বাংলাস্ফিয়ার: ইন্টারনেটের নিরাপত্তা নিয়ে ব্যাপক ঝুঁকির আশঙ্কায় গুগল, অ্যাপল, মাইক্রোসফট ও মজিলার মতো প্রধান ব্রাউজার নির্মাতা সংস্থাগুলি ই-মুদ্রার নিরাপত্তা ক্ষুণ্ণ হওয়া সার্টিফিকেটগুলি ব্লক করেছে। তার পরেই এই ব্যবসা বন্ধ করার সিদ্ধান্ত।
বড় ধরনের নিরাপত্তা ত্রুটি প্রকাশ্যে আসার পরে বিশ্বব্যাপী ওয়েবসাইটের নিরাপত্তা নিশ্চিত করার SSL/TLS ডিজিটাল সার্টিফিকেটের ব্যবসা বন্ধ করতে চলেছে ই-মুদ্রা। তবে ভারতে সংস্থার ডিজিটাল স্বাক্ষর, ই-সাইন এবং অন্যান্য স্বাক্ষর পরিষেবা স্বাভাবিকভাবেই চলবে বলে জানানো হয়েছে।
ই-মুদ্রার বক্তব্য, কয়েকটি বড় সংস্থা বিনামূল্যে SSL/TLS সার্টিফিকেট দেওয়ায় এই ব্যবসার লাভজনকতা কমেছে। সংস্থার সামগ্রিক আয়েও এর অবদান কমে এসেছে। ই-মুদ্রা আগেই জানিয়েছিল, তাদের বিশ্বব্যাপী আয়ের মাত্র প্রায় এক শতাংশ আসে আন্তর্জাতিক SSL/TLS পরিষেবা থেকে।
ওয়েব ব্যবস্থায় কোনও সার্টিফিকেট প্রদানকারী কর্তৃপক্ষ বা ‘সার্টিফাইং অথরিটি’র মূল ভিত্তিই হল বিশ্বাসযোগ্যতা। ফলে এই নিরাপত্তাজনিত ঘটনা ই-মুদ্রার সুনামে আঘাত করেছে—অন্তত তাদের SSL/TLS ব্যবসার ক্ষেত্রে।
ই-মুদ্রার সহ-প্রতিষ্ঠাতা কৌশিক শ্রীনিবাসন বলেন, “স্বল্প থেকে মাঝারি মেয়াদে আমাদের সুনাম পুনরুদ্ধারের বিষয়টি সামলাতে হবে। সেই কাজই আমরা করছি। সক্রিয়ভাবে গ্রাহকদের সঙ্গে যোগাযোগ করছি এবং তাঁদের বোঝানোর চেষ্টা করছি, এমন ঘটনা যদি আমাদের ক্ষেত্রে ঘটতে পারে, তা হলে অন্য যে কারও ক্ষেত্রেও ঘটতে পারে।”
এই ঘটনার জেরে ভারত সরকারের বিভিন্ন সংস্থার সঙ্গে ই-মুদ্রার ব্যবসায়িক সম্পর্কেও প্রভাব পড়তে পারে কি না, জানতে চাওয়া হলে শ্রীনিবাসন বলেন, “আমার তা মনে হয় না। আমাদের কাছে যে প্রশ্নগুলি করা হয়েছিল, তার ভিত্তিতেই সরকারের পরামর্শমূলক নির্দেশিকাগুলিও এসেছে। সেখানে বলা হয়েছে, সংশ্লিষ্ট ব্যবস্থার উপরে কোনও প্রভাব পড়েনি।”
ভারতীয় শেয়ার বাজারে তালিকাভুক্ত সংস্থাটির এই নিরাপত্তা দুর্বলতা প্রকাশ্যে আসার পরের দু’দিনে শেয়ারের দাম ৪০ শতাংশ পড়ে গিয়েছে।
কী ঘটেছিল :
