विश्वका धेरै मानिसले बुधबार कार्तिक ४ गते अर्थात् नोभेम्बर २१ का दिन ‘पिएचपी’ नामक प्रोग्रामिङ भाषामा ह्याकरहरूले दुरुपयोग गर्न सक्ने सुरक्षा कमजोरी फेला परेको खबरसँगै दिनको सुरुवात गरे।
धेरै मानिसले नामसमेत नसुनेको यो प्रोग्रामिङ भाषा विश्वका करिब ७० प्रतिशत वेबसाइटको आधारका रूपमा प्रयोग हुन्छ। उक्त कमजोरीको खबर सार्वजनिक भएपछि व्यवसायिक संस्था र सरकारी निकायहरू त्यसलाई तत्काल सच्याउन हतारिएका थिए।
‘पिएचपी’का कमजोरी यसको आधारभूत प्रोग्रामिङ कोडमै रहेका छन्। अमेरिकी राष्ट्रिय सुरक्षा एजेन्सी (एनएसए) ले आक्रमणकारीहरूले यस्ता कमजोरीको फाइदा उठाएर वेब सर्भरमाथि नियन्त्रण कायम गर्न सक्ने चेतावनी दिएको छ।
यसबाट उनीहरूले तथ्याङ्क चोरी गर्न, सेवा अवरुद्ध पार्न वा सर्वसाधारणले दैनिक रूपमा प्रयोग गर्ने सेवासँग सम्बन्धित नेटवर्कभित्र प्रवेश गरी अन्य प्रणालीसम्म आफ्नो पहुँच विस्तार गर्न सक्छन्।
बहुपक्षीय प्रमाणीकरण प्रयोग गर्नुहोस्
बहुपक्षीय प्रमाणीकरण (मल्टी फ्याक्टर अथेन्टिकेसन—एमएफए) भनेको सुरक्षित वेबसाइट वा प्रणालीमा प्रवेश गर्न दुईवटा फरक माध्यमबाट आफ्नो पहिचान पुष्टि गर्नुपर्ने व्यवस्था हो। उदाहरणका लागि, पासवर्डसँगै मोबाइलमा आउने कोड वा सुरक्षा कुञ्जी प्रयोग गर्न सकिन्छ।
साइबर सुरक्षा कम्पनी सेन्सिसकी प्रमुख सुरक्षा अनुसन्धानकर्ता एमिली अस्टिनले प्रत्येक वेबसाइटका लागि फरक पासवर्ड प्रयोग गर्न र आफ्ना वित्तीय कारोबारमाथि निगरानी राख्न सुझाव दिनुभयो।
“व्यावहारिक रूपमा हेर्दा, ‘पिएचपी’का कमजोरीजस्ता अवस्थामा अन्तिम प्रयोगकर्ताले गर्न सक्ने काम खासै हुँदैन। आफूले भर पर्ने सेवाहरूले ‘पिएचपी’ प्रयोग नगरेका होऊन् वा तिनका कमजोरी सच्याउन कर्मचारीहरू सक्रिय रूपमा काम गरिरहेका होऊन् भन्ने आशा गर्नुबाहेक प्रयोगकर्तासँग धेरै विकल्प हुँदैनन्,” अस्टिनले भन्नुभयो।
‘पिएचपी’का कमजोरीहरू शक्तिशाली र सहजै उपलब्ध हुँदै गएका ठूला भाषा मोडेल (लार्ज ल्याङ्ग्वेज मोडेल—एलएलएम) का कारण अझ गम्भीर बनेका सफ्टवेयरसम्बन्धी त्रुटिहरूको पछिल्लो उदाहरण हुन्।
व्यापक रूपमा प्रयोग हुने सफ्टवेयरमा लामो समयदेखि लुकेर रहेका कमजोरीहरू पहिले मानिसका लागि पत्ता लगाउन वा दुरुपयोग गर्न निकै जटिल हुन्थे। तर अहिले कृत्रिम बुद्धिमत्ता (एआई) को सहयोगमा त्यस्ता कमजोरी पत्ता लगाउन र तिनलाई साइबर आक्रमणमा प्रयोग गर्न धेरै सजिलो भएको छ।
