DaniWeb তথ্য ফাঁস

এই রেকর্ডে যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ। DaniWeb-এর সদস্যপদের সঙ্গে যুক্ত তথ্যগুলোর মধ্যে ইমেইল ঠিকানাকে সবচেয়ে নির্ভরযোগ্য বলে ধরা হয়। বহু বছর আগে ফোরাম কমিউনিটিতে ব্যবহৃত ইমেইল ঠিকানা প্রায়ই সক্রিয় অ্যাকাউন্টের সঙ্গে যুক্ত থাকে। তাই শুধু এই তথ্য দিয়েই নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং বার্তা, পুরোনো সদস্যপদের কথা মনে করিয়ে দেওয়া বার্তা এবং নিরাপত্তা সতর্কতার ছদ্মবেশে ভুয়া বার্তা পাঠানো যেতে পারে। DaniWeb একটি প্রযুক্তিকেন্দ্রিক কমিউনিটি হওয়ায় এর সদস্যদের মধ্যে ডেভেলপার, সিস্টেম অ্যাডমিনিস্ট্রেটর, শিক্ষার্থী বা প্রযুক্তিসংশ্লিষ্ট কাজে যুক্ত ব্যক্তি থাকার সম্ভাবনা বেশি। এই প্রেক্ষাপট কাজে লাগিয়ে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আরও বিশ্বাসযোগ্য বার্তা তৈরি করা সম্ভব।

IP ঠিকানার তথ্য থেকে একটি নির্দিষ্ট সময়ে কোন নেটওয়ার্কের মাধ্যমে অ্যাকাউন্টটি ব্যবহার করা হয়েছিল, সে সম্পর্কে প্রযুক্তিগত ধারণা পাওয়া যেতে পারে। সাধারণত এই তথ্য থেকে বাড়ির সুনির্দিষ্ট ঠিকানা বা পরিচয় জানা যায় না। তবে অন্য তথ্যের সঙ্গে মিলিয়ে দেশ, সেবাদাতা, শিক্ষাপ্রতিষ্ঠান, কর্মক্ষেত্রের নেটওয়ার্ক বা শহর সম্পর্কে অনুমান করা যেতে পারে। পাসওয়ার্ডের তথ্যের ক্ষেত্রে সীমারেখাটি স্পষ্ট রাখা জরুরি: রেকর্ডগুলোতে সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশের উল্লেখ থাকলেও DaniWeb নিজস্ব ঘোষণায় জানিয়েছে যে এই হ্যাশ ও সল্টের মান কার্যকর নয় এবং কোনো পাসওয়ার্ড বা লগইন তথ্য বেহাত হয়নি। তাই ব্যবহারকারীর পাসওয়ার্ড সরাসরি পড়া যায় এমন রূপে পাওয়া গেছে, এমন বক্তব্য দেওয়া উচিত নয়। তবু পুরোনো পাসওয়ার্ড আবার ব্যবহার করার বিষয়ে সতর্কতামূলক ব্যবস্থা নেওয়ার পরামর্শ দেওয়া উচিত।

DaniWeb-এর রেকর্ডে অ্যাকাউন্টের সংখ্যা হিসেবে 11,31,636 উল্লেখ করা হয়েছে। এই সংখ্যার প্রতিটি অ্যাকাউন্টকে আলাদা একজন ব্যক্তি হিসেবে গণ্য করা উচিত নয়। এর মধ্যে পুরোনো, ডুপ্লিকেট, বন্ধ হয়ে যাওয়া অ্যাকাউন্ট কিংবা একই ব্যক্তির একাধিক অ্যাকাউন্ট থাকতে পারে। তথ্য ফাঁসের সময়কাল 2015 সালের শেষ দিকই রাখা হয়েছে। ঘটনাটি 2016 সালে নিশ্চিত করা হয়েছে এবং বিজ্ঞপ্তির তালিকায় যুক্ত হয়েছে বলে তথ্য ফাঁসের তারিখ বদলে যায় না। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ পুরোনো তথ্য ফাঁসের রেকর্ড পরে নতুন করে সূচিভুক্ত হলে ব্যবহারকারীর কাছে সেটি নতুন ঘটনা বলে মনে হতে পারে। তথ্য ফাঁসের প্রকৃত সময়কালের সঙ্গে সামঞ্জস্য রাখতে এই পাতায় তারিখের ঘরটি অপরিবর্তিত রাখা হয়েছে।

