Linux Mint তথ্য ফাঁস

এই তথ্য ফাঁসের সবচেয়ে গুরুত্বপূর্ণ ঝুঁকি হলো একই ব্যবহারকারী অ্যাকাউন্টের সঙ্গে ইমেইল ঠিকানা ও পাসওয়ার্ডের রেকর্ড মিলিয়ে নেওয়ার সুযোগ। আক্রমণকারীরা কোনো ফোরাম অ্যাকাউন্টের ইমেইল ঠিকানা ও পাসওয়ার্ডের তথ্য একসঙ্গে পেলে ইমেইল, সামাজিক যোগাযোগমাধ্যম, ডেভেলপার কমিউনিটি, গেমিং কমিউনিটি বা কেনাকাটার অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে প্রবেশের চেষ্টা করতে পারে। পাসওয়ার্ড হ্যাশ মান হিসেবে সংরক্ষিত থাকলেও ঝুঁকি পুরোপুরি দূর হয় না। ছোট, অভিধানের শব্দভিত্তিক, ব্যক্তিগত তথ্যভিত্তিক বা আগে ব্যবহৃত পাসওয়ার্ড অনুমান করে চালানো আক্রমণের বিরুদ্ধে দুর্বল হতে পারে।

অবতার, জন্মতারিখ, অবস্থান, সময় অঞ্চল ও ওয়েবসাইটে কার্যকলাপ প্রথম দেখায় পাসওয়ার্ডের মতো গুরুত্বপূর্ণ মনে না-ও হতে পারে। তবে ব্যবহারকারীর একটি প্রোফাইল তৈরি করতে এসব তথ্য মূল্যবান। ব্যবহারকারী কোন সময় অঞ্চলে থাকেন, ফোরামে তাঁর আচরণ কেমন, তিনি কোন ইমেইল ঠিকানা ব্যবহার করেন এবং কী ব্যক্তিগত তথ্য দিয়েছেন, এসব একত্র করে আরও বিশ্বাসযোগ্য ফিশিং বার্তা তৈরি করা যেতে পারে। IP ঠিকানাও সেশনের ইতিহাস, আনুমানিক অবস্থান ও অ্যাকাউন্টের ব্যবহারের ধরন সম্পর্কে অতিরিক্ত ঝুঁকি তৈরি করে। ফোরামের ব্যক্তিগত প্রোফাইল, স্বাক্ষর ও কনটেন্টের ঘরগুলোও গোপনীয়তার ওপর প্রভাব বাড়াতে পারে; তা নির্ভর করে ব্যবহারকারী সেখানে কতটা তথ্য দিয়েছেন তার ওপর।

দুটি পৃথক ঘটনা এক করে না দেখে যাচাইকৃত পরিসর মূল্যায়ন করা উচিত। প্রথম অংশে Linux Mint-এর ওয়েবসাইটের ডাউনলোড লিংকগুলো অল্প সময়ের জন্য বদলে কিছু ব্যবহারকারীকে একটি ক্ষতিকর ISO ফাইলের দিকে পাঠানো হয়েছিল। দ্বিতীয় অংশটি হলো ফোরামের ডেটাবেসের অনুলিপি তৈরি করে নেওয়া। এই তথ্য ফাঁসের রেকর্ডে তালিকাভুক্ত ব্যক্তিগত তথ্যের শ্রেণিগুলো ফোরামের ডেটাবেসের সঙ্গে সম্পর্কিত। তাই এই রেকর্ডের অর্থ এই নয় যে Linux Mint অপারেটিং সিস্টেম ব্যবহার করেন এমন সবার ব্যক্তিগত তথ্য ফাঁস হয়েছে। বিশেষ করে যাঁদের ফোরাম অ্যাকাউন্ট রয়েছে, তাঁদের বিবেচনায় রেখেই এটি মূল্যায়ন করা উচিত।

