Edmodo: 2017 সালের ডেটা ফাঁস

যাচাইকৃত ডেটার ধরনগুলো হলো ইমেইল ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। পাসওয়ার্ডের ঘরটি bcrypt হ্যাশ হিসেবে বিবেচনা করতে হবে। প্লেইন টেক্সট পাসওয়ার্ড ফাঁসের তুলনায় এতে ঝুঁকি কম হলেও বিপদ পুরোপুরি দূর হয় না। আক্রমণকারীরা দুর্বল পাসওয়ার্ড, একাধিক অ্যাকাউন্টে ব্যবহৃত একই পাসওয়ার্ড এবং পুরোনো পাসওয়ার্ডের বিভিন্ন রূপ দিয়ে চেষ্টা করতে পারে। ব্যবহারকারীর নাম ও ইমেইল ঠিকানা একসঙ্গে জানা থাকলে ভুয়া স্কুল বিজ্ঞপ্তি, অ্যাকাউন্ট সতর্কবার্তা বা পাসওয়ার্ড রিসেটের ছদ্মবেশে পাঠানো ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব।

শিক্ষামূলক প্ল্যাটফর্মের ক্ষেত্রে আরও বিস্তৃত পরিসরের মানুষ ঝুঁকির লক্ষ্যবস্তু হয়। শিক্ষার্থী, শিক্ষক ও অভিভাবক একই সেবার মাধ্যমে যোগাযোগ করেন বলে আক্রমণকারীরা প্রতিষ্ঠানের নাম, ক্লাস, অ্যাসাইনমেন্ট, অনলাইন পাঠ বা অ্যাকাউন্ট হালনাগাদের কথা উল্লেখ করে বার্তা পাঠিয়ে ব্যবহারকারীদের প্রতারিত করার চেষ্টা করতে পারে। এই ঘটনায় পেমেন্ট কার্ড, সরকারি পরিচয়পত্রের তথ্য, স্বাস্থ্যসংক্রান্ত ডেটা বা ব্যক্তিগত বার্তার বিষয়বস্তুকে যাচাইকৃত ডেটার ধরন হিসেবে বিবেচনা করা উচিত নয়। ঝুঁকি মূল্যায়নের মূল বিষয় হওয়া উচিত ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ, এই তিন ধরনের তথ্য।

ঘটনার তারিখ হিসেবে 11 মে 2017 গ্রহণ করা হয়েছে এবং রেকর্ড যুক্ত করার যাচাইকৃত তারিখ হিসেবে 1 জুন 2017 ধরা হয়। এর পরিসরে রয়েছে 4,34,23,561টি স্বতন্ত্র ইমেইল ঠিকানা এবং মোট প্রায় 7 কোটি 70 লাখ ডেটা সারি। একই ব্যবহারকারীর একাধিক রেকর্ড, ইমেইল ঠিকানাবিহীন অ্যাকাউন্ট বা ডেটাসেটে সদৃশ রেকর্ড থাকার কারণে এই পার্থক্য হতে পারে। তাই ব্যবহারকারীকে জানানো প্রকৃত প্রভাব স্বতন্ত্র অ্যাকাউন্টের সংখ্যার ভিত্তিতে মূল্যায়ন করা উচিত।

