dBforums তথ্য ফাঁস

dBforums-এর রেকর্ডে থাকা তথ্যগুলো অ্যাকাউন্ট শনাক্ত করতে পরস্পরের পরিপূরক হিসেবে কাজ করে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম থেকে ফোরামে একজন ব্যক্তির পরিচয় জানা যায়। IP ঠিকানা থেকে অতীতে সংযোগের অঞ্চল বা নেটওয়ার্ক সেবাদাতা সম্পর্কে প্রযুক্তিগত সূত্র পাওয়া যেতে পারে। জন্মতারিখ একটি ব্যক্তিগত তথ্য, যা কিছু সেবায় পরিচয় যাচাই বা অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়ায় ব্যবহৃত হয়। পাসওয়ার্ডের ঘরে থাকা তথ্যকে সরাসরি পড়া যায় এমন পাসওয়ার্ড হিসেবে নয়, বরং সল্টযুক্ত MD5 হ্যাশ মান হিসেবে বিবেচনা করতে হবে। সল্ট ব্যবহার করলে একই পাসওয়ার্ড থেকে একই হ্যাশ তৈরি হওয়া ঠেকানো সম্ভব; তবে বর্তমান নিরাপত্তার মানদণ্ড অনুযায়ী MD5 একটি দুর্বল অ্যালগরিদম, যার হ্যাশের বিপরীতে সম্ভাব্য পাসওয়ার্ড দ্রুত পরীক্ষা করা যায়।

এসব তথ্য একসঙ্গে পেলে আক্রমণকারী শুধু পুরোনো ফোরাম অ্যাকাউন্ট নয়, একই ব্যক্তির অন্য অ্যাকাউন্টগুলোকেও লক্ষ্য করতে পারে। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম থাকলে আক্রমণকারী প্রযুক্তিবিষয়ক কমিউনিটিতে ওই ব্যক্তির আগের কার্যকলাপ খুঁজে দেখতে পারে। ইমেইল ঠিকানার সঙ্গে জন্মতারিখ ও IP-সংক্রান্ত প্রেক্ষাপট ব্যবহার করে ভুয়া অ্যাকাউন্ট পুনরুদ্ধারের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। পাসওয়ার্ডের হ্যাশ ভেঙে বা অনুমান করে পাসওয়ার্ডটি বের করা গেলে অন্য সেবায়ও সেই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই পুরোনো ফোরাম অ্যাকাউন্ট বন্ধ হয়ে গেলেও ঝুঁকি থেকে যায়।

এই রেকর্ডে ব্যবহৃত 3,63,468 সংখ্যাটি যাচাইকৃত স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা বোঝায়। এটিকে আলাদা ব্যক্তির সংখ্যা হিসেবে ধরা উচিত নয়; একই ব্যক্তির পুরোনো, একাধিক বা ভিন্ন ফোরাম নিবন্ধন থাকতে পারে। ঘটনাটি 2016 সালের জুলাই মাসের। সে সময় একই মূল প্রতিষ্ঠানের অধীন অন্য ফোরামগুলোতে তথ্য ফাঁসের ঘটনার সঙ্গে এটিও নজরে আসে। এই রেকর্ডটি শুধু dBforums ডোমেইনের জন্য নির্ধারিত; একই সময়ে উল্লেখ করা অন্য ফোরামের ডোমেইন বা সংখ্যা এই রেকর্ডে যোগ করা উচিত নয়। এতে কোন ফোরাম অ্যাকাউন্টের জন্য সতর্কতা দেওয়া হয়েছে, তা ব্যবহারকারীর কাছে স্পষ্ট থাকে।

তথ্যের ক্ষেত্রও সীমিত: জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশই যাচাইকৃত তথ্য। এই রেকর্ডের তালিকায় যাচাই করা হয়নি এমন অতিরিক্ত পরিচয়, যোগাযোগ, আর্থিক বা চিকিৎসাসংক্রান্ত তথ্য যোগ করা উচিত নয়। পাসওয়ার্ডের ঘর থাকলেও বিবরণে এমন দাবি করা উচিত নয় যে পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য আকারে সংরক্ষিত ছিল। সঠিক মূল্যায়ন হলো, পাসওয়ার্ডগুলো হ্যাশ আকারে পাওয়া গেছে; তবে MD5 ব্যবহারের কারণে একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহারের ক্ষেত্রে গুরুতর ঝুঁকি রয়েছে।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা dBforums-এ অ্যাকাউন্ট খুলেছেন এবং অন্য প্রযুক্তিবিষয়ক কমিউনিটিতেও একই ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করেছেন। এই গোষ্ঠীতে ডেটাবেস প্রশাসক, ডেভেলপার, সিস্টেম প্রশাসক, ফোরাম মডারেটর এবং প্রযুক্তিগত সহায়তাকর্মীরা থাকতে পারেন। প্রযুক্তিবিষয়ক ফোরামের সদস্যরা সাধারণত বিভিন্ন ফোরাম, কোড শেয়ারিং প্ল্যাটফর্ম ও কর্মক্ষেত্রে একই ধরনের ডাকনাম ব্যবহার করেন। এর ফলে পুরোনো ফোরামের তথ্যের সঙ্গে নতুন অ্যাকাউন্টের যোগসূত্র খুঁজে পাওয়া সহজ হয়। কর্মক্ষেত্রের অ্যাকাউন্ট বা ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি আরও গুরুতর হয়ে ওঠে।