उपकरणमा स्वचालित अद्यावधिक सुविधा सक्रिय गर्नुहोस्
साइबर सुरक्षा कम्पनी ट्रेल अफ बिट्सका प्रमुख कार्यकारी अधिकृत तथा सहसंस्थापक ड्यान गुइडोले मानिसहरूलाई “आफ्नो मोबाइल फोन, कम्प्युटर र घरको राउटरमा स्वचालित अद्यावधिक सुविधा सक्रिय गर्न” सुझाव दिनुभयो।
सफ्टवेयरमा रहेका ज्ञात सुरक्षा कमजोरी सच्याउन कम्पनीहरूले सामान्यतया सुरक्षा अद्यावधिक जारी गर्छन्। ती अद्यावधिक उपलब्ध हुनासाथ स्थापना गर्दा साइबर अपराधीले कमजोरीको फाइदा उठाउन पाउने समय घट्छ।
यद्यपि, उपभोक्ताहरू आफूले भर पर्ने सेवा प्रदायकहरूको सुरक्षा व्यवस्थामै निर्भर रहने गुइडोले बताउनुभयो।
“कुनै वेबसाइटमा जाने व्यक्तिले दुई चरणको प्रमाणीकरण प्रयोग गर्नेजस्ता सबै सावधानी अपनाएको हुन सक्छ। तर पनि उसको व्यक्तिगत जानकारी खुलासा हुन सक्छ,” गुइडोले भन्नुभयो। “तपाईंले आफ्नो अस्पतालको वेबसाइटमा आफैँ सुरक्षा कमजोरी सच्याउने अद्यावधिक स्थापना गर्न सक्नुहुन्न।”
गुइडोका अनुसार यस समस्याको समाधान गर्ने अधिकांश जिम्मेवारी सेवा सञ्चालन गर्ने कम्पनीहरूकै हो।
“उनीहरूले सुरक्षा कमजोरी सच्याउने उपाय छिटो लागू गर्नुपर्छ र सुरक्षा भङ्ग भएका प्रणालीबाट हुन सक्ने क्षति सीमित गर्नुपर्छ,” उहाँले भन्नुभयो।
डिजिटल सुरक्षा विज्ञ तथा ग्रानिटका संस्थापक रुना सान्डभिकले पनि मानिसहरूले आफ्ना उपकरणमा प्रयोग हुने एप र सेवाहरूमा अद्यावधिक उपलब्ध हुनासाथ स्थापना गर्नुपर्ने बताउनुभयो। साथै, घरमा इन्टरनेटसँग जोडिएका उपकरणहरूलाई पनि बिर्सन नहुने उहाँको सुझाव छ।
“केही मानिसका घरमा इन्टरनेटसँग जोडिएका (आईओटी) उपकरण हुन सक्छन्, जसमा नियमित रूपमा अद्यावधिक उपलब्ध हुँदैन वा कुनै अद्यावधिक नै आउँदैन,” सान्डभिकले भन्नुभयो। “त्यस्ता उपकरणका निर्माता वा विक्रेतासँग सम्पर्क गरेर कुनै अद्यावधिक उपलब्ध छ कि छैन भनेर पुनः जाँच गर्नु उपयोगी हुन्छ।”
सुरक्षा कमजोरी सच्याउनुहोस्, सच्याउनुहोस् र फेरि सच्याउनुहोस्
सर्रे साइबर सुरक्षा केन्द्र तथा सर्रे विश्वविद्यालयका प्राध्यापक डा. ड्यानियल गार्डहमले संस्थाहरूले आफूले कुन-कुन सफ्टवेयर प्रयोग गरिरहेका छन् भन्ने जानकारी राख्नुपर्ने, सुरक्षा कमजोरी पत्ता लागेपछि तत्काल सच्याउनुपर्ने र आफ्नो प्रणालीमा यसअघि नै अनधिकृत प्रवेश भइसकेको छ कि छैन भनेर जाँच गर्नुपर्ने बताउनुभयो।
एआईको युगमा साइबर आक्रमणकारीहरूलाई तुलनात्मक रूपमा बढी सुविधा प्राप्त भएको उहाँले उल्लेख गर्नुभयो।
