devkitPro: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ফোরাম পোস্ট, ব্যক্তিগত বার্তা এবং পাসওয়ার্ড হ্যাশ। প্রকাশ্য প্রোফাইলের তথ্যের বিপরীতে, ব্যক্তিগত বার্তায় ব্যবহারকারীদের একান্ত কথোপকথন, প্রকল্পের পরিকল্পনা, বাগের বিস্তারিত তথ্য, ব্যক্তিগত নোট বা অন্য সেবা সম্পর্কিত সূত্র থাকতে পারে। এসব তথ্য ফাঁসের অর্থ শুধু স্প্যাম বা ফিশিং নয়; এর মধ্যে গোপনীয়তা হারানো এবং কমিউনিটির সদস্যদের মধ্যে আস্থার সম্পর্ক ক্ষতিগ্রস্ত হওয়াও রয়েছে। ফোরাম পোস্ট আগে থেকেই সবার জন্য উন্মুক্ত থাকতে পারে। তবে প্রেক্ষাপটসহ একত্র করা হলে সেগুলো ব্যবহার করে ব্যবহারকারীদের প্রোফাইল তৈরি করা সহজ হতে পারে।

পাসওয়ার্ড ক্ষেত্রটিকে প্লেইন টেক্সট পাসওয়ার্ড হিসেবে নয়, বরং দুর্বল সল্টিং দিয়ে তৈরি পাসওয়ার্ড হ্যাশ হিসেবে বিবেচনা করা উচিত। এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পড়া যায়। তবে পুরোনো বা সহজ পাসওয়ার্ড অনুমান করে বের করার ঝুঁকি এতে বাড়ে। অন্য ফোরাম, কোড শেয়ার করার সাইট, ইমেইল অ্যাকাউন্ট বা গেম ডেভেলপমেন্ট টুলে একই ইমেইল ও পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি আরও বাড়ে। ডেভেলপারদের ছদ্মনাম, ফোরামের পুরোনো কার্যকলাপ এবং প্রযুক্তিগত কমিউনিটির সঙ্গে যোগাযোগের তথ্য একত্রে কাজে লাগাতে পারে এমন আক্রমণের ক্ষেত্রে devkitPro তথ্য ফাঁসের ঘটনাটি বিশেষভাবে গুরুত্বপূর্ণ।

ঘটনার যাচাইকৃত তারিখ হিসেবে 3 ফেব্রুয়ারি 2019 নথিভুক্ত রয়েছে, এবং 11 ফেব্রুয়ারি 2019 নাগাদ রেকর্ডটি তথ্য ফাঁসের ঘটনার তালিকায় যুক্ত করা হয়। এর পরিধি 1,508টি স্বতন্ত্র ইমেইল ঠিকানায় সীমিত। ঘটনাটি devkitPro ফোরামের তথ্য নিয়ে; এর অর্থ এই নয় যে devkitPro-এর টুলচেইন, প্যাকেজ বা ব্যবহারকারীদের নিজস্ব ডিভাইসের ডেভেলপমেন্ট পরিবেশের নিরাপত্তা ভঙ্গ হয়েছে। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ ব্র্যান্ডটি ডেভেলপার টুলের একটি ইকোসিস্টেমের সঙ্গে যুক্ত। কিন্তু এখানে বর্ণিত ঝুঁকি ফোরাম অ্যাকাউন্ট ও ফোরামের তথ্যের পর্যায়ে সীমাবদ্ধ।

তথ্যের ধরনগুলোর ক্ষেত্রেও এই সীমা বজায় রাখা উচিত। এই রেকর্ডে আর্থিক তথ্য, ঠিকানা, ফোন নম্বর, সরকারি পরিচয়পত্র বা সোর্স কোড রিপোজিটরির কী যাচাইকৃত তথ্যের শ্রেণি নয়। ব্যক্তিগত বার্তা ও ফোরাম পোস্টের বিষয়বস্তু সম্পর্কে ঢালাও ধারণা করা উচিত নয়, কারণ সেগুলোতে ব্যক্তিভেদে ভিন্ন ধরনের তথ্য থাকতে পারে। প্রতিটি ব্যক্তিগত বার্তায় সংবেদনশীল তথ্য রয়েছে, এমনটি বলা যায় না। তবে ব্যক্তিগত বার্তার ক্ষেত্রটি ফাঁস হওয়াই গোপনীয়তার জন্য ঝুঁকি তৈরি করে। পাসওয়ার্ডের ঝুঁকির ক্ষেত্রেও প্লেইন টেক্সট পাসওয়ার্ড ও দুর্বল পাসওয়ার্ড হ্যাশের পার্থক্য বজায় রাখা উচিত।