জন্মতারিখ ও IP ঠিকানা থাকা রেকর্ডগুলোর ক্ষেত্রে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকিও বিবেচনা করা দরকার। ব্যবহারকারীর ফোরামের ইতিহাস ও প্রযুক্তিবিষয়ক আগ্রহ কাজে লাগিয়ে আক্রমণকারী এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হয় সেটি কোনো ডেটাবেস টুল, ফোরাম বিজ্ঞপ্তি, নিরাপত্তা হালনাগাদ বা চাকরির সুযোগসংক্রান্ত বার্তা। যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করেছেন, তাঁদের ক্ষেত্রে ঝুঁকি ব্যক্তিগত পর্যায়ের বাইরেও যেতে পারে; পুরোনো ফোরাম অ্যাকাউন্টের তথ্যের ভিত্তিতে আক্রমণকারী প্রতিষ্ঠানের ডোমেইন ও ব্যবহারকারীর প্রযুক্তিসংক্রান্ত ভূমিকাকে লক্ষ্য করতে পারে। তাই কর্মীদের পুরোনো প্রযুক্তিবিষয়ক ফোরাম অ্যাকাউন্ট থেকে আসা সতর্কতাগুলোকেও প্রতিষ্ঠানের একই পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি হিসেবে বিবেচনা করা উচিত।

যাঁদের তথ্য dBforums-এর রেকর্ডের সঙ্গে মিলে যায়, তাঁদের প্রথম করণীয় হলো এই ফোরামে ব্যবহৃত পাসওয়ার্ড বদলানো। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহৃত হয়ে থাকতে পারে এমন সব অ্যাকাউন্টের পাসওয়ার্ডও বদলাতে হবে। ইমেইল অ্যাকাউন্ট, কর্মক্ষেত্রের অ্যাকাউন্ট, কোড রিপোজিটরি, ক্লাউড সেবা, প্রযুক্তিবিষয়ক ফোরাম এবং দূর থেকে প্রবেশের ব্যবস্থা আগে পরীক্ষা করা উচিত। নতুন পাসওয়ার্ডগুলো শক্তিশালী ও প্রতিটি অ্যাকাউন্টের জন্য আলাদা হওয়া উচিত; সম্ভব হলে পাসওয়ার্ড ম্যানেজার দিয়ে সেগুলো তৈরি করা ভালো। যেসব অ্যাকাউন্টে একাধিক উপাদানের মাধ্যমে পরিচয় যাচাইয়ের সুবিধা আছে, সেখানে এই সুরক্ষা চালু করা উচিত। পুরোনো dBforums অ্যাকাউন্টে আর প্রবেশ করা না গেলেও অন্য অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার বন্ধ করতে হবে।

দ্বিতীয় করণীয় হলো অ্যাকাউন্ট পুনরুদ্ধার ও পরিচয় যাচাইয়ের তথ্য পর্যালোচনা করা। ফাঁস হওয়া তথ্যের মধ্যে জন্মতারিখ রয়েছে বলে অন্য সেবায় জন্মতারিখভিত্তিক নিরাপত্তা প্রশ্ন বা সহায়তা দেওয়ার সময় পরিচয় যাচাইয়ের প্রক্রিয়া থাকলে সতর্ক হতে হবে। অপ্রত্যাশিত ফোরাম বিজ্ঞপ্তি, পাসওয়ার্ড রিসেটের অনুরোধ, নিরাপত্তা হালনাগাদ বা প্রযুক্তিগত টুল ডাউনলোডের লিংক সম্পর্কে ব্যবহারকারীদের সতর্ক থাকা উচিত। প্রতিষ্ঠানের ব্যবহারকারীদের উচিত কর্মক্ষেত্রের সিস্টেমে একই পাসওয়ার্ড ব্যবহার হয়ে থাকতে পারে, এই সম্ভাবনার কথা নিরাপত্তা দলকে জানানো এবং সন্দেহজনক সেশন কার্যকলাপ আছে কি না পরীক্ষা করা।

