Ethereum তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা, ব্যবহারকারীর নাম এবং ওয়েবসাইটে কার্যকলাপ-সংক্রান্ত ক্ষেত্র। উল্লেখ করা হয়েছে যে অধিকাংশ পাসওয়ার্ড bcrypt দিয়ে সুরক্ষিত, আর কিছু পাসওয়ার্ডের জন্য WordPress-ভিত্তিক সল্টযুক্ত হ্যাশ কাঠামো ব্যবহার করা হয়েছে। এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পড়া যায়; তবে দুর্বল পাসওয়ার্ড বা অন্য সেবায় পুনরায় ব্যবহার করা পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকেই যায়। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে আক্রমণকারীরা ফোরামের পরিচয়টিকে বিভিন্ন প্ল্যাটফর্মের অ্যাকাউন্টের সঙ্গে মেলানোর চেষ্টা করতে পারে। অন্যদিকে, IP ঠিকানা থেকে সংযোগের আনুমানিক অবস্থান, সেবাদাতা বা সেশনের প্রেক্ষাপট সম্পর্কে ধারণা পাওয়া যেতে পারে।

ফোরামের ব্যক্তিগত বার্তা এই রেকর্ডের এমন একটি অংশ, যা অত্যন্ত সতর্কতার সঙ্গে বিবেচনা করা প্রয়োজন। ফোরামের বার্তায় প্রযুক্তিগত আলোচনা, প্রকল্প-সংশ্লিষ্ট সম্পর্ক, কমিউনিটির ভেতরের যোগাযোগ, ব্যক্তিগত নোট বা অন্য ব্যবহারকারীদের সঙ্গে আস্থার ভিত্তিতে হওয়া কথোপকথন থাকতে পারে। ওয়েবসাইটে কার্যকলাপের তথ্য থেকেও ফোরামে একজন ব্যবহারকারীর আচরণ, যোগাযোগ ও অ্যাকাউন্ট ব্যবহারের ধরন বোঝা যেতে পারে। শুধু এই তথ্য দিয়ে আর্থিক সম্পদে প্রবেশাধিকার পাওয়া যায় না, তবে সোশ্যাল ইঞ্জিনিয়ারিং, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, ভুয়া সহায়তা বার্তা এবং পুনরায় ব্যবহার করা পাসওয়ার্ড কাজে লাগিয়ে আক্রমণের জন্য এটি সমৃদ্ধ প্রেক্ষাপট তৈরি করে।

এই রেকর্ডে যাচাইকৃত ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 16,431, এবং ঘটনার তারিখ হিসেবে 16 ডিসেম্বর 2016 ব্যবহার করা হয়েছে। আনুষ্ঠানিক বিবৃতিতে জানানো হয়েছিল, যে ডেটায় অননুমোদিত প্রবেশ ঘটেছিল, তা ছিল এপ্রিল 2016-এর একটি ফোরাম ডেটাবেসের ব্যাকআপ; এতে প্রায় 16.5 হাজার ফোরাম ব্যবহারকারীর রেকর্ড রয়েছে এবং ধারাবাহিক সোশ্যাল ইঞ্জিনিয়ারিং কৌশলের মাধ্যমে এই অননুমোদিত প্রবেশ ঘটেছে। তাই এই রেকর্ডকে Ethereum ইকোসিস্টেমের সব ব্যবহারকারী বা সব ওয়ালেটধারীর ক্ষেত্রে প্রযোজ্য বলে ধরে নেওয়া ঠিক নয়। এর পরিসর ফোরাম অ্যাকাউন্ট থাকা ব্যক্তি এবং ওই ফোরামে থাকা বার্তা ও প্রোফাইলের তথ্যের মধ্যেই সীমাবদ্ধ।