বিশ্বস্ত সার্টিফিকেট প্রদানকারী কর্তৃপক্ষ হিসেবে ই-মুদ্রার কাজ হল ডিজিটাল সার্টিফিকেট দেওয়া। গুগল ও মজিলার মতো সংস্থার প্রধান ব্রাউজারগুলি কোনও ওয়েবসাইটের পরিচয় যাচাই করতে এই সার্টিফিকেট ব্যবহার করে।
বুধবার, ২১ অক্টোবর, ই-মুদ্রা প্রকাশ্যে নিশ্চিত করে যে আটটি ‘ইন্টারমিডিয়েট সার্টিফিকেট’-এর সঙ্গে যুক্ত দুর্বল গোপন ক্রিপ্টোগ্রাফিক চাবি বা ‘প্রাইভেট কি’ আর সুরক্ষিত নেই।
‘ওয়েন’ নামে এক স্বাধীন গবেষক প্রথম সমস্যাটি জানান। তিনি রিভার্স ইঞ্জিনিয়ারিং, অর্থাৎ প্রযুক্তিগত গঠন বিশ্লেষণ করে ওই গোপন চাবিগুলি বের করেন। এই কাজে তিনি সম্ভবত কৃত্রিম বুদ্ধিমত্তার সাহায্য নিয়েছিলেন। পরবর্তী দিনগুলিতে অ্যাপল, গুগল, মাইক্রোসফট ও মজিলার মতো প্রধান ব্রাউজার নির্মাতা সংস্থা দ্রুত সংশ্লিষ্ট ইন্টারমিডিয়েট সার্টিফিকেটগুলি ব্লক করার উদ্যোগ নেয়।
অপারেটিং সিস্টেম নির্মাতা, ক্লাউডফ্লেয়ারের মতো ওয়েব পরিকাঠামো সংস্থা, অ্যাপ নির্মাতা এবং নিরাপত্তা দলগুলিও দ্রুত আপডেট ও সতর্কবার্তা প্রকাশ করে। কারণ, ফাঁস হয়ে যাওয়া চাবিগুলি ব্যবহার করে যে কোনও ডোমেনের জন্য জাল সার্টিফিকেট তৈরি করা সম্ভব ছিল। বিশ্বের লক্ষ লক্ষ সার্ভার সেই সার্টিফিকেটকে বিশ্বস্ত বলে গ্রহণ করতে পারত।
ই-মুদ্রার বক্তব্য :
বৃহস্পতিবার ই-মুদ্রার চেয়ারম্যান ভি শ্রীনিবাসন বলেন, “সাম্প্রতিক ঘটনাটি ই-মুদ্রা যথাযথ তৎপরতার সঙ্গে সামলেছে। সমস্যা আবিষ্কারের ১৪ ঘণ্টার মধ্যে সংশ্লিষ্ট সিএ সার্টিফিকেটগুলি প্রত্যাহার করা হয়েছে এবং দ্রুত বিষয়টি প্রকাশ করা হয়েছে।”
তিনি আরও বলেন, “ক্ষতিগ্রস্ত সিএগুলির অধীনে কোনও চূড়ান্ত ব্যবহারকারীর সার্টিফিকেট দেওয়া হয়নি। সংস্থার পরিকাঠামোয় অনুপ্রবেশ ঘটেনি, কোনও তথ্য ফাঁস হয়নি। সমস্ত ভৌত ও সফটওয়্যারভিত্তিক নিরাপত্তাব্যবস্থা অক্ষত ছিল।”
ই-মুদ্রার তৈরি ওই দুর্বল চাবিগুলি ব্যবহার করে কোনও অসৎ চক্র এনক্রিপ্ট করা ওয়েব যোগাযোগ আড়ি পেতে ধরেছে বা তার গোপনীয়তা ভেঙেছে—এমন স্পষ্ট প্রমাণ এখনও পাওয়া যায়নি। তবে বিশেষজ্ঞদের সতর্কবার্তা, ঘটনাটি গোটা ইন্টারনেট ব্যবস্থায় বিপর্যয় ডেকে আনার খুব কাছাকাছি পৌঁছে গিয়েছিল।