ঝুঁকিতে থাকা প্রধান গোষ্ঠীর মধ্যে থাকতে পারেন 2019 সালের আগে devkitPro ফোরামে অ্যাকাউন্ট থাকা ডেভেলপাররা, মডপ্রেমীরা, গেম কনসোলের হোমব্রু কমিউনিটির সদস্যরা এবং প্রযুক্তিগত সহায়তা নেওয়া ব্যবহারকারীরা। অন্য ফোরাম বা কোড শেয়ার করার প্ল্যাটফর্মে একই ব্যবহারকারী নাম ব্যবহার করলে তাঁদের বিভিন্ন অ্যাকাউন্টের মধ্যে যোগসূত্র খুঁজে পাওয়া আরও সহজ হতে পারে। ইমেইল ঠিকানা, ফোরাম পোস্ট ও ব্যক্তিগত বার্তা একসঙ্গে পর্যালোচনা করলে কোনো ব্যক্তির প্রযুক্তিগত আগ্রহ, ব্যবহৃত টুল এবং কমিউনিটির সঙ্গে যোগাযোগ সম্পর্কে আরও বেশি প্রেক্ষাপট জানা যেতে পারে।

একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করেন এমন ব্যক্তিরাও ঝুঁকিতে আছেন। পুরোনো ফোরামের পাসওয়ার্ড আজ অপ্রাসঙ্গিক মনে হলেও একই ধরনের পাসওয়ার্ড ইমেইল, কোড হোস্টিং, প্যাকেজ ম্যানেজার, গেম স্টোর বা অন্য কমিউনিটি অ্যাকাউন্টে থেকে যেতে পারে। ব্যক্তিগত বার্তায় শেয়ার করা লিংক, সাময়িক অ্যাক্সেস ক্রেডেনশিয়াল বা প্রকল্পের বিস্তারিত তথ্য পুরোনো হলেও সেগুলো ব্যবহার করে কিছু প্রযুক্তিগত অ্যাকাউন্টের খোঁজ পাওয়া সম্ভব। তাই devkitPro তথ্য ফাঁসের ঘটনা আকারে ছোট হলেও ডেভেলপারের পরস্পর সংযুক্ত অ্যাকাউন্টগুলোর দিক থেকে তা যাচাই করা উচিত।

devkitPro ফোরামে ব্যবহৃত পাসওয়ার্ড পরিবর্তন করা উচিত। অন্য প্রযুক্তিগত অ্যাকাউন্ট, ইমেইল অ্যাকাউন্ট, ফোরাম বা গেমিং সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে প্রতিটিতে আলাদা পাসওয়ার্ড দেওয়া উচিত। ইমেইল অ্যাকাউন্টের সুরক্ষাকে অগ্রাধিকার দেওয়া উচিত, কারণ অন্য অ্যাকাউন্ট পুনরুদ্ধারের লিংক প্রায়ই ইমেইলের মাধ্যমে আসে। যেসব অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণের সুবিধা আছে, সেগুলোতে তা চালু করা উচিত। পুরোনো ব্যক্তিগত বার্তায় শেয়ার করা লিংক, সাময়িক পাসওয়ার্ড বা অ্যাকাউন্টের আমন্ত্রণ থাকলে সেগুলো যাতে আর কার্যকর না থাকে, তা নিশ্চিত করা উচিত।

ডেভেলপার কমিউনিটিতে পাওয়া বার্তাগুলোও সতর্কতার সঙ্গে বিচার করা উচিত। পুরোনো ফোরামের প্রেক্ষাপট জানা কেউ ভুয়া সহায়তা, বিল্ডের ত্রুটি, প্যাকেজ আপডেট বা প্রকল্পে যোগ দেওয়ার আমন্ত্রণের ছলে বার্তা তৈরি করতে পারে। কোনো লিংকে ক্লিক না করে সরাসরি সংশ্লিষ্ট সেবায় যাওয়া উচিত। কোড রিপোজিটরি, প্যাকেজ অ্যাকাউন্ট ও কমিউনিটি পরিচালনার প্যানেলে অপরিচিত সেশন আছে কি না যাচাই করা উচিত। এই ঘটনায় আর্থিক তথ্য যাচাই করা হয়নি, তাই ব্যাংক বা কার্ড নিয়ে আতঙ্কিত হওয়ার প্রয়োজন নেই। তবে পরস্পর সংযুক্ত অ্যাকাউন্ট এবং ব্যক্তিগত বার্তার গোপনীয়তার বিষয়ে সতর্ক থাকা উচিত।