এই ঘটনায় কোনো যাচাইকৃত তথ্যক্ষেত্রকে অন-চেইন লেনদেনের ইতিহাস, ওয়ালেটের ব্যালান্স, প্রাইভেট কী, সিড ফ্রেজ বা স্মার্ট কনট্রাক্টের সম্পদ ফাঁস হওয়ার প্রমাণ হিসেবে চিহ্নিত করা উচিত নয়। পাসওয়ার্ডের একটি তথ্যক্ষেত্র থাকায় অ্যাকাউন্টের নিরাপত্তা ঝুঁকি রয়েছে; তবে অধিকাংশ পাসওয়ার্ড হ্যাশে আধুনিক ও সল্টযুক্ত সুরক্ষা ব্যবহৃত হওয়ায় ঝুঁকি মূল্যায়নের প্রধান ভিত্তি হওয়া উচিত দুর্বল পাসওয়ার্ড বেছে নেওয়া এবং একই পাসওয়ার্ড পুনরায় ব্যবহার করা। ফোরামের মূল ব্যাকআপে থাকা প্রযুক্তিগত তথ্যক্ষেত্রগুলোকে যাচাইকৃত তথ্যের শ্রেণি থেকে আলাদা করে নতুন কোনো তথ্যের ধরন হিসেবে উপস্থাপন করা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যক্তিরা, যাঁরা 2016 সালের আগে forum.ethereum.org-এ অ্যাকাউন্ট খুলেছিলেন এবং অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করেছিলেন। তাঁদের পুরোনো ফোরাম পাসওয়ার্ডটি যদি এখনো ইমেইল, এক্সচেঞ্জ, সামাজিক যোগাযোগমাধ্যম, ডেভেলপার অ্যাকাউন্ট বা কমিউনিটি প্ল্যাটফর্মে ব্যবহৃত হয়, তাহলে ঝুঁকি এখনো বহাল রয়েছে। পাসওয়ার্ড হ্যাশ সরাসরি পাঠযোগ্য না হলেও সময়ের সঙ্গে দুর্বল পাসওয়ার্ড অনুমান করা, অন্য ফাঁসের তথ্যের সঙ্গে মেলানো বা স্বয়ংক্রিয় লগইন প্রচেষ্টায় ব্যবহার করা সম্ভব হতে পারে। তাই ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখাকে অগ্রাধিকার দেওয়া উচিত।

ফোরামে ব্যক্তিগত বার্তা আদান-প্রদানকারী ডেভেলপার, Ethereum কমিউনিটির শুরুর দিকের সদস্য, ওপেন-সোর্স প্রকল্পে অবদান রাখা ব্যক্তি এবং ক্রিপ্টোকারেন্সি ইকোসিস্টেমে পরিচিত ব্যবহারকারীর নাম ব্যবহার করা ব্যক্তিরাও বাড়তি ঝুঁকিতে থাকতে পারেন। ব্যক্তিগত বার্তায় প্রকল্পের লিংক, যোগাযোগের তথ্য, প্রযুক্তিগত আলোচনা বা সামাজিক সম্পর্কের প্রেক্ষাপট থাকলে আক্রমণকারীরা আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে। IP ঠিকানা ও ওয়েবসাইটে কার্যকলাপের তথ্য থেকে ব্যবহারকারীর সময় অঞ্চল বা অনলাইনে প্রবেশের অভ্যাস সম্পর্কে সীমিত ধারণা পাওয়া যেতে পারে। তাই এই তথ্য ফাঁসের পর শুধু পাসওয়ার্ড বদলানোই যথেষ্ট নয়; অ্যাকাউন্টের পরিচয় আর কোথায় পুনরায় ব্যবহার করা হয়েছে, সেটিও যাচাই করা প্রয়োজন।

ফোরাম অ্যাকাউন্টের পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়েছে কি না, তা অবিলম্বে যাচাই করা উচিত। ইমেইল, ডেভেলপার প্ল্যাটফর্ম, ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, ক্লাউড অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম বা অন্য কমিউনিটি ফোরামে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, এসব অ্যাকাউন্টের প্রতিটির জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত, বিশেষ করে ইমেইল এবং আর্থিক লেনদেনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোকে অগ্রাধিকার দিয়ে। পুরোনো ফোরাম পাসওয়ার্ড সামান্য বদলে আবার ব্যবহার করাকে নিরাপদ মনে করা উচিত নয়।

ধরে নেওয়া উচিত যে ফোরামের ব্যক্তিগত বার্তায় সংবেদনশীল লিংক, পুরোনো আমন্ত্রণ, ব্যক্তিগত যোগাযোগের তথ্য বা অন্য অ্যাকাউন্ট সম্পর্কে সূত্র থাকতে পারে। Ethereum-সংশ্লিষ্ট ভুয়া সহায়তা বার্তা, ওয়ালেট যাচাইয়ের অনুরোধ, কমিউনিটি মডারেটর পরিচয় দেওয়া ব্যক্তি এবং অ্যাকাউন্ট হালনাগাদের লিংক সম্পর্কে ব্যবহারকারীদের সতর্ক থাকা উচিত। কোনো বৈধ সেবা বার্তার মাধ্যমে আপনার প্রাইভেট কী, সিড ফ্রেজ বা ওয়ালেট পুনরুদ্ধারের তথ্য চাইবে না। আপনার পুরোনো ফোরাম অ্যাকাউন্টের ব্যবহারকারীর নাম অন্য কোথাও ব্যবহার করে থাকলে, সেসব অ্যাকাউন্টে প্রকাশ্যে দেখা যায় এমন প্রোফাইলের তথ্য এবং পুনরুদ্ধারের বিকল্পগুলোও পর্যালোচনা করুন।