তাঁরা আরও জানান, ক্রিপ্টোগ্রাফির বিচারে দুর্বল ওই গোপন চাবিগুলির একটি ছিল স্রেফ ‘৪’ সংখ্যাটি। প্রযুক্তি সংস্থা ও সংশ্লিষ্ট অন্য পক্ষগুলি দ্রুত ব্যবস্থা না নিলে, যে কেউ চাবিগুলি বের করে নিজের মতো সার্টিফিকেট ইস্যু করতে পারত।
ই-মুদ্রা জানিয়েছে, এই ঘটনা নিয়ে তারা ব্রাউজার নির্মাতা সংস্থাগুলির সঙ্গে কাজ চালিয়ে যাবে। তদন্ত শেষ হলে সমস্যার মূল কারণ সম্পর্কে একটি পূর্ণাঙ্গ প্রতিবেদনও প্রকাশ করবে।
সংস্থার বক্তব্য, তাদের RSA রুটের অধীনে ইস্যু করা সার্টিফিকেট—যেমন emSign Root CA–G1—এবং অন্যান্য সার্টিফিকেট পরিষেবা বদলের অন্তর্বর্তী সময়েও গ্রাহকদের পরিষেবা দিয়ে যাবে। এই সময় সহযোগী সংস্থাগুলির মাধ্যমে বিনা খরচে গ্রাহকদের সার্টিফিকেট বদলে দেওয়া হবে।
প্রতিটি emSign SSL/TLS সার্টিফিকেটের মেয়াদ শেষ হওয়া অথবা সেটি বদলে দেওয়া পর্যন্ত প্রত্যাহৃত সার্টিফিকেটের তালিকা বা ‘সার্টিফিকেট রিভোকেশন লিস্ট’ (CRL) এবং সার্টিফিকেটের বর্তমান বৈধতা যাচাইয়ের অন্যান্য পরিষেবাও চালু রাখা হবে।
যে G3 চেইনের অন্তর্ভুক্ত ছিল নিরাপত্তা ক্ষুণ্ণ হওয়া ইন্টারমিডিয়েট সার্টিফিকেটগুলি, তার অধীনে নতুন সার্টিফিকেট দেওয়া ইতিমধ্যেই বন্ধ করেছে সংস্থা।
ভারতে ব্যবসা ‘স্বাভাবিকভাবেই চলবে’ :
ই-মুদ্রা ভারতের সেই সব সার্টিফিকেট প্রদানকারী কর্তৃপক্ষের অন্যতম, যাদের কেন্দ্রীয় বৈদ্যুতিন ও তথ্যপ্রযুক্তি মন্ত্রকের অধীন কন্ট্রোলার অব সার্টিফাইং অথরিটিজ বা সিসিএ লাইসেন্স দিয়েছে। আধার প্রদানকারী সংস্থা ইউআইডিএআই এবং আয়কর পোর্টাল-সহ সরকারি ওয়েবসাইটগুলির জন্য ওয়েব নিরাপত্তা সার্টিফিকেট দেয় সংস্থাটি।
ভারতে ডিজিটাল পদ্ধতিতে নথিতে স্বাক্ষর করার পরিষেবাও চালায় ই-মুদ্রা। পাশাপাশি বিভিন্ন প্রতিষ্ঠানের জন্য ‘পাবলিক কি ইনফ্রাস্ট্রাকচার’ বা পিকেআই এবং পরিচয় ও প্রামাণিকতা যাচাইয়ের অন্যান্য প্রযুক্তিগত পরিষেবা দেয়।
সংস্থাটি স্পষ্ট করেছে, এই নিরাপত্তাজনিত ঘটনায় তাদের বিশ্বব্যাপী ডিজিটাল সিগনেচার সার্টিফিকেট বা ডিএসসি, ই-সাইন এবং অন্যান্য স্বাক্ষর পরিষেবা প্রভাবিত হয়নি। ভারতে চালু থাকা সংশ্লিষ্ট পরিষেবাগুলিও স্বাভাবিকভাবেই চলবে।