এক অসম্ভব পরিমাণ ওয়েবসাইট রিভার্স প্রক্সি এবং DDOS মিটিগেশন সার্ভিস যেমন Cloudflare (যেমন Reddit) ব্যবহার করে তাদের বড় ক্যাটას্ট্রোফ থেকে রক্ষা পেতে এবং নিরবাধ রান করতে। এই সার্ভিসগুলো প্রায়শই নিজেদের সিকিউরিটি এবং পারফরম্যান্স এনহ্যান্সমেন্ট প্রোভাইডার হিসেবে মার্কেট করে।
যাইহোক, এটির সরাসরি বিরোধে, ১৭ ফেব্রুয়ারি ২০১৭-এ Cloudflare-এর সফ্টওয়্যারে একটি বড় বাগের কারণে মিলিয়ন মিলিয়ন ওয়েবসাইটের প্রাইভেট ডেটা যেকোনো সময় অ্যাক্সেসযোগ্য হয়ে উঠেছিল। এই ডেটার কিছু গুগলের সার্চ রেজাল্টে ক্যাশড কপি হিসেবে দেখাতে পেয়েছিল। এই নির্দিষ্ট ইভেন্ট, যা Cloudbleed নামে পরিচিত, সেফ ইউজ অফ টেকনোলজি নিয়ে একটি মূল্যবান আলোচনার সুযোগ দিয়েছে।
এই সব কী?!
অনভিজ্ঞদের জন্য, Cloudflare একটি সার্ভিস যা আপনার ওয়েবসাইট এবং ব্যাপক ইন্টারনেটের মাঝপথে একটি মিডলম্যান হিসেবে কাজ করে। আপনি যখন একটি সাইটে যান যা সার্ভিসটি ব্যবহার করে, আপনি আসলে Cloudflare-এর সাথে কানেক্ট হচ্ছেন যা সাইটের সাথে কানেক্ট করে এর আউটপুট আপনার কাছে রिले করে। এটি বেশি ভিজিট করা পেজগুলোর কিছু ক্যাশ করে যাতে সাইটটিকে প্রতিবার রিপ্লাই করতে না পड़े কেউ কানেক্ট করলে, যাতে বড় পরিমাণ ট্রাফিকের প্রভাব লোকাল সার্ভারে কমে। এটি ডিস্ট্রিবিউটেড ডিনায়াল অফ সার্ভিস (DDOS) আক্রমণের প্রভাবও কমাতে সাহায্য করে আপনার সাইটে যেহেতু একটি মিডলম্যান থাকে যা এই আক্রমণের প্রধান অংশ থামাতে পারে, একটি ট্রাফিক লাইটের মতো যা বৈধ ভিজিটরকে যেতে দেয় এবং বটগুলো তাদের ট্র্যাকেই রেখে দেয়। Cloudflare এবং অন্যান্য রিভার্স প্রক্সি সার্ভিস (যেমন Incapsula এবং Akamai) প্রায়শই নিজেদের ওয়েবসাইট সিকিউরিটি প্রদানকারী হিসেবে মার্কেট করে।
Cloudbleed কী?
