Linux Forums: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে, অন্য প্রযুক্তিবিষয়ক ফোরাম, ওপেন সোর্স প্রকল্পের পরিসর, বাগ ট্র্যাকিং সিস্টেম বা সামাজিক প্ল্যাটফর্মে ওই ব্যক্তির ব্যবহৃত পরিচয়গুলো মিলিয়ে ফেলার ঝুঁকি বাড়ে। IP ঠিকানা থেকে ব্যবহারকারীর সংযোগের ইতিহাস, আনুমানিক অঞ্চল বা ইন্টারনেট সেবাদাতা সম্পর্কে ধারণা পাওয়া যেতে পারে। পাসওয়ার্ডের তথ্য সরাসরি পাঠযোগ্য না হলেও সল্টযুক্ত MD5-কে শক্তিশালী সুরক্ষা হিসেবে বিবেচনা করা হয় না; দ্রুতগতিতে সম্ভাব্য পাসওয়ার্ড পরীক্ষা করে চালানো আক্রমণ ঠেকানোর বর্তমান মানদণ্ডের তুলনায় এই পদ্ধতি পিছিয়ে আছে। আক্রমণকারীরা অফলাইনে চেষ্টা চালিয়ে দুর্বল, ছোট বা অভিধানের শব্দভিত্তিক পাসওয়ার্ড অনুমান করতে পারে। একই পাসওয়ার্ড ইমেইল, ক্লাউড, কোড হোস্টিং, ফোরাম বা সার্ভার ব্যবস্থাপনা প্যানেলে ব্যবহার করা হলে ঝুঁকি ফোরাম অ্যাকাউন্টের অনেক বাইরেও ছড়াতে পারে।

এই রেকর্ড শুধু Linux Forums-এর ফোরাম সদস্যদের তথ্যের মধ্যে সীমাবদ্ধ। এই ঘটনার অর্থ এই নয় যে Linux কার্নেল, Linux ডিস্ট্রিবিউশন, প্যাকেজ রিপোজিটরি, ওপেন সোর্স প্রকল্পের কোড বা ব্যবহারকারীদের Linux সার্ভার সরাসরি আক্রান্ত হয়েছে। যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ। ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র নম্বর, ব্যক্তিগত বার্তা বা আর্থিক তথ্য এই রেকর্ডের যাচাইকৃত তথ্যের মধ্যে নেই। 2,75,785 সংখ্যাটি ক্ষতিগ্রস্ত স্বতন্ত্র অ্যাকাউন্টের সংখ্যা নির্দেশ করে। কিছু গৌণ সূত্রে সংখ্যাটি গোল করে 276 হাজার হিসেবে দেখানো হতে পারে; এখানে ব্যবহৃত সংখ্যাটি যাচাইকৃত স্বতন্ত্র অ্যাকাউন্টের সংখ্যা। ঘটনার সময়কালে সাইটটির কাছে উপলব্ধ আর্কাইভ করা রেকর্ড ও স্বতন্ত্র প্রযুক্তিগত প্রতিবেদন থেকে সমর্থন পাওয়া যায় যে ফোরামটির পুরোনো vBulletin সংস্করণের সঙ্গে সম্পর্কিত ঝুঁকি ছিল। প্রোডাকশন পরিবেশ থেকে সচল ডোমেইনে সাড়া না পাওয়ায় সাইটটির বর্তমান অবস্থা আর যাচাই করা সম্ভব হয়নি।

যাঁরা Linux Forums অ্যাকাউন্টের পাসওয়ার্ড অন্য প্রযুক্তিবিষয়ক সেবাতেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। Linux ও ওপেন সোর্স কমিউনিটিতে একই ব্যবহারকারীর নাম বছরের পর বছর Git হোস্টিং সেবা, প্যাকেজ ফোরাম, ডিস্ট্রিবিউশন সহায়তার পরিসর, বাগ ট্র্যাকিং সিস্টেম এবং IRC বা চ্যাট অ্যাকাউন্টে ব্যবহার করা হতে পারে। এতে একটি ফোরামের নিবন্ধন তথ্য থেকেই আক্রমণকারীদের পক্ষে কারও অনলাইন পরিচয়ের বিস্তৃত চিত্র তৈরি করা সহজ হয়। সিস্টেম প্রশাসক, ডেভেলপার, শিক্ষার্থী, ওপেন সোর্স অবদানকারী এবং Linux সহায়তা ফোরামের সক্রিয় ব্যবহারকারীদের বিশেষভাবে সতর্ক থাকা উচিত। ইমেইল ঠিকানাটি কর্মক্ষেত্রের অ্যাকাউন্ট হিসেবেও ব্যবহৃত হলে, ভুয়া নিরাপত্তা সতর্কবার্তা, প্যাকেজ আপডেটের বিজ্ঞপ্তি বা কমিউনিটি মডারেটরের কাছ থেকে এসেছে বলে মনে হয় এমন বার্তার মাধ্যমে লক্ষ্যভিত্তিক ফিশিংয়ের চেষ্টা করা হতে পারে। IP ঠিকানা অন্তর্ভুক্ত থাকায় আক্রমণকারী ব্যবহারকারীর অঞ্চল বা সেবাদাতার তথ্য কাজে লাগিয়ে আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে।