“सुरक्षा कमजोरी पत्ता लगाउने काम छिटो र सजिलो हुँदै गएको छ। तर त्यही सफ्टवेयरमा निर्भर विभिन्न प्रणालीमा ती कमजोरी सच्याउनु निकै कठिन छ,” गार्डहमले भन्नुभयो।
“संस्थाहरूले यी दुईबीचको अन्तरलाई कति प्रभावकारी ढङ्गले व्यवस्थापन गर्छन् भन्ने कुराले एआईले इन्टरनेटलाई सुरक्षित बनाउँछ वा अझ जोखिमपूर्ण बनाउँछ भन्ने निर्धारण गर्नेछ।”
ठगी गर्नेहरूबाट सावधान रहनुहोस्
कुनै ठूलो साइबर सुरक्षा जोखिमको खबर सार्वजनिक हुनेबित्तिकै ठग र साइबर अपराधीहरूले त्यसको फाइदा उठाउने प्रयास गर्ने साइबर सुरक्षा कम्पनी ०र्कसका सहसंस्थापक तथा प्रमुख कार्यकारी अधिकृत निक एडम्सले बताउनुभयो।
अपरिचित स्रोतबाट आउने लिङ्क खोल्दा विशेष सावधानी अपनाउन उहाँले सुझाव दिनुभयो।
“यस्ता समाचार सार्वजनिक हुँदा सम्बन्धित कम्पनीले दिएको निर्देशन जाँच्नुहोस्। त्यसका लागि कम्पनीको एप आफैँ खोल्नुहोस् वा वेबसाइटको ठेगाना आफैँ टाइप गरेर प्रवेश गर्नुहोस्,” एडम्सले भन्नुभयो। “तपाईंको खाता सुरक्षित गर्न तत्काल कदम चाल्नुपर्ने भन्दै आउने सन्देशलाई विशेष सावधानीपूर्वक जाँच्नुपर्छ।”
तपाईंको पैसा सुरक्षित छ
अमेरिकन बैंकर्स एसोसिएसनका जोखिम, ठगी तथा साइबर सुरक्षासम्बन्धी कार्यकारी उपाध्यक्ष पल बेन्डाका अनुसार अत्याधुनिक एआई मोडेलहरू सार्वजनिक हुन थालेदेखि नै बैंकहरूले यस्तो अवस्थाका लागि तयारी गरिरहेका छन्।
“दुर्भावनापूर्ण व्यक्तिहरूले सजिलै दुरुपयोग गर्न सक्ने कमजोरीहरू बाँकी नरहून् भनेर बैंकहरूले अत्यन्तै मेहनत गरेका छन्,” बेन्डाले भन्नुभयो।
यद्यपि, साइबर जोखिमका सन्दर्भमा अहिले नयाँ सामान्य अवस्था सिर्जना भएको उहाँले बताउनुभयो। विशेषगरी PHP का सुरक्षा कमजोरी सार्वजनिक भएको अवस्थामा उपभोक्ताहरू सचेत हुनुपर्ने उहाँको भनाइ छ।
बैंकको तुलनामा कमजोर सुरक्षा व्यवस्था भएका अनलाइन पसल वा अपरिचित वेबसाइटबाट सामान खरिद गर्दा उपभोक्ताहरू अझ सतर्क हुनुपर्ने बेन्डाले बताउनुभयो।
उहाँका अनुसार अनलाइन किनमेल गर्ने विभिन्न वेबसाइटमा एउटै पासवर्ड दोहोर्याएर प्रयोग गर्नु हुँदैन। सम्भव भएसम्म पासकी (पासकिज) प्रयोग गर्ने विषयमा पनि विचार गर्नुपर्छ।
पासकी भनेको निश्चित वेबसाइट वा सेवाका लागि बनाइएको डिजिटल प्रमाणीकरण कुञ्जी हो। यसले वेबसाइटमा पासवर्ड टाइप गर्नुपर्ने आवश्यकता हटाउँछ र फिसिङ अर्थात् नक्कली वेबसाइट वा सन्देशमार्फत पासवर्ड चोर्ने प्रयासविरुद्ध थप सुरक्षा प्रदान गर्छ।
प्रतिक्रिया राख्नुहोस्