দীর্ঘমেয়াদে ডেভেলপার কমিউনিটির জন্য আলাদা ইমেইল ঠিকানা ও প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। প্রধান ইমেইল ঠিকানা, প্রধান ব্যবহারকারী নাম বা পেশাগত পরিচয়ের সঙ্গে হুবহু মিলে যায় এমন তথ্য অপ্রয়োজনে ফোরাম অ্যাকাউন্টে শেয়ার করা উচিত নয়। ব্যক্তিগত বার্তায় স্থায়ী অ্যাক্সেস ক্রেডেনশিয়াল, আমন্ত্রণ কোড বা প্রকল্পের সংবেদনশীল বিবরণ সংরক্ষণ করা উচিত নয়। পুরোনো কমিউনিটি অ্যাকাউন্ট নিয়মিত পর্যালোচনা করা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা এবং সবার কাছে দৃশ্যমান প্রোফাইলের তথ্য যতটা সম্ভব কম রাখা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো ফোরামের পাসওয়ার্ড অন্য অ্যাকাউন্টে থেকে যাওয়া ঠেকানো যায়।

কমিউনিটি ও ফোরাম প্রশাসকদের জন্য devkitPro-এর ঘটনাটি দেখায় যে ছোট প্ল্যাটফর্মেও পাসওয়ার্ড সংরক্ষণের শক্তিশালী পদ্ধতি এবং প্রয়োজনের অতিরিক্ত তথ্য না রাখার চর্চা চালু করা দরকার। ব্যক্তিগত বার্তা সংরক্ষণের মেয়াদ সীমিত রাখা, ব্যাকআপ সুরক্ষিত রাখা, ফোরাম সফটওয়্যার হালনাগাদ রাখা এবং প্রশাসকদের অ্যাক্সেস আরও কঠোরভাবে নিয়ন্ত্রণ করা উচিত। পাসওয়ার্ড হ্যাশ তৈরি করা উচিত হালনাগাদ, গণনার ব্যয় বেশি এমন এবং নিরাপদ পদ্ধতিতে। কোনো ঘটনার পর ব্যবহারকারীদের স্পষ্ট ও সীমিত তথ্য দিলে অপ্রয়োজনীয় আতঙ্ক এবং অ্যাকাউন্টের নিরাপত্তার প্রকৃত ঝুঁকি উপেক্ষা করা, দুটিই ঠেকানো যায়।

আপনি যদি এই রেকর্ডে আপনার তথ্যের মিল পান, তাহলে আপনার ইমেইল ঠিকানা devkitPro তথ্য ফাঁসের সঙ্গে সম্পর্কিত 1,508টি স্বতন্ত্র ইমেইল ঠিকানার মধ্যে থাকতে পারে। মিল পাওয়ার অর্থ হতে পারে যে আপনার ইমেইল ঠিকানা কোনো ফোরাম অ্যাকাউন্ট, ব্যক্তিগত বার্তা বা ফোরাম পোস্টের প্রেক্ষাপটে ছিল। এর অর্থ এই নয় যে আপনার আর্থিক তথ্য ফাঁস হয়েছে। তবে আপনার ফোরাম পরিচয়, ব্যক্তিগত বার্তার বিষয়বস্তু এবং আগে ব্যবহৃত পাসওয়ার্ডগুলো যাচাই করা প্রয়োজন। প্রথম পদক্ষেপ হলো সংশ্লিষ্ট সময়ে ফোরামের পাসওয়ার্ডটি আপনি আর কোথায় ব্যবহার করেছিলেন, তা নির্ধারণ করা।

পুরোনো ডেভেলপার ফোরাম, কোড রিপোজিটরি, প্যাকেজ অ্যাকাউন্ট ও কমিউনিটি প্রোফাইল পর্যালোচনা করা উচিত। একাধিক জায়গায় একই পাসওয়ার্ড বা ব্যবহারকারী নাম ব্যবহার করা হলে ঝুঁকি বেশি। ব্যক্তিগত বার্তায় আগে শেয়ার করা কোনো লিংক বা অ্যাক্সেসের তথ্য থাকলে সেগুলোর কার্যকারিতা বাতিল করা উচিত। devkitPro তথ্য ফাঁসের ঘটনায় সঠিক করণীয় হলো একে বড় ধরনের আর্থিক ক্ষতি হিসেবে অতিরঞ্জিত না করা। বরং ব্যক্তিগত বার্তা ও ডেভেলপারের পরস্পর সংযুক্ত অ্যাকাউন্টগুলোর দিক থেকে গুরুত্বপূর্ণ একটি ছোট পরিসরের ফোরাম তথ্য ফাঁস হিসেবে বিবেচনা করে পাসওয়ার্ড, ইমেইল অ্যাকাউন্ট ও প্রযুক্তিগত কমিউনিটির অ্যাকাউন্টগুলো সুরক্ষিত করা উচিত।