আপনি Linux Forums অ্যাকাউন্টের পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করে থাকলে তা অবিলম্বে পরিবর্তন করা উচিত। ইমেইল অ্যাকাউন্ট, কোড হোস্টিং সেবা, সার্ভার ব্যবস্থাপনা প্যানেল, ক্লাউড অ্যাকাউন্ট, Linux ডিস্ট্রিবিউশন ফোরাম ও প্যাকেজ রিপোজিটরি অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত। প্রতিটি অ্যাকাউন্টে আলাদা, দীর্ঘ ও অনুমান করা কঠিন পাসওয়ার্ড ব্যবহার করা উচিত; যেখানে সম্ভব, দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। পাসওয়ার্ড পরিবর্তনের পর অপরিচিত সেশনগুলো বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানাগুলো যাচাই করা উচিত। একই ব্যবহারকারীর নাম দিয়ে খোলা পুরোনো ফোরাম অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত। ইমেইলের ইনবক্সে আসা Linux সহায়তা, নিরাপত্তা প্যাচ, প্যাকেজ আপডেট বা ফোরাম অ্যাকাউন্টের সতর্কবার্তার সঙ্গে সম্পর্কিত বলে মনে হয় এমন লিংক ব্যবহারে সতর্ক থাকা উচিত। কোনো লিংক লগইন পাতায় নিয়ে গেলে ঠিকানাটি নিজে যাচাই করা উচিত এবং কেবল সংশ্লিষ্ট সেবার আনুষ্ঠানিক সাইটেই পাসওয়ার্ড দেওয়া উচিত।

এই ঘটনা দেখায় যে পুরোনো ফোরাম সফটওয়্যারে সংরক্ষিত সদস্যদের তথ্য বহু বছর পরও ঝুঁকি তৈরি করতে পারে। দীর্ঘমেয়াদে প্রযুক্তিবিষয়ক কমিউনিটি অ্যাকাউন্টের জন্য পাসওয়ার্ড ম্যানেজার ব্যবহার করা উচিত এবং প্রতিটি ফোরাম, প্রকল্পের পরিসর, কোড রিপোজিটরি ও ইমেইল অ্যাকাউন্ট আলাদা পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা উচিত। পুরোনো ফোরাম অ্যাকাউন্টের কথা ভুলে যাওয়া উচিত নয়; অব্যবহৃত অ্যাকাউন্ট বন্ধ করা উচিত, অথবা অন্তত সেগুলোর পাসওয়ার্ড বদলে আলাদা পাসওয়ার্ড দেওয়া উচিত। প্রযুক্তিবিষয়ক কমিউনিটিতে পরিচিতি বজায় রাখতে সবখানে একই ব্যবহারকারীর নাম রাখা সুবিধাজনক হতে পারে, তবে এতে পরিচয় মিলিয়ে ফেলার ঝুঁকি বাড়ে। বিশেষ করে সিস্টেম প্রশাসক ও ডেভেলপারদের ব্যক্তিগত ফোরাম অ্যাকাউন্ট এবং কর্মক্ষেত্রের অ্যাকাউন্টে একই পাসওয়ার্ড, ইমেইল ঠিকানা ও ব্যবহারকারীর নামের পুনর্ব্যবহার কমানো উচিত। IP ঠিকানা ও ইমেইল ঠিকানার মতো স্থায়ী তথ্য একবার ছড়িয়ে পড়লে তা আর ফিরিয়ে নেওয়া যায় না। তাই অ্যাকাউন্টে দুই-উপাদানভিত্তিক পরিচয় যাচাই, সেশন পর্যবেক্ষণ ও নিরাপত্তা বিজ্ঞপ্তি সব সময় চালু রাখা উচিত।

এই রেকর্ডে আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে তা ইঙ্গিত করে যে ইমেইল ঠিকানা, ফোরামের ব্যবহারকারীর নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশসহ আপনার Linux Forums অ্যাকাউন্টের তথ্য ছড়িয়ে পড়ে থাকতে পারে। এর অর্থ এই নয় যে পাসওয়ার্ডটি সরাসরি পাঠযোগ্য ছিল। তবে সল্টযুক্ত MD5 একটি পুরোনো সুরক্ষাপদ্ধতি হওয়ায় একই পাসওয়ার্ডের পুনর্ব্যবহারকে ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত। প্রথম করণীয় হলো, একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড নির্ধারণ করা। এরপর ইমেইল অ্যাকাউন্টের নিরাপত্তা, কোড রিপোজিটরি অ্যাকাউন্ট, ক্লাউড সেবা এবং Linux কমিউনিটির অন্যান্য অ্যাকাউন্ট যাচাই করা উচিত। কোনো মিল না পাওয়া গেলেও পুরোনো ফোরামের পাসওয়ার্ড পর্যালোচনা করা উচিত, কারণ প্রযুক্তিসংশ্লিষ্ট ব্যবহারকারীরা বছরের পর বছর একই ব্যবহারকারীর নাম ও কাছাকাছি ছকে তৈরি পাসওয়ার্ড ব্যবহার করতে পারেন। সবচেয়ে যথাযথ পন্থা হলো প্রতিটি ফোরামে আলাদা পাসওয়ার্ড ব্যবহার করা, দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু রাখা এবং প্রযুক্তিবিষয়ক কমিউনিটি থেকে আসা অপ্রত্যাশিত লগইন বা পাসওয়ার্ড পুনর্নির্ধারণের বার্তা সতর্কভাবে পরীক্ষা করা।