দীর্ঘমেয়াদে সবচেয়ে কার্যকর সুরক্ষা হলো প্রতিটি কমিউনিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টগুলো আলাদা ইমেইল ঠিকানা দিয়ে পরিচালনা করা। ওপেন-সোর্স, ফোরাম ও ক্রিপ্টোকারেন্সি কমিউনিটিতে ব্যবহৃত ব্যবহারকারীর নাম প্রায়ই বছরের পর বছর অপরিবর্তিত থাকে। ফলে পুরোনো একটি ফোরাম রেকর্ডও কোনো ব্যক্তির সঙ্গে তাঁর বর্তমান অ্যাকাউন্টগুলোর যোগসূত্র তৈরি করতে পারে। তাই ডেভেলপার অ্যাকাউন্ট, এক্সচেঞ্জ অ্যাকাউন্ট, ইমেইল ঠিকানা এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে অপ্রয়োজনীয়ভাবে একই পরিচয় বা তথ্যের পুনরাবৃত্তি কমানো প্রয়োজন। আলাদা পাসওয়ার্ড তৈরি করা এবং বহু বছর আগে খোলা অ্যাকাউন্টগুলোর হিসাব রাখার জন্য পাসওয়ার্ড ম্যানেজার একটি ব্যবহারিক সমাধান।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে ঘটনাটি দেখায় যে পুরোনো ব্যাকআপ ও অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলোর নিরাপত্তা সচল সিস্টেমের নিরাপত্তার মতোই গুরুত্বপূর্ণ। অব্যবহৃত ডেটাবেস ব্যাকআপে প্রবেশের সুযোগ বন্ধ করা উচিত, ব্যাকআপে প্রবেশাধিকার থাকা অ্যাকাউন্টগুলো বহু-উপাদানভিত্তিক প্রমাণীকরণ দিয়ে সুরক্ষিত করা উচিত এবং ফোন নম্বরভিত্তিক পুনরুদ্ধার ব্যবস্থায় সতর্কভাবে সীমা আরোপ করা উচিত। ফোরামের ক্ষেত্রে ব্যক্তিগত বার্তা সংরক্ষণের সময়সীমা, পাসওয়ার্ড হ্যাশিং অ্যালগরিদম, প্রবেশের লগ এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া নিয়মিত নিরীক্ষা করা উচিত। ব্যবহারকারীদের ক্ষেত্রে পুরোনো ফোরাম অ্যাকাউন্ট বন্ধ করা বা প্রোফাইলে তথ্য কমিয়ে রাখা বহু বছর পর দেখা দিতে পারে এমন ঝুঁকি কমায়।

আপনি 2016 সালের আগে Ethereum ফোরাম ব্যবহার করে থাকলে, এই রেকর্ডের সঙ্গে আপনার ইমেইল ঠিকানা যুক্ত আছে কি না তা যাচাই করা প্রয়োজন। মিল পাওয়া গেলে প্রথমে আপনার ইমেইল অ্যাকাউন্ট এবং একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে এমন সব অ্যাকাউন্ট সুরক্ষিত করুন। এরপর আপনার ফোরাম ইতিহাসে থাকা ব্যক্তিগত বার্তা, শেয়ার করা ব্যবহারকারীর নাম এবং অন্য প্ল্যাটফর্মের সঙ্গে তৈরি করা সংযোগগুলো বিবেচনায় নিয়ে আপনাকে লক্ষ্য করে পাঠানো বার্তার ব্যাপারে আরও সতর্ক থাকুন। ঘটনা পুরোনো হলেও ফোরামের পরিচয়, ইমেইল ঠিকানা এবং একই পাসওয়ার্ড পুনরায় ব্যবহারের বিষয়টি একসঙ্গে যুক্ত হলে ঝুঁকি থেকে যেতে পারে।

Ethereum-এর তথ্য ফাঁসকে যথাযথ প্রেক্ষাপটে মূল্যায়নের জন্য এই রেকর্ড তৈরি করা হয়েছে: ঘটনাটি ফোরাম ডেটাবেসের ব্যাকআপের মধ্যেই সীমাবদ্ধ, যাচাইকৃত অ্যাকাউন্টের সংখ্যা 16,431 হিসেবে রাখা হয়েছে এবং তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা, ব্যবহারকারীর নাম ও ওয়েবসাইটে কার্যকলাপ-সংক্রান্ত ক্ষেত্র। ব্যবহারকারীদের মূল করণীয় হলো আলাদা পাসওয়ার্ড ব্যবহার করা, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, ক্রিপ্টো-সংশ্লিষ্ট ভুয়া সহায়তা বার্তা সম্পর্কে সতর্ক থাকা এবং আগে ব্যক্তিগত বার্তায় শেয়ার করা তথ্য এখনো কোনো ঝুঁকি তৈরি করছে কি না তা মূল্যায়ন করা।