মাইক্রোসফটের ক্লাউড ডাটাবেজে বড় নিরাপত্তা ত্রুটি, ঝুঁকিতে ব্যবহারকারী
কসমস ডিবি-তে নতুন করে ধরা পড়লো গুরুতর নিরাপত্তা দুর্বলতা
Bangladailypost.com – ম ইক র সফট র ক ল - মাইক্রোসফটের ক্লাউড সেবা অ্যাজুরের কসমস ডিবি নামক ডাটাবেজ সার্ভিসে এমন এক ভুল ধরা পড়েছে, যা ব্যবহার করে হ্যাকাররা দূর থেকেই গ্রাহকের ডাটাবেজের ওপর পুরো নিয়ন্ত্রণ তৈরি করতে পারত। গুগলের মালিকানাধীন উইজ নামক সাইবার সিকিউরিটি প্রতিষ্ঠানটি এই সমস্যাটি শনাক্ত করে মাইক্রোসফটকে জানায়। বর্তমানে এটি সম্পূর্ণভাবে সংশোধন করা হয়েছে।
ত্রুটির মূল কারণ ও প্রভাব
উইজ এই দুর্বলতাকে কসমসএস্কেপ নাম দিয়েছে। গবেষকদের মতে, সমস্যাটি কসমস ডিবি-এর গ্রাফ ডাটাবেজ পরিচালনার জন্য ব্যবহৃত গ্রাফেলিন এপিআই-তে ছিল। পরীক্ষার সময় তারা কিছু ডটনেট ইরোর লক্ষ্য করেন, যা থেকে বোঝা যায় কসমস ডিবি গ্রাফ কোয়েরিকে ভেতরে-ভেতরে ডটনেট কোডে রূপান্তর করে। এই প্রক্রিয়ায় নিরাপত্তা বেষ্টনী যথেষ্ট শক্তিশালী ছিল না। ফলে গবেষকরা সেই সীমানা ভেঙে সরাসরি ব্যাকএন্ড সার্ভারে কোড চালানোর পথ খুঁজে পান।
এই পথ ধরে হ্যাকাররা একটি প্ল্যাটফর্ম-ওয়াইড কি হাতে পেতে পারতো। এই কি ব্যবহার করে অ্যাজুরের যেকোনো কসমস ডিবি অ্যাকাউন্টের প্রাইমারি কি বের করা সম্ভব ছিল। একবার এই কি পাওয়ার পর আক্রমণকারী নির্দিষ্ট প্রতিষ্ঠানের ডাটাবেজ খুঁজে বের করে রিড ও রাইট দুটো কাজই করতে পারত। নেটওয়ার্ক আইসোলেশন চালু থাকা প্রাইভেট ডাটাবেজগুলোও এর আওতা থেকে বাদ পড়েছিল, কারণ কনফিগারেশন লেখার অনুমতি থাকলে সেই আইসোলেশন সেটিংসও পরিবর্তন করা সম্ভব ছিল।
মাইক্রোসফটের প্রতিক্রিয়া ও সময়রেখা
কসমস ডিবি শুধু বাইরের গ্রাহকদের জন্যই নয়, মাইক্রোসফট নিজেও এটি ব্যবহার করে টিমস আর কোপাইলটের মতো সেবা চালাতে। উইজের সিটিও আমি লুটওয়াক বলেছেন, মাইক্রোসফটের ক্লাউডে কিছু বানাতে গেলে সেটা প্রায় সবসময়ই কোনো না কোনোভাবে কসমস ডিবি-এর সঙ্গে জড়িয়ে থাকে।
উইজ গত বছরের ২০ নভেম্বর মাইক্রোসফটকে এই ত্রুটির কথা জানায়। মাইক্রোসফট ৪৮ ঘণ্টার মধ্যেই সাময়িক সমাধান দিয়ে দুর্বল প্রবেশপথটি বন্ধ করে দেয়, আর এ বছরের জুলাইয়ের মধ্যে পুরো আর্কিটেকচারেই স্থায়ী সমাধান বাস্তবায়ন করে। প্ল্যাটফর্ম-ওয়াইড সেই কি টাও পুরোপুরি সরিয়ে ফেলা হয়েছে। মাইক্রোসফট এক বিবৃতিতে জানিয়েছে, উইজ-এর নিজস্ব পরীক্ষা ছাড়া অন্য কোনো অননুমোদিত অ্যাক্সেসের প্রমাণ তদন্তে পাওয়া যায়নি, এবং গ্রাহকদের নতুন করে কিছু করার প্রয়োজন নেই।
পূর্ববর্তী দুর্বলতা ও বর্তমান প্যাটার্ন