Edmodo-র ডোমেইন edmodo.com হিসেবে যাচাই করা হয়েছে। কোম্পানির দেশ হিসেবে যুক্তরাষ্ট্র এবং খাত হিসেবে শিক্ষাপ্রযুক্তি নথিভুক্ত করা হয়েছে। ঘটনাটিকে নিশ্চিত ডেটা ফাঁস হিসেবে চিহ্নিত করা হয়েছে এবং সংবেদনশীল ডেটার ফ্ল্যাগটি বন্ধ রাখা হয়েছে। কারণ যাচাইকৃত ডেটার ধরনগুলো অ্যাকাউন্টে লগইন করার তথ্যেই সীমিত, শিশু বা শিক্ষা-সম্পর্কিত ব্যক্তিগত বিষয়বস্তুতে নয়। তবু শিক্ষার প্রেক্ষাপটে ফিশিং, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার এবং স্কুলের সঙ্গে সংশ্লিষ্ট ব্যক্তিদের লক্ষ্যবস্তু করা উল্লেখযোগ্য ঝুঁকি।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই শিক্ষার্থী, শিক্ষক, অভিভাবক ও স্কুলকর্মীরা, যাঁরা Edmodo অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। ইমেইল অ্যাকাউন্ট, স্কুলের তথ্যব্যবস্থা, ক্লাউড ফাইল সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে। ডেটা ফাঁসের ঘটনা পুরোনো হলেই নিরাপত্তা স্বয়ংক্রিয়ভাবে নিশ্চিত হয় না। ব্যবহারকারী যদি বছরের পর বছর সামান্য পরিবর্তন করে একই পাসওয়ার্ড ব্যবহার করতে থাকেন, তাহলে ঝুঁকি বহাল থাকে।

প্রতিষ্ঠানের ক্ষেত্রে ঝুঁকি হলো, ফিশিং অভিযানে স্কুলের ইমেইল ডোমেইন ও ব্যবহারকারীর নাম লক্ষ্যবস্তু হতে পারে। শিক্ষক বা প্রশাসকের অ্যাকাউন্ট দখল হলে শিক্ষার্থী ও অভিভাবকদের বিরুদ্ধে আরও বিশ্বাসযোগ্য প্রতারণার পরিস্থিতি তৈরি করা সম্ভব। অভিভাবক ও শিক্ষার্থীদের অ্যাকাউন্টের ক্ষেত্রে ভুয়া অ্যাসাইনমেন্টের বিজ্ঞপ্তি, ক্লাসের ঘোষণা বা পাসওয়ার্ড রিসেট লিংকের মতো বার্তা কার্যকর হতে পারে। তাই প্রতিষ্ঠানের উচিত শুধু ব্যক্তিগতভাবে পাসওয়ার্ড পরিবর্তন নয়, সবার মধ্যে সচেতনতা তৈরি এবং ইমেইলের নিরাপত্তা ব্যবস্থার দিকেও মনোযোগ দেওয়া।

প্রথম পদক্ষেপ হলো, Edmodo-তে ব্যবহৃত একই ইমেইল ঠিকানা বা ব্যবহারকারীর নাম দিয়ে খোলা অ্যাকাউন্টগুলোতে একই পাসওয়ার্ড আবার ব্যবহার করা হয়েছে কি না, তা যাচাই করা। অন্য অ্যাকাউন্টে একই বা একই ধরনের পাসওয়ার্ড থাকলে প্রতিটি সেবার জন্য আলাদা, দীর্ঘ ও এলোমেলোভাবে তৈরি পাসওয়ার্ড বেছে নেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে এই প্রক্রিয়া আরও নির্ভরযোগ্য হয়। যাচাইয়ের ক্ষেত্রে ইমেইল অ্যাকাউন্ট, স্কুলের অ্যাকাউন্ট, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম ও আর্থিক অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত।

যেসব অ্যাকাউন্টে বহু-ফ্যাক্টর প্রমাণীকরণের সুবিধা আছে, সেগুলোতে তা চালু করা উচিত। ইমেইল অ্যাকাউন্ট বিশেষভাবে সুরক্ষিত রাখা প্রয়োজন, কারণ পাসওয়ার্ড রিসেটের লিংক প্রায়ই সেখানেই আসে। ব্যবহারকারীদের অপ্রত্যাশিত স্কুল বিজ্ঞপ্তি, সন্দেহজনক সংযুক্ত ফাইল, ভুয়া লগইন পেজ এবং জরুরিভাবে পাসওয়ার্ড নবায়নের বার্তা সম্পর্কে সতর্ক থাকা উচিত। প্রতিষ্ঠানের পক্ষ থেকে ডোমেইন স্পুফিং প্রতিরোধ, ইমেইল ফিল্টার, সংযোগের নিরাপত্তা যাচাই এবং শিক্ষক-অভিভাবক যোগাযোগমাধ্যমে তথ্য যাচাইয়ের অভ্যাস জোরদার করা উচিত।

