GamingUnity তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাইমূলক মূল্যায়নে 2017 সালের মে মাসের 11,463টি রেকর্ড এবং ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশ ও সল্টের ক্ষেত্রের সমর্থনকারী তথ্যের ভিত্তিতে gamingunity.com ডোমেইনটি নিশ্চিত করা হয়েছে। পুরোনো ফোরাম, ই-কমার্স, ক্রীড়া আয়োজন, গেমিং কমিউনিটি, প্রযুক্তিপণ্য সরবরাহ ও মানচিত্রবিষয়ক সাইটের নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষভাবে গুরুত্বপূর্ণ। কারণ একই রকম নামের সাইট, বন্ধ হয়ে যাওয়া ডোমেইন বা পুনর্নির্দেশের কারণে আলাদা ঘটনাকে একই ঘটনা বলে মনে হতে পারে। GamingUnity-এর রেকর্ড তৈরির সময় নাম, ডোমেইন, রেকর্ডের সংখ্যা, ঘটনার সময় ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ডের ক্ষেত্রটি হ্যাশ করা বলে মনে হলেও ব্যবহৃত অ্যালগরিদম বা হ্যাশের ধরন শক্তিশালী না হলে অফলাইনে পাসওয়ার্ড ভাঙার চেষ্টার বাস্তব ঝুঁকি থাকে। গেমে ব্যবহৃত ব্যবহারকারীর নাম অন্য প্ল্যাটফর্মেও পুনরায় ব্যবহৃত হয়, আর সল্টযুক্ত MD5 হ্যাশ অফলাইনে পরীক্ষা করা যায়। তাই এই রেকর্ডে শুধু ঘটনার নাম উল্লেখ করা হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার ব্যাপারে সতর্ক থাকতে হবে, তা বুঝতে ব্যবহারকারীকে সহায়তা করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দৃশ্যমান তথ্যের শ্রেণি ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড ও পাসওয়ার্ড সল্টের ক্ষেত্রের মধ্যেই সীমিত ছিল। গেমের ভেতরের ইনভেন্টরি, পেমেন্ট, IP ঠিকানা, ব্যক্তিগত বার্তা বা আসল নামের ক্ষেত্র যুক্ত করা হয়নি, কারণ এগুলোর পক্ষে সরাসরি সমর্থনকারী তথ্য নেই। সচেতনভাবেই এই সীমা রাখা হয়েছে: তথ্য ফাঁসের রেকর্ডে পরিসর অতিরিক্ত বিস্তৃত করে দেখালে ব্যবহারকারীরা ভুল করে কোনো অ্যাকাউন্টকে ঝুঁকিপূর্ণ মনে করতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডের বিষয়টি এড়িয়ে যেতে পারেন।

বর্তমান যাচাইয়ে gamingunity.com ডোমেইনকে নির্ভরযোগ্যভাবে চালু থাকা সক্রিয় সেবা হিসেবে নিশ্চিত করা যায়নি, অথবা এটিকে আগের ব্র্যান্ডের প্রেক্ষাপট থেকে বিচ্ছিন্ন বলে মনে হয়েছে। তাই রেকর্ডে সেবাটিকে বন্ধ বা প্রবেশ করা যায় না এমন সেবা হিসেবে রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনাটি ঘটার সময়কার নিরাপত্তাগত প্রভাব দূর করে না। পুরোনো ডোমেইন আজ অন্য পাতায় পুনর্নির্দেশ করলেও, পার্ক করা অবস্থায় আছে বলে মনে হলেও বা সেবাটি বদলে গেলেও, একই পাসওয়ার্ড পুনরায় ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য দিয়ে বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার লগইনের চেষ্টা করা যেতে পারে।

ব্যবহারকারীর প্রথমেই যাচাই করা উচিত, GamingUnity-এর সঙ্গে যুক্ত ইমেইল ঠিকানা অন্য সেবাতেও ব্যবহার করা হয়েছে কি না। একই ইমেইল ও পাসওয়ার্ডের জোড়া অন্য সাইটেও ব্যবহার করা হলে ঝুঁকি একটি অ্যাকাউন্টে সীমাবদ্ধ থাকে না। বিশেষ করে ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও করপোরেট পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে একের পর এক অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

