লেনোভোর সুপারফিশ ম্যালওয়্যার গত সপ্তাহে 꽤 তাণ্ডব মচিয়েছে। শুধু ল্যাপটপ ম্যানুফ্যাকচারার অ্যাডওয়্যার ইনস্টল করে দিয়েছিলো নয়, বরং সেই কম্পিউটারগুলোকেও আক্রমণের জন্য অত্যন্ত আক্রান্ত করে দিয়েছিল। আপনি এখন সুপারফিশ সরিয়ে ফেলতে পারেন, কিন্তু গল্প এখানেই শেষ নয়। আরও অনেক অ্যাপ আছে যা চিন্তা দিতে পারে।
সুপারফিশ ধরা
লেনোভো সুপারফিশ সরানোর একটি টুল রিলিজ করেছে, এবং মাইক্রোসফট তার অ্যান্টি-ভাইরাস সফটওয়্যার আপডেট করেছে সুপারফিশ ধরতে ও মুছে ফেলতে। অন্যান্য অ্যান্টি-ভাইরাস প্রোভাইডারও অবশ্যই দ্রুত অনুসরণ করবে। আপনার লেনোভো ল্যাপটপ থাকলে এবং আপনি এখনো সুপারফিশ সরাতে পারেননি, তবে অবিলম্বে করুন!
আপনি যদি এটি না সরান, তবে আপনি ম্যান-ইন-দ-মিডিল আক্রমণের জন্য অনেক বেশি আক্রান্ত হবেন যা দেখাবে আপনি একটি সুরক্ষিত ওয়েবসাইটের সাথে যোগাযোগ করছেন কিন্তু আসলে আপনি একজন আক্রমণকারীর সাথে কথা বলছেন। সুপারফিশ এটা করে যাতে ব্যবহারকারীদের সম্পর্কে আরও তথ্য পায় এবং পেজে বিজ্ঞাপন ইনজেক্ট করতে পারে, কিন্তু আক্রমণকারীরা এই ছিদ্রের সুবিধা নিতে পারে।
এসএসএল হাইজ্যাকিং কীভাবে কাজ করে?
সুপারফিশ ব্যবহারকারীদের এনক্রিপ্টেড ডেটা পাওয়ার জন্য এসএসএল হাইজ্যাকিং নামক একটি প্রক্রিয়া ব্যবহার করে। প্রক্রিয়াটি আসলে খুব সহজ। আপনি যখন একটি সুরক্ষিত সাইটের সাথে কানেক্ট হন, আপনার কম্পিউটার ও সার্ভার কিছু ধাপ অতিক্রম করে:
- আপনার কম্পিউটার HTTP (অসুরক্ষিত) সাইটের সাথে কানেক্ট হয়।
- HTTP সার্ভার আপনাকে একই সাইটের HTTPS (সুরক্ষিত) ভার্সনে রিডাইরেক্ট করে।
- আপনার কম্পিউটার HTTPS সাইটের সাথে কানেক্ট হয়।
- HTTPS সার্ভার একটি সার্টিফিকেট প্রদান করে, যা সাইটের ধনাত্মক শনাক্তকরণ দেয়।
- কানেকশন সম্পূর্ণ হয়।
ম্যান-ইন-দ-মিডিল আক্রমণের সময়, ধাপ ২ ও ৩ আপস হয়। আক্রমণকারীর কম্পিউটার আপনার কম্পিউটার ও সুরক্ষিত সার্ভারের মধ্যে একটি ব্রিজ হিসেবে কাজ করে, যেকোনো তথ্য যা দুটোর মধ্যে পাস হচ্ছে সেটি ইন্টারসেপ্ট করে, যার মধ্যে পাসওয়ার্ড, ক্রেডিট কার্ড ডিটেইল, বা অন্য কোনো সংবেদনশীল ডেটা থাকতে পারে। একটি সম্পূর্ণ ব্যাখ্যা ম্যান-ইন-দ-মিডিল আক্রমণ সম্পর্কে এই দুর্দান্ত আর্টিকেলে পাওয়া যাবে।
মাছের পেছনে হাঙর: কমোডিয়া (Komodia)