দীর্ঘমেয়াদে একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার সম্পূর্ণভাবে বন্ধ করতে হবে। প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, যেখানে সম্ভব বহু-ফ্যাক্টর প্রমাণীকরণ এবং নিয়মিত সেশন যাচাই মৌলিক নিরাপত্তা নিয়ম হওয়া উচিত। শিক্ষাপ্রতিষ্ঠানের উচিত শিক্ষার্থী ও শিক্ষকদের মধ্যে অ্যাকাউন্টের নিরাপত্তা সম্পর্কে সচেতনতা বাড়ানো এবং স্পষ্টভাবে বোঝানো যে পুরোনো ডেটা ফাঁসের তথ্য বহু বছর পরও অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা যেতে পারে।

স্কুল ও শিক্ষা সেবাদাতাদের জন্য স্থায়ী কৌশল হলো, অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত সতর্কবার্তা শুধু ডেটা ফাঁসের দিনেই সীমাবদ্ধ না রাখা। পুরোনো ফাঁস হওয়া তথ্য দীর্ঘদিন ধরে আক্রমণকারীদের পাসওয়ার্ড তালিকায় ঘুরতে পারে। তাই পাসওয়ার্ড রিসেট নীতি, ফাঁস হওয়া ডেটার সঙ্গে মিলে যায় এমন পাসওয়ার্ড ব্যবহার ঠেকানোর ব্যবস্থা, অস্বাভাবিক লগইনের সতর্কবার্তা এবং ব্যবহারকারী প্রশিক্ষণ একসঙ্গে পরিচালনা করা উচিত। শিক্ষা খাতের সামগ্রিক ব্যবস্থায় লগইন তথ্যের নিরাপত্তা কতটা গুরুত্বপূর্ণ, Edmodo-র ঘটনা তার একটি স্পষ্ট উদাহরণ।

LeakData-তে Edmodo-র ফলাফল দেখলে আপনার প্রথমে এই অ্যাকাউন্টের পুরোনো পাসওয়ার্ড মনে করার চেষ্টা করা উচিত এবং একই পাসওয়ার্ড আর কোথায় ব্যবহার করা হয়ে থাকতে পারে, তার তালিকা করা উচিত। পাসওয়ার্ডটি এখন আর ব্যবহার না করলেও, অন্য অ্যাকাউন্টে সেটির অনুরূপ কোনো পাসওয়ার্ড পাওয়া গেলে তা পরিবর্তন করা উচিত। অ্যাকাউন্টটি শিক্ষার্থী, শিক্ষক বা অভিভাবক, যাঁরই হোক না কেন, প্রথমে ইমেইল অ্যাকাউন্ট ও স্কুল-সংযুক্ত সেবাগুলো যাচাই করা উচিত।

এই ঘটনার ক্ষেত্রে সবচেয়ে উপযুক্ত পদক্ষেপ হলো শুধু Edmodo-র পাসওয়ার্ড পরিবর্তন না করে, একই ইমেইল ঠিকানার সঙ্গে যুক্ত সব গুরুত্বপূর্ণ অ্যাকাউন্ট পর্যালোচনা করা। আপনার উচিত সক্রিয় সেশনগুলো যাচাই করা, অপরিচিত লগইন সেশন বন্ধ করা, বহু-ফ্যাক্টর প্রমাণীকরণ চালু করা এবং স্কুল-সংক্রান্ত সন্দেহজনক বার্তার ব্যাপারে আরও সতর্ক থাকা। এভাবে শিক্ষামূলক প্ল্যাটফর্মের পুরোনো ডেটা ফাঁসের কারণে বর্তমান অ্যাকাউন্টের নিরাপত্তায় যে প্রভাব পড়তে পারে, তা আরও ভালোভাবে নিয়ন্ত্রণ করা যায়।