প্রভাবিত অ্যাকাউন্টের সংখ্যা আনুমানিক 145 হাজার, আর রেকর্ডে সংখ্যাটি 1,44,989 রাখা হয়েছে। কোম্পানির ঘরে Linux Mint নাম, ওয়েবসাইটের ঘরে linuxmint.com ঠিকানা এবং দেশের ঘরের জন্য সদর দপ্তরের সুনির্দিষ্ট অবস্থানের যাচাইযোগ্য তথ্য না থাকায় ‘অজানা’ মানটি বেছে নেওয়া হয়েছে। বিভাগ নির্ধারণের ক্ষেত্রে, উন্মুক্ত সোর্সের ডেস্কটপ ডিস্ট্রিবিউশন ও কমিউনিটি ফোরামের প্রেক্ষাপটে ঘটনাটিকে প্রযুক্তি বিভাগের অন্তর্ভুক্ত করা উচিত। তথ্যের শ্রেণিগুলো যাচাইকৃত তালিকার মধ্যেই সীমিত রাখতে হবে। ব্যবহারকারী ব্যক্তিগত বার্তা, ফোরামের পোস্ট বা স্বাক্ষরের মতো অতিরিক্ত কনটেন্ট দিয়ে থাকতে পারেন বলে উল্লেখ করা হলেও প্রমাণ ছাড়া মূল তথ্যের শ্রেণির তালিকায় নতুন কোনো ঘর যোগ করা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন তাঁরা, যাঁদের 2016 সালের আগে বা ওই সময়ের কাছাকাছি Linux Mint ফোরাম অ্যাকাউন্ট ছিল এবং যাঁরা অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেছেন। বিশেষ করে ফোরামের পাসওয়ার্ড যদি ইমেইল অ্যাকাউন্ট, ডেভেলপার অ্যাকাউন্ট, ক্লাউড স্টোরেজ, আর্থিক সেবা, গেমিং অ্যাকাউন্ট বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের পাসওয়ার্ডের সঙ্গে মিলে যায়, তাহলে আক্রমণকারীরা পাওয়া তথ্য সরাসরি ব্যবহার করে সেসব অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে। বহু বছর ধরে ইমেইল ঠিকানা অপরিবর্তিত থাকলে এবং ব্যবহারকারী পুরোনো ফোরাম অ্যাকাউন্টের কথা ভুলে গেলে ঝুঁকিটি আরও সহজে অগোচরে থেকে যায়। কারণ, তিনি হয়তো বুঝতেই পারেন না যে পুরোনো একটি পাসওয়ার্ড অন্য কোথাও এখনো চালু রয়েছে।

ঘটনাটি চলাকালে যাঁরা Linux Mint-এর ISO ফাইল ডাউনলোড করেছিলেন, তাঁরা প্রযুক্তিগত ঝুঁকির একটি পৃথক গোষ্ঠী। এই গোষ্ঠীর ঝুঁকি মূল্যায়নে শুধু ডেটাবেসের রেকর্ডে থাকা ব্যক্তিগত তথ্যের শ্রেণিগুলো যথেষ্ট নয়। ডাউনলোড করা ইনস্টলেশন ফাইলের অখণ্ডতা, পরে সিস্টেমটি সম্পূর্ণ নতুন করে ইনস্টল করা হয়েছিল কি না এবং ওই সিস্টেম দিয়ে কোন কোন অ্যাকাউন্টে প্রবেশ করা হয়েছিল, এসবও বিবেচনা করা উচিত। তবে এই তথ্য ফাঁসের রেকর্ডে অ্যাকাউন্টের তথ্যের ক্ষেত্রে মূল নজর ফোরামের ব্যবহারকারীদের ওপর। যাঁদের ফোরাম অ্যাকাউন্ট নেই, কেবল অপারেটিং সিস্টেম ব্যবহার করেন, ব্যক্তিগত তথ্যের রেকর্ডের ক্ষেত্রে তাঁদের একই পরিসরে অন্তর্ভুক্ত করা উচিত নয়।

এই রেকর্ডে আপনার ইমেইল ঠিকানা পাওয়া গেলে প্রথমে ফোরামে ব্যবহার করা পুরোনো পাসওয়ার্ডটি মনে করার চেষ্টা করুন এবং অন্য কোনো অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন কি না যাচাই করুন। অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করে থাকলে ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিন। কারণ, ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ আক্রমণকারীর হাতে গেলে পাসওয়ার্ড রিসেটের লিংক ব্যবহার করে অন্য অ্যাকাউন্টেও প্রবেশ করা সম্ভব হয়। এরপর সামাজিক যোগাযোগমাধ্যম, ডেভেলপার প্ল্যাটফর্ম, ক্লাউড স্টোরেজ, কেনাকাটা ও পেমেন্টের অ্যাকাউন্টগুলোতে আলাদা পাসওয়ার্ড দিন।

প্রতিটি অ্যাকাউন্টে দীর্ঘ ও আলাদা পাসওয়ার্ড ব্যবহার করলে এই ঘটনার তথ্য ব্যবহার করে বারবার প্রবেশের চেষ্টার ঝুঁকি কমে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো পাসওয়ার্ড কোথায় আবার ব্যবহার করা হয়েছে তা খুঁজে বের করা এবং নতুন শক্তিশালী পাসওয়ার্ড সংরক্ষণ করা সহজ হয়। যেসব অ্যাকাউন্টে সুবিধাটি রয়েছে, সেগুলোতে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করুন। অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য পর্যালোচনা করুন, অপরিচিত সেশন বন্ধ করুন এবং সাম্প্রতিক লগইনের ইতিহাস যাচাই করুন। সন্দেহজনক ইমেইল, ফোরামের বিজ্ঞপ্তি বা পুরোনো Linux Mint অ্যাকাউন্টের কথা বলে পাঠানো লিংকের বিষয়ে সতর্ক থাকুন।