গেমিং ফোরামের পাসওয়ার্ড ইমেইল, গেম স্টোর, প্রকাশনা প্ল্যাটফর্ম ও সামাজিক কমিউনিটির অ্যাকাউন্টে পুনরায় ব্যবহার করা উচিত নয়। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করাই যথেষ্ট নয়। যেমন, পুরোনো পাসওয়ার্ডের শেষে বছর, বিস্ময়চিহ্ন বা সাইটের নাম যোগ করলে স্বয়ংক্রিয় আক্রমণের সরঞ্জাম দিয়ে সেই পাসওয়ার্ডগুলো সহজেই চেষ্টা করা যায়। সবচেয়ে ভালো পদ্ধতি হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, যেখানে সম্ভব একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা এবং পুরোনো পুনরুদ্ধার ইমেইল ঠিকানাগুলো পর্যালোচনা করা।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে এই রেকর্ডের সঙ্গে গেমিং কমিউনিটিতে দুর্বল হ্যাশ অ্যালগরিদম বাদ দেওয়া, পুরোনো ফোরামের টেবিলে প্রবেশাধিকার সীমিত করা এবং ব্যবহারকারীর নামের পুনরাবৃত্তি ঠেকাতে সুরক্ষাব্যবস্থা প্রয়োগের বিষয়গুলোও যুক্ত। তথ্য ফাঁসের প্রভাব শুধু ব্যবহারকারীর টেবিল ফাঁসের মধ্যেই শেষ হয় না। একই পাসওয়ার্ড VPN, প্রশাসনিক প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহৃত হলে ঘটনাটি নেটওয়ার্কের ভেতরে এক সিস্টেম থেকে অন্য সিস্টেমে আক্রমণকারীর অনুপ্রবেশ এবং অননুমোদিত প্রবেশের ঝুঁকি তৈরি করতে পারে।

GamingUnity-এর ঝুঁকি মূল্যায়নের সময় পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনা করা হয়েছে: সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ। সাধারণ পাঠ্যরূপে রাখা পাসওয়ার্ড সরাসরি ব্যবহার করা যায় বলে বাস্তবে এগুলোর ঝুঁকি সবচেয়ে বেশি। MD5, সল্টযুক্ত MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্টের তথ্য থাকা টেবিল সাধারণ পাঠ্যরূপে না থাকলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়।

GamingUnity-এর তথ্য ফাঁস, গেমিং সাইটের পাসওয়ার্ড ফাঁস, সল্টযুক্ত MD5 হ্যাশের ঝুঁকি এবং গেমিং অ্যাকাউন্টের নিরাপত্তা, এ ধরনের ভিন্ন ভিন্ন নাম বা বর্ণনার মাধ্যমে ঘটনাটির পরিসর বোঝা সহজ করার জন্য এই রেকর্ড তৈরি করা হয়েছে। উদ্দেশ্য হলো, GamingUnity-এর তথ্য ফাঁসের ঘটনায় প্রভাবিত যে কেউ যেন স্পষ্টভাবে দেখতে পারেন কী ঘটেছে, কোন ধরনের তথ্য যাচাই করা হয়েছে, কোন ক্ষেত্রগুলো বাদ দেওয়া হয়েছে এবং নিরাপত্তার জন্য কী পদক্ষেপ নেওয়া দরকার।

ভুলভাবে মিলে যাওয়ার ঘটনা কমাতে একই রকম নামগুলো আলাদা রাখা হয়েছে। gamingunity.com-এর সঙ্গে সম্পর্কহীন সাধারণ তথ্যসংগ্রহ, একই রকম নামের অন্য ব্র্যান্ডের ডেটাবেস বা শুধু এক লাইনের দাবিতে সীমিত রেকর্ড এই ঘটনার সঙ্গে একত্র করা হয়নি। এই পার্থক্য রাখায় একই তথ্য ফাঁসের ঘটনা বারবার নথিভুক্ত হয় না এবং ব্যবহারকারী তালিকায় প্রকৃতপক্ষে প্রাসঙ্গিক ডোমেইনটিই দেখতে পান।

