एक्सप्लेनर: क्या है पीएचपी जिसकी खामी से 70% वेबसाइटों पर मंडराया खतरा, ब्रिटेन ने क्यों कहा घर में रखें राशन?
एक सुरक्षा खामी ने इंटरनेट की दुनिया में हलचल मचा दी। सरकारी वेबसाइटें बंद होने लगीं और साइबर हमलों का खतरा बढ़ गया। मामला इतना गंभीर था कि ब्रिटेन ने लोगों को 72 घंटे का जरूरी सामान घर में रखने की सलाह दी। आखिर इस तकनीकी गड़बड़ी के पीछे क्या था और दुनिया भर में क्यों बढ़ने लगी चिंता? आइए जानते हैं।
विस्तार
Add as a preferredइंटरनेट की बड़ी संख्या में वेबसाइटों को चलाने वाली तकनीक में दो गंभीर सुरक्षा खामियां सामने आई हैं। खामियों का पता चलने के बाद कई देशों में सरकारी वेबसाइटें एहतियातन बंद की गईं। इस खामी के चलते दुनियाभर की 70 फीसदी वेबसाइट्स प्रभावित हो सकती थीं। इस बीच ब्रिटेन सरकार ने लोगों को घर में तीन दिन यानी 72 घंटे तक काम आने वाला जरूरी सामान रखने की सलाह दी है।
ऐसे में आइए जानते हैं कि आखिर ये खामियां क्या थी? किसमें पाई गई? इन्हें कैसे खोजा गया? इससे क्या खतरा हो सकता था? क्या कदम उठाए गए?
किसमें गड़बड़ी पाई गई?
यह गड़बड़ी पीएचपी में पाई गई। पीएचपी एक प्रोग्रामिंग भाषा है, जिसका इस्तेमाल वेबसाइटों और ऑनलाइन सेवाओं को चलाने में होता है। आसान शब्दों में कहें तो यह वेबसाइट के पीछे काम करती है और उपयोगकर्ताओं के अनुरोध के मुताबिक जानकारी दिखाने में मदद करती है।
वेबसाइटों के इस्तेमाल पर नजर रखने वाली संस्था डब्ल्यूथ्रीटेक्स के अनुमान के मुताबिक, जिन वेबसाइटों में इस्तेमाल होने वाली तकनीक की पहचान हो सकी, उनमें करीब 69.3 प्रतिशत में पीएचपी का इस्तेमाल होता है। वर्डप्रेस, ड्रुपल और जूमला जैसे मंच भी इस तकनीक पर निर्भर हैं। इसलिए इसमें सुरक्षा की गंभीर समस्या आने से बड़ी संख्या में वेबसाइटों पर असर पड़ने का खतरा पैदा हो सकता है।
पीएचपी में क्या गड़बड़ी सामने आई?
सुरक्षा संबंधी समस्याएं कंप्यूटर की मेमोरी के इस्तेमाल और प्रोग्राम में आने वाली गलतियों को संभालने की प्रक्रिया से जुड़ी थीं। मेमोरी कंप्यूटर का वह हिस्सा है, जहां काम करते समय जरूरी जानकारी अस्थायी रूप से रखी जाती है। वहीं, गलतियों को संभालने की प्रक्रिया तय करती है कि प्रोग्राम में समस्या आने पर वह कैसे काम करेगा।
इन प्रक्रियाओं में मौजूद कमियों का फायदा उठाकर हमलावर वेबसाइट चलाने वाले कंप्यूटर पर बिना अनुमति निर्देश चला सकते हैं। इससे वहां रखी फाइलों और आंकड़ों के संग्रह तक पहुंचने या उनमें बदलाव करने का खतरा पैदा हो सकता है। अमेरिका की राष्ट्रीय सुरक्षा एजेंसी ने भी चेतावनी दी कि इन खामियों के जरिए सर्वर की फाइलों और आंकड़ों तक पहुंचने का जोखिम पैदा हो सकता है।
साइबर सुरक्षा कंपनी हैड्रियन ने इन कमियों का फायदा उठाने की कोशिशों को पीएचपीटूशेल नाम दिया। यहां शेल का मतलब ऐसे माध्यम से है, जिसके जरिए कंप्यूटर को निर्देश दिए जा सकते हैं। इस तरह की पहुंच मिलने पर हमलावर सर्वर पर अपनी पकड़ बनाने की कोशिश कर सकता है।
एआई ने इन खामियों का पता लगाने में कैसे मदद की?
