ओसमन्ड चिया, बीबीसी । इन्टरनेटका अधिकांश वेबसाइट निर्माणमा प्रयोग हुँदै आएको प्रोग्रामिङ भाषामा एक दशकभन्दा लामो समयदेखि लुकेर रहेका गम्भीर सुरक्षा कमजोरी कृत्रिम बुद्धिमत्ता (एआई) को सहयोगमा पत्ता लागेपछि विश्वभर साइबर सुरक्षा सतर्कता बढाइएको छ ।
वेबसाइट निर्माणमा सन् २००० को दशकदेखि व्यापक रूपमा प्रयोग हुँदै आएको पिएचपी नामक प्रोग्रामिङ भाषामा भेटिएका कमजोरीका कारण सरकारी पोर्टलदेखि अनलाइन किनमेल र विभिन्न डिजिटल सेवासम्म जोखिममा परेको भन्दै विश्वका विभिन्न देशका सरकार तथा साइबर सुरक्षा निकायले तत्काल सुरक्षा उपाय अपनाउन आग्रह गरेका छन् ।
साइबर सुरक्षा कम्पनी विज (Wiz) का अनुसन्धानकर्ताले पत्ता लगाएका यी कमजोरीलाई एआईको सहयोगमा पहिचान गरिएका अहिलेसम्मकै गम्भीरमध्येका रूपमा व्याख्या गरिएको छ । कमजोरी पत्ता लगाउन प्रयोग भएको प्रविधि उपलब्ध गराएको ओपनएआईले पनि यसलाई पछिल्लो समयका सबैभन्दा प्रभावशाली सुरक्षा समस्यामध्ये एक भनेको छ ।
के हो पिएचपी र यसमा कस्तो कमजोरी भेटियो ?
पिएचपी अर्थात् ‘PHP: Hypertext Preprocessor’ वेबसाइट निर्माण तथा सञ्चालनमा प्रयोग हुने प्रोग्रामिङ भाषा हो । विकिपिडिया, अनलाइन पसल र वर्डप्रेसजस्ता वेबसाइट तथा सामग्री व्यवस्थापन प्रणालीमा यसको व्यापक प्रयोग हुँदै आएको छ ।
प्रयोगकर्ताले कुनै वेबसाइट खोल्दा आवश्यक सूचना संकलन गरी पढ्न मिल्ने रूपमा प्रस्तुत गर्न पिएचपीले महत्त्वपूर्ण भूमिका खेल्छ । तर, यसमा भेटिएको सुरक्षा कमजोरीका कारण प्रमाणीकरणबिनै प्रभावित वेब सर्भरमा पहुँच स्थापित गर्न, त्यसलाई नियन्त्रणमा लिन तथा संवेदनशील तथ्याङ्क चोरी गर्न सकिने जोखिम देखिएको छ ।
गोरिल्ला साइबर सेक्युरिटीका प्रमुख कार्यकारी पल स्पेनका अनुसार यो कमजोरीले लाखौँ वेबसाइटलाई प्रभावित पार्न सक्ने अनुमान छ । एआईका कारण यस्ता कमजोरीको दुरुपयोग गर्ने आक्रमण अझ छिटो र सहज हुन सक्ने विज्ञहरूको चिन्ता छ ।
एडिलेड विश्वविद्यालयकी साइबर सुरक्षा अनुसन्धानकर्ता जिल स्लेका अनुसार ह्याकर वा कुनै देशले यस कमजोरीलाई हतियारका रूपमा प्रयोग गरी वेबसाइटबाट निजी तथ्याङ्क कब्जा गरे त्यसको परिणाम विनाशकारी हुन सक्छ ।
कुन–कुन वेबसाइट प्रभावित भए ?
सुरक्षा जोखिमका कारण विश्वका विभिन्न स्थानमा अनलाइन सेवा प्रभावित भएका छन् । विकिपिडिया सञ्चालन गर्ने संस्था विकिमिडियाले सावधानीस्वरूप आफ्ना केही प्रणाली बन्द गरेको छ ।फिनल्यान्ड सरकार, एडिनबरा नगर परिषद् र बीबीसीका केही वेबसाइट तथा पृष्ठ पनि अस्थायी रूपमा अफलाइन गरिएका छन् । नेदरल्यान्ड्सको साइबर सुरक्षा निकायले समेत आफ्नो वेबसाइट हटाएको छ । स्कटल्यान्डका विभिन्न सार्वजनिक निकाय, स्थानीय परिषद् तथा स्वास्थ्य संस्थाका वेबसाइट पनि बन्द गरिएका छन् ।
सीमित स्रोतसाधन भएका साना संस्थाले सञ्चालन गरेका र नियमित सुरक्षा अद्यावधिक नगरिएका वेबसाइट बढी जोखिममा पर्न सक्ने विज्ञहरूले चेतावनी दिएका छन् । न्यु साउथ वेल्स विश्वविद्यालयका अनुसन्धानकर्ता सलिल कन्हेरेका अनुसार कमजोरीसम्बन्धी प्राविधिक विवरण सार्वजनिक हुन थालेपछि आगामी केही सातामा यसको दुरुपयोग गर्ने प्रयास बढ्न सक्छ ।
सुरक्षा निकायले दिए तत्काल अद्यावधिक गर्न निर्देशन