ফোরামে ঘটা পুরোনো নিরাপত্তা লঙ্ঘনের ঘটনাগুলো সময়ের সঙ্গে গুরুত্বহীন হয়ে যায় না। বরং একই পাসওয়ার্ড বারবার ব্যবহার, দীর্ঘদিন একই ইমেইল ঠিকানা রাখা এবং ব্যবহারকারীর নামের মিলের কারণে এসব তথ্য বহু বছর পরও একের পর এক অ্যাকাউন্ট দখলের কাজে ব্যবহার করা যেতে পারে। দীর্ঘমেয়াদি কৌশলের ভিত্তি হওয়া উচিত প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড, একাধিক উপাদানভিত্তিক শক্তিশালী পরিচয় যাচাই, নিয়মিত সেশন পরীক্ষা এবং অপ্রয়োজনীয় অ্যাকাউন্ট বন্ধ করা। অব্যবহৃত ফোরাম অ্যাকাউন্টের ব্যক্তিগত প্রোফাইলে যতটা সম্ভব কম তথ্য রাখা উচিত। প্রকাশ্য স্বাক্ষর ও পুরোনো পোস্টে সংবেদনশীল তথ্য আছে কি না, তা-ও পর্যালোচনা করা উচিত।

Linux Mint-এর মতো কমিউনিটিকেন্দ্রিক প্রকল্পে ব্যবহারকারীদের ফোরাম, ডাউনলোড পৃষ্ঠা, প্যাকেজ রিপোজিটরি ও সামাজিক যোগাযোগের চ্যানেলগুলোর নিরাপত্তা ঝুঁকি আলাদাভাবে বিবেচনা করা উচিত। ওয়েবসাইট রিডাইরেক্টের ঘটনা ও ফোরাম অ্যাকাউন্টের তথ্য ফাঁস একই দিনে ঘটতে পারে, কিন্তু এ দুটির জন্য করণীয় এক নয়। ডাউনলোডের নিরাপত্তার ক্ষেত্রে ফাইল যাচাই, স্বাক্ষর পরীক্ষা এবং নির্ভরযোগ্য মিরর বেছে নেওয়া গুরুত্বপূর্ণ। আর অ্যাকাউন্টের নিরাপত্তার ক্ষেত্রে আলাদা পাসওয়ার্ড ব্যবহার, অ্যাকাউন্টের কার্যকলাপ পর্যবেক্ষণ ও ফিশিং সম্পর্কে সচেতনতা বেশি গুরুত্বপূর্ণ। এই পার্থক্য মাথায় রাখলে ব্যবহারকারীরা অপ্রয়োজনীয় আতঙ্কের বদলে ঝুঁকির সঠিক জায়গায় মনোযোগ দিতে পারবেন।

LeakData-তে এই রেকর্ড যাচাই করার পর মিল পাওয়া গেলে ব্যবহারকারীদের প্রথমে কোন ইমেইল ঠিকানাটি প্রভাবিত হয়েছে তা নির্ধারণ করা উচিত। এরপর সেই ঠিকানার সঙ্গে যুক্ত পুরোনো ফোরাম অ্যাকাউন্টটি মূল্যায়ন করা উচিত। অ্যাকাউন্টটি আর সক্রিয় না থাকলেও একই ইমেইল দিয়ে ব্যবহার করা সেবাগুলোতে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে কি না খুঁজে দেখা উচিত। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করার বদলে সম্পূর্ণ নতুন ও আলাদা পাসওয়ার্ড বেছে নেওয়া উচিত। ভিন্ন ফোরাম, ডেভেলপার কমিউনিটি বা গেমিং কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করা হয়ে থাকলে সেসব অ্যাকাউন্টও আলাদাভাবে পরীক্ষা করা উচিত।

পরের ধাপে ইমেইল অ্যাকাউন্টে অপরিচিত ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, তৃতীয় পক্ষের প্রবেশাধিকার ও সেশনের ইতিহাস যাচাই করা উচিত। Linux Mint ফোরামের পুরোনো বার্তা, প্রোফাইলের ঘর বা স্বাক্ষরের তথ্যে ব্যক্তিগত তথ্য থাকলে গোপনীয়তার ওপর প্রভাবও মূল্যায়ন করা উচিত। এই ঘটনার ক্ষেত্রে প্রধান করণীয় হলো প্রভাবিত ইমেইল ঠিকানার সঙ্গে যুক্ত অ্যাকাউন্টগুলোর দিকে মনোযোগ দেওয়া: পাসওয়ার্ড রিসেট করা, দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা, সন্দেহজনক লগইন পর্যবেক্ষণ করা এবং পুরোনো অ্যাকাউন্টে অপ্রয়োজনীয় ব্যক্তিগত তথ্য কমিয়ে আনা।