Cloudbleed হলো একটি ইভেন্ট যেখানে গুগলের প্রজেক্ট জিরো টিমের একজন সদস্য Cloudflare-এর সফ্টওয়্যারে একটি বাগ আবিষ্কার করেছিলেন যা বড় ওয়েবসাইটের প্রাইভেট মেসেজ, অনলাইন পাসওয়ার্ড ম্যানেজার ডেটা, এবং অন্যান্য সার্ভারের পূর্ণ HTTPS রিকোয়েস্ট প্রকাশ করেছিল। Cloudflare-এর কানেকশন রিকোয়েস্টের রেসপন্স প্রায়শই তাদের alokated বাফার স্পেস ওভাররান করত এবং অন্য যেকোনো কাস্টমার যারা সেটি সময়ে ওয়েবসাইট অ্যাক্সেস করছিল তাদের ডেটা উপস্থাপন করত। এটি সব কিছু খুলে ফেলে এবং যেকোনো ব্যবহারকারী বা ওনার যারা সার্ভিসের ওপর নির্ভরশীল তাদের জন্য একটি ক্যাটাস্ট্রোফিক সিকিউরিটি রিস্ক তৈরি করে।
বাগটি ফেব্রুয়ারির শেষে প্যাচ করা হয়েছিল, যদিও সার্ভিস স্বীকার করে যে ডেটা লিক ২২ সেপ্টেম্বর ২০১৬-এ এর নতুন HTML পারসার ইন্ট্রোডাকশনের সাথে থাকে তা হতে পারে।
শিক্ষা গ্রহণ করা
আপনি যদি আমাদের স্টোরিগুলো কিছুক্ষণ পড়ছেন, তবে আপনি হয়তো একটি খুব সাদৃশ্য ইভেন্ট মনে করতে পারেন যেটি Heartbleed নামে পরিচিত ২০১৪ সালে যেখানে OpenSSL ব্যবহারকারী ওয়েবসাইটগুলো একটি এক্সপ্লয়েটের জন্য ভালনারেবিল ছিল যা প্রাইভেট ডেটার টুকরো স্নুপিং পার্টিগুলোর সামনে প্রকাশ করতে পারত। এটি Cloudbleed কালহুলের সাথে মিলে আমাদের একটি মূল্যবান পাঠ শেখায়: কিছুই একশত শতাংশ নির্ভরযোগ্য নয়, এমন সার্ভিসগুলোকেও না যাদের স্পষ্ট উদ্দেশ্য আপনাকে রক্ষা করা।
এটি Cloudflare-কে বাশ করার জন্য নয়। বাগটি যেকোনো সার্ভিসের সাথে ঘটতে পারে। এখানে পয়েন্ট হলো ইন্টারনেট এমন জায়গা নয় যেখানে আপনি গ্যারান্টিড সিকিউরিটির লেভেল এক্সপেক্ট করবেন। আপনি আপনাকে রক্ষা করার জন্য সব সম্ভব কিছু করতে পারেন এবং এখনো আপনাকে খুলে ফেলতে পারে একটি পরিস্থিতি যা আপনার কোনো নিয়ন্ত্রণ নেই।
আপনার কী করা উচিত?
সত্যি হলো, Inc.Com-এর জোসেফ স্টাইনবার্গ লিখেছেন, "বর্তমান রিস্ক অনেক ছোট যেন increased 'cybersecurity fatigue'-এর প্রাইস যেটি বড় সমস্যা সৃষ্টি করবে ভবিষ্যতে।" তার মানে হলো বাগের প্রকৃতি এমন যে আপনার পাসওয়ার্ড লিক হওয়ার চান্স astronically কম তাই এটি পরিবর্তন করলে শুধু আপনাকে ক্লান্ত করবে। যখন একটি আসল সংকট হবেই, আপনি সকল শোর, প্যানিক এবং হাইপের কারণে এত ক্লান্ত হয়ে যেতে পারেন যে আপনি একটি ক্রুশিয়াল মুহূর্তে পাসওয়ার্ড পরিবর্তনের আহ্বান উপেক্ষা করতে পারেন। Cloudbleed সেটি মুহূর্ত নয়। কিন্তু অবশ্যই, আপনি যদি বাস্তবে অনুভব করেন পরিবর্তন করার জন্য, পাসওয়ার্ড পরিবর্তন করুন।
এর বাইরে, শুধু সতর্ক থাকুন এবং আপনি যেসব সার্ভিস পছন্দ করেন তাদের ইমেইল উপেক্ষা করবেন না। যে মুহূর্তে সংকট হবেই, তারা সবচেয়ে সম্ভবত আপনাকে একটি বন্ধুত্বপূর্ণ চিঠি পাঠাবে সকল কিছু সম্পর্কে যা আপনাকে জানতে হবে এবং হয়তো পরামর্শ দেবে আপনি কী করবেন যাতে আপনি প্রভাবিত না হন।
আপনি কি মনে করেন সাইবার সিকিউরিটি ফ্যাটিগ অস্তিত্বে আছে যেমন স্টাইনবার্গ বলেছেন? লোকজন কি একটি কনস্ট্যান্ট স্টেট অফ অ্যালার্ট-এ থাকা উচিত এমনকি যখন প্যানিক করার জন্য যথেষ্ট জাস্টিফিকেশন নেই? কমেন্টে আপনার মতামত জানান!