पिएचपीका विकासकर्ताले बुधबार सुरक्षा कमजोरी समाधान गर्न आवश्यक सफ्टवेयर प्याच सार्वजनिक गरेका छन् । सबै पिएचपी प्रयोगकर्तालाई तत्काल नयाँ सुरक्षा अद्यावधिक स्थापना गर्न आग्रह गरिएको छ ।अमेरिकाको राष्ट्रिय सुरक्षा एजेन्सी (एनएसए) ले तत्काल प्याच गर्न नसक्ने संस्थालाई जोखिमयुक्त प्रणाली अस्थायी रूपमा अफलाइन राख्न सुझाव दिएको छ । यस कमजोरीमार्फत प्रणालीको डाटाबेससम्म प्रत्यक्ष पहुँच प्राप्त गर्न सकिने जोखिम रहेको एजेन्सीले जनाएको छ ।
बेलायतको राष्ट्रिय साइबर सुरक्षा केन्द्रले पनि यस्तै निर्देशन जारी गर्दै आक्रमणकारीले प्रणालीमा लुकेर पहुँच कायम राख्न प्रयोग गर्न सक्ने ‘ब्याकडोर’ जाँच गर्न आग्रह गरेको छ । युरोपेली संघ, सिंगापुर र अस्ट्रेलियाका साइबर सुरक्षा निकायले समेत सतर्कता अपनाउन निर्देशन दिएका छन् ।
जापानकी प्रधानमन्त्री साने ताकाइचीले सार्वजनिक रूपमा पहुँचयोग्य वेबसाइट पिएचपीमा सञ्चालित छन् वा छैनन् भनेर जाँच गर्न आग्रह गरेकी छन् । उनले तत्काल सुरक्षा प्याच स्थापना गर्न कठिन भए वेबसाइट अस्थायी रूपमा बन्द गर्न सकिने बताएकी छन् ।
यसैबीच, अनलाइन व्यापार कम्पनी अमेजनले पिएचपी सम्बन्धी कमजोरी सार्वजनिक हुनुभन्दा केही दिनअघि नै आफ्ना प्रणालीमाथि पटक–पटक आक्रमणको प्रयास भएको जनाएको छ । तर, सम्भावित आक्रमणकारीले उक्त कमजोरीबारे कसरी जानकारी पाए भन्ने स्पष्ट भएको छैन ।
एआईले कसरी पत्ता लगायो कमजोरी ?
साइबर सुरक्षा कम्पनी क्यालिफ र विजका अनुसन्धानकर्ताले उन्नत एआई उपकरण प्रयोग गरेर एज्ए कोडको विश्लेषण गरेका थिए । ती उपकरणले परम्परागत प्रणाली वा मानव अनुसन्धानकर्ताभन्दा छिटो सफ्टवेयरभित्रका त्रुटि र सुरक्षा कमजोरी पहिचान गर्न सक्छन् ।
अनुसन्धानकर्ता कन्हेरेका अनुसार सफ्टवेयरमा रहेका केही कमजोरी वर्षौँसम्म पत्ता नलाग्नु असामान्य होइन । यस घटनामा मुख्य परिवर्तन पुरानो त्रुटि नभई त्यसलाई पहिचान गर्ने क्षमतामा आएको सुधार हो ।ओपनएआईले यस घटनाले एआईले सुरक्षा कमजोरी पत्ता लगाउन सहयोग गर्ने भए पनि आक्रमणकारीलाई त्यस्ता कमजोरीको दुरुपयोग गर्ने उपकरण र विधि छिटो विकास गर्न पनि मद्दत गर्न सक्ने देखाएको जनाएको छ । कम्पनीले PHP प्रणालीको सुरक्षा अवस्था जाँच गर्न सहयोग गर्ने कार्यक्रमसमेत सार्वजनिक गरेको छ ।
क्विन्सल्यान्ड विश्वविद्यालयको साइबर अनुसन्धान केन्द्रका रायन कोका अनुसार विगतमा सफ्टवेयर निर्माण गर्दा सुरक्षाभन्दा कार्यक्षमतामा बढी ध्यान दिइने गरेकाले यस्ता कमजोरी उत्पन्न भएका हुन सक्छन् ।
वेबसाइट सञ्चालक र प्रयोगकर्ताले के गर्ने ?
विज्ञहरूले वेबसाइट सञ्चालकलाई पिएचपीको नवीनतम सुरक्षित संस्करणमा अद्यावधिक गर्न आग्रह गरेका छन् । सामान्य प्राविधिक टोलीका लागि सुरक्षा प्याच स्थापना गर्नु नियमित काम भए पनि यसलाई ढिलाइ नगर्नुपर्ने उनीहरूको सुझाव छ ।
अमेरिकी राष्ट्रिय सुरक्षा एजेन्सीले आगामी केही सातासम्म थप सतर्क रहन र सफ्टवेयर प्रदायकबाट आउने सुरक्षा सूचनालाई नजिकबाट निगरानी गर्न भनेको छ ।
वेबसाइट सञ्चालकले सुरक्षा अद्यावधिक गर्नु मुख्य जिम्मेवारी भए पनि प्रयोगकर्ताले सम्बन्धित सेवाबाट जारी हुने सुरक्षा सूचनामा ध्यान दिनुपर्ने अनुसन्धानकर्ता कन्हेरेले बताएका छन् । आवश्यक परे पासवर्ड परिवर्तन गर्नुपर्ने हुन सक्छ ।
यस घटनालाई बहाना बनाएर पठाइने नक्कली इमेल, सन्देश तथा व्यक्तिगत विवरण माग्ने फिसिङ प्रयासबाट पनि सावधान रहन विज्ञहरूले आग्रह गरेका छन् ।