সুপারফিশ লেনোভোর একটি সফটওয়্যার, কিন্তু এটি একটি ইতিমধ্যে বিদ্যমান ফ্রেমওয়ার্কের ওপর বিল্ট, যা কমোডিয়া (Komodia) নামক একটি কোম্পানি তৈরি করেছে। কমোডিয়া অনেক বিভিন্ন টুল তৈরি করে, যchen অধিকাংশ এসএসএল-এনক্রিপ্টেড ইন্টারনেট ট্রাফিক ইন্টারসেপ্ট করা, দ্রুত ডিক্রিপ্ট করা, এবং ব্যবহারকারীকে বিভিন্ন কাজ করার সুযোগ দেওয়া — যেন ডেটা ফিল্টার করা বা এনক্রিপ্টেড ব্রাউজিং মনিটর করা — লক্ষ্য করে তৈরি।
কমোডিয়া বলে তাদের সফটওয়্যার পেরেন্টাল কন্ট্রোল, এনক্রিপ্টেড ইমেইল থেকে সম্ভাব্য প্রকাশযোগ্য তথ্য ফিল্টার করা, এবং ব্রাউজারে বিজ্ঞাপন ইনজেক্ট করা যেসব এক্সটেনশন বাধা দেয় সেগুলোর জন্য ব্যবহার করা যায়। স্পষ্টতই, এই সফটওয়্যারের ভালো ও কিছু মন্দ সম্ভাব্য ব্যবহার আছে, কিন্তু যেহেতু এটি আপনাকে কোনো ইঙ্গিত দিয়ে না আপনার এসএসএল ট্রাফিক ডিক্রিপ্ট করছে এবং আপনি আর সুরক্ষিতভাবে ব্রাউজ করছেন না সেটি খুব চিন্তাজনক।
লম্বা কথা সংক্ষেপে, সুপারফিশ একটি সিঙ্গেল-পাসওয়ার্ড সিকিউরিটি সার্টিফিকেট ব্যবহার করত, অর্থাৎ যে কারো ওই সার্টিফিকেটের পাসওয়ার্ড থাকলে সে সুপারফিশ দ্বারা মনিটর করা যেকোনো ট্রাফিকে অ্যাক্সেস পেত। সুপারফিশ ক্যাচ হওয়ার পর কী হলো? কেউ পাসওয়ার্ড ক্র্যাক করলো এবং পাবলিশ করলো, ফলে লেনোভো ল্যাপটপ মালিকদের অসংখ্য সংখ্যা আক্রান্ত হয়ে পড়ল।
একজন সিকিউরিটি রিসার্চার ব্লগ পোস্টে রিপোর্ট করলেন পাসওয়ার্ডটি ছিল "komodia." সério? সেরিয়াসলি?
কিন্তু সুপারফিশ একমাত্র সফটওয়্যার নয় যা কমোডিয়া ফ্রেমওয়ার্ক ব্যবহার করে। ফেসবুকের একটি সিকিউরিটি রিসার্চার gầnে আবিষ্কার করলেন ১২টিরও বেশি অন্য সফটওয়্যার কমোডিয়া টেক ব্যবহার করে, অর্থাৎ অসংখ্য এসএসএল কানেকশন আপস হতে পারে। আর্স টেকনিকা রিপোর্ট করলো ১০০টিরও বেশি ক্লায়েন্ট, যাতে ফর্চুন ৫০০ কোম্পানিও রয়েছে, কমোডিয়া ব্যবহার করছে। এবং অনেক অন্য সার্টিফিকেটও "komodia" পাসওয়ার্ড দিয়ে আনলক করা হয়েছে।
অন্যান্য এসএসএল হাইজ্যাকার
যদিও কমোডিয়া এসএসএল হাইজ্যাকিং মার্কেটে একটি বড় মাছ, অন্যদেরও আছে। প্রিভডগ (PrivDog), একটি কোমোডো সার্ভিস যা ওয়েবসাইটের বিজ্ঞাপনগুলো বিশ্বস্ত বিজ্ঞাপনে রিপ্লেস করে, তার একটি ভালনারেবিলিটি পাওয়া গেলো যা ম্যান-ইন-দ-মিডিল আক্রমণ অনুমতি দিতে পারে। রিসার্চাররা বলে প্রিভডগের ভালনারেবিলিটি সুপারফিশের চেয়েও খারাপ।
এটি খুব অসামান্য কিছু নয়। অনেক ফ্রি সফটওয়্যার অন্যান্য অ্যাডওয়্যার ও অনিচ্ছাকৃত জিনিসপত্রের সাথে বান্ডেলড আসে (হাও-টু গিক এই বিষয়ে একটি দুর্দান্ত এক্সপেরিমেন্ট পোস্ট করেছে), এবং उनमें से অনেক এসএসএল হাইজ্যাকিং ব্যবহার করে আপনি এনক্রিপ্টেড কানেকশনে যা পাঠাচ্ছেন সেটি ইনস্পেক্ট করার জন্য। خوشকісমতínas, उनमें से কিছু তাদের সিকিউরিটি সার্টিফিকেট প্র্যাকটিসে কিছুটা স্মার্ট, অর্থাৎ প্রতিটি এসএসএল হাইজ্যাকার সুপারফিশ বা প্রিভডগ মতো বড় সিকিউরিটি হোল তৈরি করে না।