এই রেকর্ডের সবচেয়ে সতর্কতার সঙ্গে ব্যাখ্যা করার বিষয় হলো পাসওয়ার্ডের তথ্যের প্রকৃতি। বাইরের তথ্য ফাঁসের রেকর্ডগুলোতে পাসওয়ার্ড হ্যাশকে তথ্যের একটি ধরন হিসেবে তালিকাভুক্ত করা হলেও DaniWeb-এর নিজস্ব ঘোষণায় বলা হয়েছে, কোনো কার্যকর পাসওয়ার্ড, লগইন পরিচয়তথ্য বা ব্যক্তিগত প্রোফাইলের তথ্য বেহাত হয়নি। এই অসংগতি উপেক্ষা করা উচিত নয়। তাই লেখায় পাসওয়ার্ড হ্যাশের তথ্য রাখা হয়েছে, তবে একে সরাসরি অ্যাকাউন্টের পাসওয়ার্ড বেহাত হওয়া হিসেবে বর্ণনা করা হয়নি। ব্যবহারকারীকে সঠিকভাবে যা জানানো উচিত তা হলো: ইমেইল ঠিকানা ফাঁস হয়েছে বলে ধরে নিতে হবে এবং রেকর্ডে IP ঠিকানা ও পাসওয়ার্ড হ্যাশের তথ্য থাকায় নিরাপত্তামূলক ব্যবস্থা নিতে হবে। তবে কোনো কার্যকর পাসওয়ার্ড বা সরাসরি পড়া যায় এমন লগইন তথ্য বেহাত হয়েছে বলে দাবি না করেই এসব ব্যবস্থা নিতে হবে।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন তাঁরা, যাঁরা 2015 সালের আগে বা সে সময়ে DaniWeb-এর সদস্য ছিলেন এবং অন্য প্রযুক্তি কমিউনিটি, ডেভেলপার প্ল্যাটফর্ম, শিক্ষাসংক্রান্ত অ্যাকাউন্ট বা কর্মক্ষেত্রের অ্যাকাউন্টেও একই ইমেইল ঠিকানা ব্যবহার করতেন। ফোরামের ইতিহাস পুরোনো হলেও ইমেইল ঠিকানাটি এখনও ব্যবহৃত হতে পারে। এতে আক্রমণকারীদের পক্ষে ওই ব্যক্তিকে "আপনার পুরোনো DaniWeb অ্যাকাউন্ট", "প্রযুক্তি কমিউনিটির অ্যাকাউন্টের নিরাপত্তা" বা "ফোরামে প্রবেশাধিকার" নিয়ে বার্তা পাঠানো সহজ হয়। প্রযুক্তি কমিউনিটির সদস্যদের লক্ষ্য করে পাঠানো বার্তায় কোড রিপোজিটরি, সার্ভারে প্রবেশাধিকার, ফ্রিল্যান্স প্রকল্প, শিক্ষাসংক্রান্ত অ্যাকাউন্ট বা পেশাগত সুযোগের মতো আরও নির্দিষ্ট বিষয় যোগ করা হতে পারে।

যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করেন, তাঁদের ঝুঁকি বেশি। কোনো কর্মীর কাজের ইমেইল ঠিকানা পুরোনো ফোরামের সদস্যপদের তথ্যে থাকলে, পাসওয়ার্ড একই হোক বা না হোক, তাঁকে লক্ষ্য করে পরীক্ষা-নিরীক্ষা চালানো ও সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টা সহজ হতে পারে। শিক্ষার্থী, ডেভেলপার ও সিস্টেম অ্যাডমিনিস্ট্রেটররাও একইভাবে ঝুঁকিতে থাকেন, কারণ প্রযুক্তি কমিউনিটিতে ব্যবহৃত ইমেইল ঠিকানা প্রায়ই অন্যান্য সেবাতেও ব্যবহৃত হয়। IP ঠিকানার তথ্য আগে ব্যবহৃত নেটওয়ার্কের প্রেক্ষাপট সম্পর্কেও ইঙ্গিত দিতে পারে। শুধু এই তথ্য অবস্থানের নিশ্চিত প্রমাণ নয়, তবে অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে ব্যবহারকারীর প্রোফাইল তৈরির ঝুঁকি বাড়াতে পারে।

DaniWeb অ্যাকাউন্টে ব্যবহার করা হয়ে থাকতে পারে এমন কোনো পাসওয়ার্ড আপনি অন্য কোনো অ্যাকাউন্টেও ব্যবহার করে থাকলে, প্রথম কাজ হলো এই পুনর্ব্যবহার পুরোপুরি বন্ধ করা। সেবাটি পাসওয়ার্ড হ্যাশের কার্যকারিতা নিয়ে আপত্তি জানালেও, 2015 সালের পুরোনো পাসওয়ার্ড ব্যবহারের অভ্যাস অন্য অ্যাকাউন্টে এখনও রয়ে যেতে পারে। বিশেষ করে ইমেইল অ্যাকাউন্ট, কোড রিপোজিটরি, ক্লাউড সেবা, কর্মক্ষেত্রের অ্যাকাউন্ট, ফোরাম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করে সেটি রেখে দেওয়া যথেষ্ট নয়। প্রতিটি অ্যাকাউন্টের জন্য আলাদা, এলোমেলোভাবে তৈরি ও শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত।

দ্বিতীয় কাজ হলো গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে মাল্টি-ফ্যাক্টর অথেন্টিকেশন (একাধিক উপাদান দিয়ে পরিচয় যাচাই) চালু করা। পুরোনো কোনো পাসওয়ার্ড অনুমান করা গেলেও এই সুরক্ষা অ্যাকাউন্টে প্রবেশ করা কঠিন করে তোলে। DaniWeb বা পুরোনো প্রযুক্তি ফোরামের নামে আসা পাসওয়ার্ড রিসেট, নিরাপত্তা বিজ্ঞপ্তি ও অ্যাকাউন্ট যাচাইয়ের লিংক নিয়েও আপনার সতর্ক থাকা উচিত। যাঁদের ইমেইল ঠিকানা বেহাত হয়েছে, তাঁদের একই ঠিকানায় আসা অপ্রত্যাশিত লগইন সতর্কতা ও ফাইল শেয়ার করার আমন্ত্রণও পরীক্ষা করা উচিত। IP ঠিকানার তথ্য ব্যবহার করে নেটওয়ার্ক ব্যবহারের ইতিহাসের কথা তুলে ভয় দেখানোর চেষ্টা করে এমন বার্তাও বিশ্বাস করা উচিত নয়। প্রকৃত নিরাপত্তা যাচাই সংশ্লিষ্ট সেবার আনুষ্ঠানিক লগইন পাতা থেকে সরাসরি করা উচিত।

DaniWeb-এর ঘটনাটি দেখায় যে পুরোনো ফোরামের সদস্যপদও দীর্ঘমেয়াদে অ্যাকাউন্টের নিরাপত্তায় প্রভাব ফেলে। আপনার পুরোনো কমিউনিটি, ফোরাম, শিক্ষাসংক্রান্ত, ওপেন সোর্স ও পেশাসংক্রান্ত অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, প্রয়োজনীয় অ্যাকাউন্টে ইমেইল ঠিকানা হালনাগাদ করা এবং প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে কোথায় একই পাসওয়ার্ড আবার ব্যবহার করা হচ্ছে তা দেখা এবং নতুন শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়। গুরুত্বপূর্ণ অ্যাকাউন্টে পুনরুদ্ধারের বিকল্প ও সংযুক্ত সেশনগুলোও নিয়মিত পরীক্ষা করা উচিত।

