একটি নতুন অ্যান্ড্রয়েড ভালনারেবিলিটি সিকিউরিটি জগতকে চিন্তিত করেছে — এবং এটি আপনার অ্যান্ড্রয়েড ফোনকে অত্যধিক কমজোর করে দিয়েছে। সমস্যাটি ছয়টি বাগের রূপে এসেছে একটি নিরপেক্ষ লাগতে থাকা অ্যান্ড্রয়েড মডিউলে যাকে স্টেজফ্রাইট (Stagefright) বলা হয়, যা মিডিয়া প্লেব্যাকের জন্য ব্যবহৃত হয়।
স্টেজফ্রাইট বাগগুলো একটি দূষিত এমএমএস (MMS) — যা একজন হ্যাকার পাঠাবে — স্টেজফ্রাইট মডিউলের ভেতরে দূষিত কোড এক্সিকিউট করার সুযোগ দেয়। সেখান থেকে, কোডটি ডিভাইস নিয়ন্ত্রণ নেওয়ার জন্য বেশ কিছু অপশন পায়। এখন পর্যন্ত, প্রায় ৯৫ কোটি ডিভাইস এই এক্সপ্লয়িটেরต่อয়bowed আছেন।
সহজ কথায়, এটি ইতিহাসে সবচেয়ে ভয়াবহ অ্যান্ড্রয়েড ভালনারেবিলিটি।
নীরব আধিপত্য
অ্যান্ড্রয়েড ব্যবহারকারীরা ইতিমধ্যে এই লংঘনের কারণে রেগে যাচ্ছেন, এবং منطাকের কারণ আছে। টুইটারে দ্রুত স্ক্যান করলে খবর ছড়াও হওয়ার সাথে সাথে উদ্বেগপ্রকাশ করা অনেক ব্যবহারকারী দেখা যাচ্ছে।
এই আক্রমণের সবচেয়ে ভয়াবহ দিক হলো ব্যবহারকারীরা নিজেদের রক্ষা করার জন্য কীভাবে কিছু করতে পারেন সেটি জানেন না। সম্ভবত তারা জানবেন না যে আক্রমণটি হয়েছে।
সাধারণত, একটি অ্যান্ড্রয়েড ডিভাইস আক্রমণ করতে হলে ব্যবহারকারীকে একটি দূষিত অ্যাপ ইনস্টল করতে বাধ্য করতে হয়। কিন্তু এই আক্রমণটি আলাদা: আক্রমণকারী শুধু আপনার ফোন নম্বর জানলে চলে, সে একটি দূষিত মাল্টিমিডিয়া মেসেজ পাঠাতে পারবে।
আপনি কোন মেসেজিং অ্যাপ ব্যবহার করছেন তার উপর নির্ভর করে, আপনি হয়তো মেসেজ আসা বিষয়টাও জানবেন না। উদাহরণস্বরূপ: যদি আপনার এমএমএস মেসেজগুলো অ্যান্ড্রয়েডের গুগল হ্যাঙ্গআউটস (Google Hangouts) এর মাধ্যমে যায়, তবে দূষিত মেসেজ সিস্টেম ব্যবহারকারীকে সতর্ক করার আগেই নিয়ন্ত্রণ নিতে এবং নিজেকে লুকিয়ে রাখতে সক্ষম হবে। অন্য ক্ষেত্রে, এক্সপ্লয়িটটি হয়তো মেসেজ ভিউ করার পর শুরু হবে, কিন্তু অধিকাংশ ব্যবহারকারী সেটি হানিকারক স্প্যাম বা রং নম্বর বলে উপেক্ষা করবে।
সিস্টেমের ভেতর একবার ঢুকলে, স্টেজফ্রাইটের ভেতরে চলমান কোড স্বয়ংক্রিয়ভাবে ক্যামেরা, মাইক্রোফোন, ব্লুটুথ পেরিফেরাল এবং এসডি কার্ডে সংরক্ষিত যেকোনো ডেটা অ্যাক্সেস করতে পারে। এটাও খারাপ, কিন্তু (দুর্ভাগ্য থেকে) এটা শুধু শুরু।
যদিও অ্যান্ড্রয়েড ললিপপ অনেক সিকিউরিটি উন্নতি নিয়ে এল, অধিকাংশ অ্যান্ড্রয়েড ডিভাইস এখনও পুরনো ওএস সংস্করণ চালাচ্ছে, এবং "প্রivilেজ এস্ক্যালেশন আট্যাক" (privilege escalation attack) নামে একটি সমস্যায় আক্রান্ত। সাধারণত, অ্যান্ড্রয়েড অ্যাপগুলো "স্যান্ডবক্সড" থাকে, যা শুধু স্পষ্ট অনুমতি দেওয়া ওএস অংশগুলো অ্যাক্সেস করতে দেয়। প্রivilেজ এস্ক্যালেশন আট্যাক দূষিত কোডকে অ্যান্ড্রয়েড ওএসকে "টিপ" দিয়ে ডিভাইসে আরও বেশি অ্যাক্সেস পাওয়ার সুযোগ দেয়।