কখনো কখনো একটি অ্যাপকে আপনার এনক্রিপ্টেড কানেকশনে অ্যাক্সেস দিতে হয় ভালো কারণও। উদাহরণস্বরূপ, যদি আপনার অ্যান্টি-ভাইরাস সফটওয়্যার আপনার HTTPS সাইটের সাথে কমিউনিকেশন ডিক্রিপ্ট না করতে পারে, তবে সেটি একটি সুরক্ষিত কানেকশনের ওপর ম্যালওয়্যার ইনফেক্ট হওয়া থেকে রক্ষা করতে পারবে না। পেরেন্টাল কন্ট্রোল সফটওয়্যারেরও সুরক্ষিত কানেকশনে অ্যাক্সেস দরকার, নাহলে বাচ্চারা HTTPS ব্যবহার করে কন্টেন্ট ফিল্টার বাইপাস করবে।
কিন্তু যখন অ্যাডওয়্যার আপনার এনক্রিপ্টেড কানেকশন মনিটর করে এবং সেগুলো আক্রমণের জন্য উন্মুক্ত করে, তখন আপনাকে চিন্তিত হওয়া উচিত।
কী করা উচিত?
দুর্ভাগ্যবশত, অনেক ম্যান-ইন-দ-মিডিল আক্রমণ সার্ভার-সাইড মেজার দ্বারা প্রতিরোধ করতে হয়, অর্থাৎ আপনি এই ধরনের আক্রমণে আক্রান্ত হয়ে থাকতে পারেন যেনা জানা। তবে আপনি নিজেকে সুরক্ষিত রাখতে অনেক ব্যবস্থা নিতে পারেন। ফিলিপ্পো ভালসর্ডা (Filippo Valsorda) একটি ওয়েব অ্যাপ তৈরি করেছেন যা আপনার কম্পিউটারে সুপারফিশ, কমোডিয়া, প্রিভডগ, এবং অন্যান্য এসএসএল-ডিসেবলিং সফটওয়্যার খুঁজে বের করে। সেটি একটি ভালো শুরু।
আপনাকে সার্টিফিকেট ওয়ার্নিংয়ের ওপর নজর রাখতে হবে, HTTPS কানেকশন ডাবল চেক করতে হবে, পাবলিক ওয়ায়-ফাই-তে সতর্ক থাকতে হবে, এবং আপডেটেড অ্যান্টি-ভাইরাস সফটওয়্যার চালাতে হবে। আপনার ব্রাউজারে কোনো এক্সটেনশন ইনস্টল আছে চেক করুন এবং যেগুলো চিনেন না সেগুলো সরিয়ে ফেলুন। ফ্রি সফটওয়্যার ডাউনলোড করার সময় সতর্ক থাকুন, কারণ অনেক অ্যাডওয়্যার সেগুলোর সাথে বান্ডেলড আসে।
এছাড়া, আমরা যা সেরা করতে পারি সেটি হলো এই প্রযুক্তি উৎপাদন ও ব্যবহারকারী কোম্পানিগুলোর সাথে আমাদের রোষ যোগাযোগ করা, যেন কমোডিয়া। তাদের ওয়েবসাইট gầnে টেকেন ডাউন করা হয়েছে, দাবি করা হয় ডিডিওএস আক্রমণের মাধ্যমে, যা ইঙ্গিত দেয় অনেক লোক দ্রুত তাদের অসন্তোষ প্রকাশ করেছেন। এখন স্পষ্ট করতে হবে যে এসএসএল হাইজ্যাকিং সম্পূর্ণ অগ্রহণযোগ্য।
আপনি এসএসএল হাইজ্যাকিং অ্যাডওয়্যার সম্পর্কে কী মনে করেন? কি আমাদের কোম্পানিগুলোকেঁ এই প্রথা বন্ধ করতে ডাক দিতে হবে? কি এটা قانونی হওয়া উচিত? নিচে আপনার মতামত শেয়ার করুন!
ছবি ক্রেডিট: শার্ক কার্টুন ভায়া শাটারস্টক, এইচটিটিপিএস সিকিউর কানেকশন সাইন ভায়া শাটারস্টক।
