ফাইল বা অ্যাকাউন্ট যাচাই নিয়ে অপ্রত্যাশিত বার্তার বিষয়ে সতর্ক থাকা উচিত। লিংক ও সংযুক্তি খোলার আগে ডোমেইন নাম ও প্রেরক যাচাই করা উচিত। প্রেরক আপনার ব্যবহারকারীর নাম বা পুরোনো DaFont সদস্যতার তথ্য জানেন বলেই তাঁকে বিশ্বাসযোগ্য ধরে নেওয়া যাবে না। পাসওয়ার্ড, যাচাইকরণ কোড, ইমেইলে প্রবেশের অধিকার বা অ্যাকাউন্ট পুনরুদ্ধারের তথ্য তৃতীয় পক্ষের সঙ্গে শেয়ার করা উচিত নয়।

DaFont-এর ঘটনাটি দেখায়, কম গুরুত্ব দেওয়া সৃজনশীল কমিউনিটির অ্যাকাউন্টগুলোও পাসওয়ার্ডের নিরাপত্তার ক্ষেত্রে গুরুত্বপূর্ণ। ব্যবহারকারীদের প্রতিটি ফোরাম, ডাউনলোড সাইট, ডিজাইন কমিউনিটি ও কাজের সরঞ্জামের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো পাসওয়ার্ড কোথায় আবার ব্যবহার করা হচ্ছে তা দেখা এবং শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়। অব্যবহৃত অ্যাকাউন্টগুলো বন্ধ করা উচিত অথবা অন্তত সেগুলোর পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা পাসওয়ার্ড দেওয়া উচিত।

দীর্ঘমেয়াদে ব্যবহারকারীর নাম ও ইমেইল ঠিকানা আলাদা রাখাও উপকারী। বিভিন্ন ডিজাইন কমিউনিটিতে একই ব্যবহারকারীর নাম ও ইমেইলের সমন্বয় ব্যবহার করা হলে প্রোফাইলগুলো সহজেই মিলিয়ে দেখা যায়। সৃজনশীল কাজে ব্যবহৃত ফাইল ও ফন্টের লিংকে ম্যালওয়্যার থাকতে পারে বা সেগুলো ফিশিংয়ের জন্য ব্যবহৃত হতে পারে। তাই ব্যবহারকারীদের কেবল বিশ্বস্ত উৎস থেকে ডাউনলোড করা এবং অপ্রত্যাশিত লাইসেন্স বা কপিরাইট-সংক্রান্ত বার্তা আলাদা যোগাযোগমাধ্যমে যাচাই করা উচিত।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো সংশ্লিষ্ট ইমেইল ঠিকানাটি 2017 সালের মে মাসে DaFont-এর তথ্য ফাঁসের ঘটনায় দেখা যাওয়া অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়া মানে ঘটনাটি চলতি বছরে ঘটেছে এমন নয়; এই রেকর্ডে ঘটনার তারিখ 16 মে 2017। যাচাইকৃত পরিধি ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও সল্টবিহীন MD5 পাসওয়ার্ড হ্যাশের মধ্যে সীমিত।

প্রথমে আপনার একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা, দুটি স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাইয়ের মাধ্যমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা এবং সৃজনশীল প্ল্যাটফর্মে ব্যবহৃত পুরোনো ব্যবহারকারীর নাম ও পাসওয়ার্ডের সমন্বয়গুলো পর্যালোচনা করা উচিত। DaFont অ্যাকাউন্ট আর সক্রিয়ভাবে ব্যবহার না করলেও, একই পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকলে ঝুঁকি থেকে যায়। দুর্বল পাসওয়ার্ড বেছে নেওয়ার সঙ্গে সল্টবিহীন MD5 হ্যাশ ফরম্যাটের ব্যবহার যুক্ত হলে তা অ্যাকাউন্টের নিরাপত্তার জন্য দীর্ঘমেয়াদি ঝুঁকি তৈরি করতে পারে।