দূষিত এমএমএস একবার স্টেজফ্রাইট নিয়ন্ত্রণ করতে পারলে, সেটি পুরনো, असুরক্ষিত অ্যান্ড্রয়েড ডিভাইসের পুরো নিয়ন্ত্রণ নেওয়ার জন্য এই আট্যাকগুলো ব্যবহার করতে পারে। এটি ডিভাইস সিকিউরিটির জন্য একটি দুঃস্বপ্নের দৃশ্য। এই সমস্যা থেকে সম্পূর্ণভাবে রক্ষিত ডিভাইসগুলো হলো যেগুলো অ্যান্ড্রয়েড ২.২ (ফ্রয়ো) এর চেয়ে পুরনো ওএস চালাচ্ছে, যেটিই প্রথমে স্টেজফ্রাইট চালু করেছিল।
ধীর প্রতিক্রিয়া
স্টেজফ্রাইট ভালনারেবিলিটি অপ্রিলে জিম্পেরিয়াম জেডল্যাবস (Zimperium zLabs) নামে একটি সিকিউরিটি রিসার্চার গোষ্ঠী আবিষ্কার করে। গবেষকরা গুগলে সমস্যাটি রিপোর্ট করল। গুগল দ্রুত একটি প্যাচ নির্মাতাদের কাছে প্রকাশ করল — তবে খুব কম ডিভাইস মейকারই আসলে সেটি তাদের ডিভাইসগুলোতে পুশ করেছেন। বাগ আবিষ্কারকারী গবেষক জোশুয়া ড্রেক (Joshua Drake) মনে করেন প্রায় ৯৫ কোটি ডিভাইস (প্রায় এক বিলিয়ন অ্যান্ড্রয়েড ডিভাইসের মধ্যে) আক্রমণের কিছু রূপে আক্রান্ত।
গুগলের নিজস্ব ডিভাইসগুলো যেমন নেক্সাস ৬ আংশিকভাবে প্যাচ করা হয়েছে ড্রকে অনুযায়ী, যদিও কিছু ভালনারেবিলিটি বাকি আছে। এই বিষয়ে ফরবেস (FORBES)-কে একটি ইমেইলে গুগল ব্যবহারকারীদের আশ্বস্ত করল,
“অधিকাংশ অ্যান্ড্রয়েড ডিভাইস, যার মধ্যে সব নতুন ডিভাইসই অন্তর্ভুক্ত, একাধিক প্রযুক্তি আছে যা এক্সপ্লয়িটেশনকে কঠিন করে। অ্যান্ড্রয়েড ডিভাইসগুলোর একটি অ্যাপ্লিকেশন স্যান্ডবক্সও রয়েছে যা ব্যবহারকারীর ডেটা এবং ডিভাইসের অন্যান্য অ্যাপ্লিকেশন রক্ষা করে,”
তবে এটি তেমন সান্ত্বনা দেয় না। অ্যান্ড্রয়েড জেলিবিনের আগে অ্যান্ড্রয়েডের স্যান্ডবক্সিং নিখুঁতভাবে দুর্বল ছিল, এবং এটিকে বাইপাস করার জন্য বেশ কিছু পরিচিত এক্সপ্লয়িট রয়েছে। এই সমস্যার জন্য নির্মাতারা একটি উপযুক্ত প্যাচ রোল আউট করুন তা অত্যন্ত জরুরি।
আপনি কী করতে পারেন?
দুর্ভাগ্য, হার্ডওয়্যার নির্মাতারা এইরকম ক্রিটিক্যাল সিকিউরিটি প্যাচ রোল আউট করার ক্ষেত্রে অত্যন্ত ধীর হতে পারে। আপনার ডিভাইস নির্মাতার কাস্টমার সাপোর্ট বিভাগে যোগাযোগ করে প্যাচ কখন উপলব্ধ হবে সেটি জানা ভালো। জনমতের চাপ সম্ভবত প্রক্রিয়াটি দ্রুত করতে সাহায্য করবে।
ড্রকের পক্ষ থেকে, সে ডেফকন (DEFCON) — একটি আন্তর্জাতিক সিকিউরিটি কনফারেন্স যেটি আগস্টের শুরুতে অনুষ্ঠিত হয় — তে তার নिष्कर्षের সম্পূর্ণ বিবরণ প্রকাশ করবেন। আশা করা যাক, অতিরিক্ত প্রচার স্বার্থে ডিভাইস নির্মাতারা আপডেট দ্রুত প্রকাশ করবে, যেহেতু আক্রমণটি এখন সবার জানা।
বroad দৃষ্টিতে, এটি অ্যান্ড্রয়েড ফ্র্যাগমেন্টেশন কেন এত বড় সিকিউরিটি নাইটমের তা একটি ভালো উদাহরণ।
আইওএস (iOS)-এর মতো লক-ডাউন একোসিস্টেমে, এইরকম প্যাচ ঘন্টার মধ্যে জারি করা যায়। অ্যান্ড্রয়েডে, বিশাল ফ্র্যাগমেন্টেশন কারনে প্রতিটি ডিভাইস আপ টু ডেট করায় মहीনাবারস বা বছরাবারস লাগতে পারে। গুগল আগামী বছরে কী সমাধান নিয়ে আসে যাতে এই সিকিউরিটি-ক্রিটিক্যাল আপডেটগুলো ডিভাইস-মেকারদের হাত থেকে বের করা যায়, সেটি দেখতে কৌতূহলী।
আপনি কি এই সমস্যায় আক্রান্ত একজন অ্যান্ড্রয়েড ব্যবহারকারী? গোপনীয়তা নিয়ে চিন্তিত? কমেন্টে আপনার মতামত জানান!
ছবির ক্রেডিট: উইকিমিডিয়ার দ্বারা ব্যাকলিট কীবোর্ড