প্ল্যাটফর্ম পরিচালকদের জন্য শিক্ষাটি হলো, ফোরামের সফটওয়্যার ও পাসওয়ার্ড সংরক্ষণের পদ্ধতি সময়মতো হালনাগাদ করতে হবে। বর্তমান হুমকির পরিবেশে MD5-ভিত্তিক হ্যাশ পদ্ধতিকে নিরাপদ ধরা হয় না। পাসওয়ার্ড সংরক্ষণে আধুনিক পদ্ধতি ব্যবহার করা উচিত, যেখানে প্রক্রিয়াটি ধীরগতির ও বেশি কম্পিউটিং সম্পদসাপেক্ষ এবং সল্টিং কৌশল শক্তিশালী। তথ্য ফাঁসের পর প্রযুক্তিগত বিস্তারিত স্পষ্ট করাও গুরুত্বপূর্ণ। কোন কোন তথ্য হাতে পড়েছে তা নিয়ে মতভেদ থাকলে, যাচাইকৃত তথ্য এবং যেসব তথ্য কার্যকর নয় বলে জানানো হয়েছে, দুটিই ব্যবহারকারীকে স্পষ্টভাবে জানানো উচিত। এতে ব্যবহারকারী অপ্রয়োজনীয় আতঙ্ক থেকে সুরক্ষিত থাকেন এবং প্রয়োজনীয় সতর্কতামূলক ব্যবস্থাও নেওয়া হয়।

এই পাতায় যাচাইয়ের ফল DaniWeb-এর রেকর্ডের সঙ্গে মিলে গেলে, আপনার প্রথমে ভেবে দেখা উচিত 2015 সালে DaniWeb-এ কোন ইমেইল ঠিকানা ব্যবহার করেছিলেন এবং একই সময়ে কোন পাসওয়ার্ডগুলো একাধিক অ্যাকাউন্টে ব্যবহার করে থাকতে পারেন। অন্য অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড এখনও থাকলে, সেই সব অ্যাকাউন্টের পাসওয়ার্ড হালনাগাদ করা উচিত। ইমেইল অ্যাকাউন্টে ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের বিকল্প ও সাম্প্রতিক লগইনের কার্যকলাপ পরীক্ষা করা উচিত। কোড রিপোজিটরি, ক্লাউড স্টোরেজ, প্রযুক্তি ফোরাম ও কর্মক্ষেত্রের অ্যাকাউন্টে অপরিচিত সেশন বন্ধ করা, সংযুক্ত অ্যাপগুলো পর্যালোচনা করা এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করা উচিত।

DaniWeb-এর তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও, ইমেইল ঠিকানা ও প্রযুক্তিগত প্রেক্ষাপট থাকা রেকর্ড দীর্ঘদিন কাজে লাগতে পারে। তাই ফলাফলটিকে শুধু অতীতের একটি বিজ্ঞপ্তি হিসেবে দেখা উচিত নয়। পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করে, গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাই চালু করে এবং প্রযুক্তি কমিউনিটির অ্যাকাউন্টগুলো নিয়মিত নিরীক্ষা করে আপনি এই রেকর্ড থেকে সৃষ্ট ঝুঁকি কমাতে পারেন। বিশেষ করে যাঁরা একই ইমেইল ঠিকানা দিয়ে একাধিক ডেভেলপার বা ফোরাম অ্যাকাউন্ট ব্যবহার করেন, তাঁদের এই রেকর্ডকে নিজেদের অ্যাকাউন্টের তালিকা হালনাগাদ করার সতর্কসংকেত হিসেবে দেখা উচিত।