ঘটনাটি যে অতীতের, সেটিও গুরুত্বপূর্ণ। 2017 সালের মে মাসের নিরাপত্তা কাঠামো, পাসওয়ার্ড সংরক্ষণের মানদণ্ড এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের চর্চা আজকের প্রত্যাশার চেয়ে ভিন্ন হতে পারে। তবে এতে পুরোনো রেকর্ডের প্রভাব কমে যায় না। পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়া নতুন সেবায় চেষ্টা করে এখনো অ্যাকাউন্ট দখলের প্রচেষ্টা চালানো যেতে পারে।

GamingUnity-এর রেকর্ডে ব্যবহারকারীকে দেখানো সংখ্যা 11,463 রাখা হয়েছে। নিবন্ধনের সংখ্যা যে ব্যবহারকারীর সঠিক সংখ্যার সমান হবে, এমন নয়। কিছু ডেটাসেটে একই সারি একাধিকবার থাকতে পারে, পরীক্ষামূলক অ্যাকাউন্ট থাকতে পারে বা কোনো কোনো ক্ষেত্রের তথ্য অনুপস্থিত থাকতে পারে। তা সত্ত্বেও, নিশ্চিত হওয়া মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীদের নিরাপত্তার ক্ষেত্রে কতটা অগ্রাধিকার দেওয়া উচিত, তা বোঝানোর জন্য যথেষ্ট নির্দেশক।

নিরাপত্তা সচেতনতার জন্য এই রেকর্ড তৈরি করা হয়েছে। ফাঁস হওয়া তথ্য খোঁজা, ডাউনলোড করা বা ভাগ করে নেওয়ার জন্য ব্যবহারকারীদের উৎসাহিত করা হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজার ব্যবহার করে সব অ্যাকাউন্টের পাসওয়ার্ড আলাদা করা।

GamingUnity-এর ঘটনায় তথ্যের ধরন সীমিত মনে হলেও শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই আক্রমণকারীর জন্য যথেষ্ট হতে পারে। ইমেইল ঠিকানা ব্যবহার করে কোনো ব্যক্তির পরিচয় শনাক্ত করা, পাসওয়ার্ড রিসেটের চেষ্টা করা, ভুয়া বিজ্ঞপ্তি ও প্রচারণামূলক ইমেইল পাঠানো এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণা চালানো যেতে পারে। পাসওয়ার্ডটি অন্যত্রও ব্যবহৃত হলে সেটি দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের ব্যবহারিক করণীয় তালিকা হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ডটি মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড থাকা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান, প্রধান ইমেইল অ্যাকাউন্টের লগইন ইতিহাস পরীক্ষা করুন, দুই ধাপে যাচাইকরণ চালু করুন এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার করবেন না। প্রতিষ্ঠানের করণীয় হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশসংক্রান্ত নীতিমালা নিরীক্ষা করা এবং চুরি হওয়া লগইন তথ্য দিয়ে স্বয়ংক্রিয়ভাবে প্রবেশের চেষ্টা শনাক্তে সতর্কসংকেতের ব্যবস্থা করা।

এই লেখাটি তৈরির সময় ঘটনার বাইরের ব্র্যান্ড, সাধারণ তথ্যসংগ্রহ এবং অপ্রমাণিত তথ্যের ক্ষেত্র ইচ্ছাকৃতভাবে বর্ণনায় রাখা হয়নি। GamingUnity-এর রেকর্ডের উদ্দেশ্য হলো স্বতন্ত্র তথ্য ফাঁসের ঘটনাটি স্পষ্ট করা, gamingunity.com-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী কী যাচাই করতে হবে তা দেখানো এবং তথ্য ফাঁসের পাতায় অপ্রয়োজনীয়ভাবে উৎস আরোপ না করে যাচাইকৃত ডোমেইনগুলোকে গুরুত্ব দেওয়া।