তবে এটাই প্রথম নয়। ২০২১ সালে উইজ একবার কসমস ডিবি-তে চাওসডিবি নামে আরেকটি বড় দুর্বলতা খুঁজে পেয়েছিল, যেটার জন্য মাইক্রোসফট তখন হাজারো গ্রাহককে সতর্ক করতে বাধ্য হয়েছিল। গত বছর গবেষক ডার্ক-জান মোলেমা আবার মাইক্রোসফটের এন্ট্রা আইডি-তে এমন একটি ত্রুটি বের করেছিলেন, যা দিয়ে যে কোনো প্রতিষ্ঠানের অ্যাকাউন্টে গ্লোবাল অ্যাডমিন অ্যাক্সেস পাওয়া সম্ভব ছিল। অর্থাৎ, বড় ক্লাউড প্ল্যাটফর্মের কেন্দ্রীয় অংশে একটার পর একটা গুরুতর দুর্বলতা ধরা পড়ার একটা প্যাটার্নই যেন তৈরি হয়েছে।
বিশেষজ্ঞদের মতামত
মিনিয়াপলিসভিত্তিক সাইবার সিকিউরিটি প্রতিষ্ঠান নেটস্পাই-এর কার্ল ফোসেন বলছেন, কসমস ডিবি-তে ব্যবহারকারী অনেক বেশি এবং প্রায়ই এখানে স্পর্শকাতর তথ্য জমা থাকে, তাই এই ধরনের ত্রুটি সত্যিই উদ্বেগজনক। একই সঙ্গে তিনি এটাও বলেছেন, এ ধরনের দুর্বলতা মাঝেমধ্যেই বিভিন্ন ক্লাউড সেবায় ধরা পড়ে। নেদারল্যান্ডসের সাইবার সিকিউরিটি প্রতিষ্ঠান আই সিকিউরিটির ভাইশা বার্নার্ড জানান, সাম্প্রতিক সময়ে ক্লাউড অবকাঠামো প্রোভাইডারদের মধ্যে এমন অনেক গুরুতর দুর্বলতা ধরা পড়ছে, এবং কোনো হ্যাকার উইজের আগে এই ত্রুটি খুঁজে পেলে বড় ধরনের ক্ষতি হতে পারত।
ব্যবহারকারীদের জন্য পরামর্শ
যারা অ্যাজুর বা কসমস ডিবি ব্যবহার করে অ্যাপ্লিকেশন বানান বা প্রতিষ্ঠান চালান, তাদের জন্য এই ঘটনা থেকে কয়েকটা কাজের পরামর্শ নেওয়া যায়: মাইক্রোসফট বলছে গ্রাহকদের আলাদা করে কিছু করার দরকার নেই, তবু নিয়মিতভাবে অ্যাকাউন্টের অ্যাক্সেস কি রোটেড করে রাখা, এবং প্রয়োজনের বেশি পারমিশন কাউকে না দেওয়া সবসময়ই ভালো অভ্যাস। কোনো ভেন্ডর প্যাচ দিয়ে দিলেই ঝুঁকি একেবারে শূন্য হয়ে যায় না। নিজের প্রতিষ্ঠানের লগ আর অ্যাক্সেস হিস্ট্রি একবার চোখ বুলিয়ে দেখাটাও নিরাপদ থাকার একটা ভালো উপায়।
বাংলাদেশে যেসব স্টার্টআপ, ফিনটেক বা ই-কমার্স প্রতিষ্ঠান তাদের ব্যাকএন্ডের জন্য অ্যাজুরের ওপর নির্ভর করে, তাদের উচিত মাইক্রোসফটের সিকিউরিটি অ্যাডভাইজরিগুলো নিয়মিত ফলো করা এবং শুধু একটা প্রোভাইডারের নিরাপত্তার ওপর পুরোপুরি ভরসা না করে নিজস্ব মনিটরিং ব্যবস্থাও রাখা। এই ঘটনা আরেকবার মনে করিয়ে দিল, একটা মাত্র ভুলে বা একটা মাত্র কি ফাঁস হয়ে গেলে গোটা ক্লাউড প্ল্যাটফর্মের নিরাপত্তা কতটা নাজুক হয়ে উঠতে পারে। যত বড় আর নির্ভরযোগ্য প্রোভাইডারই হোক না কেন, ডাটার নিরাপত্তা নিয়ে সতর্ক থাকার দায়িত্বটা শেষ পর্যন্ত প্রতিষ্ঠান নিজেই এড়াতে পারে না।
Related Reading
Frequently Asked Questions
What is ম ইক র সফট র ক ল?ম ইক র সফট র ক ল is the main topic of this guide. The article explains the context, practical details, and next steps readers should understand.
Why does ম ইক র সফট র ক ল matter?ম ইক র সফট র ক ল matters because readers are looking for a useful answer, not just a short summary. Good content should match search intent and help them decide what to do next.