এই ঘটনা দেখায়, নিরাপত্তাসংক্রান্ত অ্যাকাউন্টের তালিকায় পুরোনো প্রযুক্তিবিষয়ক ফোরাম অ্যাকাউন্টগুলোও মনে রাখা জরুরি। ব্যবহারকারীদের পুরোনো ফোরাম, শিক্ষা, ওপেন সোর্স, ডেভেলপার ও কমিউনিটি অ্যাকাউন্ট নিয়মিত পর্যালোচনা করা উচিত। প্রতিটি প্ল্যাটফর্মে আলাদা পাসওয়ার্ড ব্যবহার করতে হবে, সম্ভব হলে অতিরিক্ত যাচাই চালু করতে হবে এবং যেসব অ্যাকাউন্ট আর ব্যবহার করা হয় না, সেগুলো বন্ধ করতে হবে। অনেক জায়গায় একই ব্যবহারকারীর নাম ব্যবহার করলে ব্যক্তির প্রোফাইল তৈরি করা সহজ হয়। তাই উচ্চ ঝুঁকির পেশাগত অ্যাকাউন্টে আলাদা ব্যবহারকারীর নাম ব্যবহারের কথাও বিবেচনা করা যেতে পারে।

ফোরাম পরিচালকদের জন্য এই ঘটনার শিক্ষা হলো, পুরোনো ফোরাম সফটওয়্যার ও পাসওয়ার্ড সংরক্ষণের পদ্ধতি হালনাগাদ রাখতে হবে। vBulletin-এর মতো জনপ্রিয় ফোরাম অবকাঠামোতে নিয়মিত হালনাগাদ, প্রবেশাধিকার সীমিত রাখা, নিরাপদভাবে পাসওয়ার্ড সংরক্ষণ এবং নিরাপত্তা পর্যবেক্ষণ প্রয়োজন। বর্তমান হুমকির পরিবেশে MD5-ভিত্তিক পাসওয়ার্ড হ্যাশকে পর্যাপ্ত সুরক্ষা হিসেবে ধরা উচিত নয়। তথ্য ফাঁসের পর শুধু ব্যবহারকারীদের পাসওয়ার্ড রিসেট করলেই চলবে না; কোন কোন তথ্য ক্ষতিগ্রস্ত হয়েছে, পাসওয়ার্ড কী আকারে সংরক্ষিত ছিল এবং ব্যবহারকারীদের কোন অ্যাকাউন্টগুলো পরীক্ষা করতে হবে, তা-ও স্পষ্টভাবে জানাতে হবে।

এই পৃষ্ঠায় যাচাইয়ের ফলাফলে dBforums-এর রেকর্ডের সঙ্গে মিল পাওয়া গেলে, প্রথমে আপনি ফোরামে কোন ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহার করেছিলেন, তা পর্যালোচনা করুন। অন্য অ্যাকাউন্টে একই পাসওয়ার্ড থেকে থাকলে সেসব অ্যাকাউন্টের পাসওয়ার্ড বদলে পুনর্ব্যবহার সম্পূর্ণ বন্ধ করুন। বিশেষ করে ইমেইল অ্যাকাউন্ট, কর্মক্ষেত্রের অ্যাকাউন্ট, প্রযুক্তিবিষয়ক ফোরাম ও কোড রিপোজিটরি পরীক্ষা করুন। জন্মতারিখ ও IP ঠিকানাও ফাঁস হওয়া তথ্যের মধ্যে থাকায় অ্যাকাউন্ট পুনরুদ্ধারের বার্তা এবং সহায়তার অনুরোধ আরও সতর্কভাবে যাচাই করুন। সন্দেহজনক লিংক সরাসরি খুলবেন না; পরিচিত লগইন পৃষ্ঠা থেকে অ্যাকাউন্ট পরীক্ষা করুন।

dBforums-এর তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও প্রযুক্তিবিষয়ক ফোরামের পুরোনো তথ্য বহু বছর পর আবার ব্যবহার করা যেতে পারে। সময়ের সঙ্গে সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশের বিপরীতে সম্ভাব্য পাসওয়ার্ড আরও দ্রুত পরীক্ষা করা সম্ভব হয়, ব্যবহারকারীর নাম অন্য প্ল্যাটফর্মের সঙ্গে মেলানো যায় এবং জন্মতারিখের মতো তথ্য সামাজিক প্রকৌশলভিত্তিক প্রতারণায় ব্যবহার করা যেতে পারে। এই রেকর্ডকে শুধু পুরোনো একটি ফোরামের স্মারক হিসেবে দেখবেন না; একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা এবং প্রযুক্তিসংক্রান্ত অ্যাকাউন্টের তালিকা ও তার নিরাপত্তা ব্যবস্থাপনা আরও সুসংহত করার একটি সুনির্দিষ্ট সতর্কতা হিসেবে নিন।