GamingUnity-এর ক্ষেত্রে দ্বিতীয় স্তরের ঝুঁকি হলো ফাঁস হওয়া লগইন তথ্য অন্য ডেটাসেটের সঙ্গে মিলে যাওয়া। একই ইমেইল ঠিকানা আগে ফোরাম, কেনাকাটা, চাকরির আবেদন, গেম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ওই ব্যক্তির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারে।

gamingunity.com ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও মুছে ফেলা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড থাকা সব রেকর্ড খুঁজে প্রতিটির পাসওয়ার্ড আলাদা করতে হবে। বিশেষ করে সাধারণ পাঠ্যরূপে থাকা পাসওয়ার্ড বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারীকে পাসওয়ার্ড অনুমান না করেই সরাসরি সেটি দিয়ে প্রবেশের চেষ্টা করার সুযোগ থাকতে পারে।

নিরাপত্তা দলগুলোর জন্য এই রেকর্ড দেখায় যে ফাঁস হওয়া লগইন তথ্য পর্যবেক্ষণের কাজে ডোমেইনভিত্তিক মিল যাচাই করা দরকার। শুধু প্রতিষ্ঠানের নাম দিয়ে খোঁজা যথেষ্ট নাও হতে পারে। পুরোনো ডোমেইন, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে পুনর্নির্দেশ করা হয় সেটি এবং ব্যবহারকারীদের ইমেইল ঠিকানার শেষাংশ একসঙ্গে যাচাই করা উচিত। এতে প্রকৃত ঝুঁকি ধরা পড়ে এবং একই রকম নামের কিন্তু সম্পর্কহীন রেকর্ড ভুল করে একত্র হয়ে যায় না।

এই রেকর্ডে তথ্যের শ্রেণি বর্ণনার ভাষা ইচ্ছাকৃতভাবে সহজ রাখা হয়েছে: ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড ও পাসওয়ার্ড সল্টের ক্ষেত্র। প্রযুক্তিগত খুঁটিনাটিতে আটকে না গিয়ে কোন তথ্য প্রকাশিত হচ্ছে, তা ব্যবহারকারীদের বোঝা দরকার। অন্যদিকে, পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনাটির বাস্তব প্রভাব নির্ধারণ করেছে। ‘সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ’ কথাটি বোঝায় যে ঘটনাটি শুধু একটি ইমেইল তালিকা ফাঁসের বিষয় নয়; অ্যাকাউন্টের নিরাপত্তার দৃষ্টিকোণ থেকেও এর মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন এমন ব্যক্তিদের জন্য সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, তথ্য ফাঁসের একটি রেকর্ড পুরো অ্যাকাউন্ট নিরাপত্তার ইতিহাস নতুন করে পর্যালোচনার সুযোগ করে দেয়। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়; কিন্তু ফাঁস হওয়া ডেটাসেট হারিয়ে যায় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি পাসওয়ার্ড আলাদা করা এবং প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখাকে অগ্রাধিকার দেওয়া উচিত।

রেকর্ডের কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের ঘরে শুধু ডোমেইন নাম ব্যবহার করা হয়েছে, লোগোর ছবি রেকর্ডের সঙ্গে মেলানো হয়েছে, বর্ণনা ঘটনার পরিসরে সীমিত রাখা হয়েছে এবং একক রেকর্ড কাঠামোর মাধ্যমে একই ঘটনা একাধিকবার নথিভুক্ত হওয়ার ঝুঁকি কমানো হয়েছে। উন্মুক্ত রেকর্ড পাতায় ভুল লিংক দেখানো এড়াতে এবং ভিন্ন URL-এ একই ঘটনা আবার দেখানো ঠেকাতে এই বিন্যাস গুরুত্বপূর্ণ।

সব মিলিয়ে, GamingUnity-এর তথ্য ফাঁস অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত একটি ঘটনা। 2017 সালের মে মাসের 11,463টি রেকর্ড, ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড, পাসওয়ার্ড সল্টের ক্ষেত্র এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশের প্রেক্ষাপটে ঘটনাটি বিবেচনা করা উচিত। ঘটনার অস্তিত্ব নিয়ে অতিরঞ্জন না করে, অযাচাইকৃত দাবি যুক্ত না করে এবং একই ঘটনার একাধিক রেকর্ড তৈরি না করে ব্যবহারকারী যেন দ্রুত পদক্ষেপ নিতে পারেন, সেই উদ্দেশ্যে এই পাতা তৈরি করা হয়েছে।