पीएचपी फाउंडेशन ने अपने कोड की जांच के लिए एआई आधारित उपकरणों की मदद ली। इसमें एंथ्रोपिक का उन्नत एआई मॉडल भी शामिल था। पीएचपी को ओपनएआई के पैच द प्लैनेट कार्यक्रम में भी शामिल किया गया। इस कार्यक्रम के तहत सुरक्षा विशेषज्ञों और शोधकर्ताओं ने सॉफ्टवेयर की कमजोरियां खोजने और उन्हें ठीक करने पर काम किया।
पीएचपी फाउंडेशन के मुताबिक, सुरक्षा कंपनी कैलिफ ने 30 जुलाई को पीएचपी की जांच शुरू की थी। शोधकर्ता रयानए ने 11 अगस्त को एक गंभीर समस्या की जानकारी दी। ओपनएआई ने भी उसी दिन इससे जुड़ी समस्या की सूचना दी। इसके बाद सुरक्षा कंपनी विज ने 24 अगस्त को एक और तरीके से इस समस्या का फायदा उठाए जाने की जानकारी दी।
एआई बड़ी मात्रा में कंप्यूटर कोड की जांच करके उन जगहों को पहचानने में मदद कर सकता है, जहां गड़बड़ी होने की आशंका है। इससे विशेषज्ञों को संभावित खामियां खोजने और उनके समाधान पर काम करने में मदद मिलती है। हालांकि, खामी की पुष्टि करने और उसे ठीक करने में विशेषज्ञों की भूमिका जरूरी रहती है।
खतरा कैसे बढ़ा?
जब किसी सॉफ्टवेयर में गंभीर सुरक्षा समस्या मिलती है, तो आम तौर पर उसे सार्वजनिक करने से पहले उसे बनाने वाली टीम को सुधार करने का समय दिया जाता है। इससे सुरक्षा अपडेट जारी होने तक हमलावरों को उस कमी का फायदा उठाने का मौका मिलने का खतरा कम होता है।
पीएचपी के मामले में जानकारी सार्वजनिक होने की तय तारीख से दो दिन पहले ही खामियों से जुड़े पहचान नंबर इंटरनेट पर फैलने लगे। इसके बाद पीएचपी की टीम ने सुरक्षा अपडेट जारी करने की तारीख एक दिन पहले कर दी। जानकारी फैलने के बाद हमलावरों के पास सुरक्षा अपडेट लगाने से पहले हमला करने का मौका बढ़ गया। इन कमजोरियों की जानकारी 22 अक्तूबर को सार्वजनिक की जानी थी।
अमेजन की साइबर खतरा खुफिया टीम ने भी आधिकारिक खुलासे से चार दिन पहले, 17 अक्तूबर को, हमले की एक कोशिश दर्ज की थी। हमलावर ने अमेजन के निगरानी के लिए बनाए गए एक विशेष परीक्षण तंत्र को निशाना बनाया। इस तरह के तंत्र का इस्तेमाल संदिग्ध गतिविधियों और हमलों के तरीकों को समझने के लिए किया जाता है।
हालांकि, यह स्पष्ट नहीं हुआ कि हमलावर को खामियों की जानकारी पहले कैसे मिली। अमेजन ने ऐसे उदाहरण भी देखे, जिनमें दिखाया गया था कि इन कमियों का फायदा कैसे उठाया जा सकता है। ऐसे उदाहरण सुरक्षा जोखिम समझने में मदद करते हैं, लेकिन अपने आप में सफल साइबर हमले का प्रमाण नहीं होते।
क्या-क्या खतरा हो सकता था?
- संवेदनशील डेटा की चोरी: सर्वर पर मौजूद जरूरी जानकारी तक पहुंचने और उसे चुराने का खतरा हो सकता था।
- ऑनलाइन सेवाओं में रुकावट: वेबसाइट या दूसरी डिजिटल सेवाएं बाधित हो सकती थी।
- नेटवर्क में आगे बढ़ने का जोखिम: हमलावर शुरुआती पहुंच का इस्तेमाल नेटवर्क के दूसरे हिस्सों तक पहुंचने की कोशिश में कर सकते थे।
दुनिया भर में क्या असर पड़ा?
खतरे का पता चलने के बाद कई देशों के संस्थानों ने अपनी वेबसाइटों और ऑनलाइन सेवाओं की जांच की। कुछ ने सुरक्षा अपडेट लगाने और जोखिम कम करने के लिए सेवाएं अस्थायी रूप से बंद कर दीं।
- नीदरलैंड में रॉटरडैम बंदरगाह की वेबसाइट, सरकारी वेबसाइट ओवरहाइड डॉट एनएल और कुछ राजनीतिक दलों की वेबसाइटों समेत कई सार्वजनिक वेबसाइटें बंद की गईं या प्रभावित हुईं।
- डेनमार्क में कोम्बिट ने स्कूलों के बीच संदेश भेजने से जुड़ी कुछ सेवाएं बंद कीं।
- फिनलैंड की वाल्टोरी ने कुछ सार्वजनिक नेटवर्क सेवाओं को अस्थायी रूप से बंद किया।
- फ्रांस के गृह मंत्रालय ने भी अपनी वेबसाइटों को रखरखाव के लिए बंद किया।
ब्रिटेन में उठाया गया बड़ा कदम
ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र ने 50 हजार से ज्यादा चेतावनी संदेश भेजे, ताकि वेबसाइट संचालक खतरे को समझकर जरूरी कदम उठा सकें। कई संस्थानों ने सुरक्षा जांच और अपडेट लगाने के बाद अपनी सेवाएं फिर शुरू कीं।
इस बीच सरकार ने लोगों को घर में तीन दिन यानी 72 घंटे तक काम आने वाला जरूरी सामान रखने की सलाह दी है। यह सलाह सरकार के 'बी रेडी' अभियान के तहत दी गई है। सरकार के अनुसार, अगर पीएचपी में मिली सुरक्षा खामी जैसी समस्या भविष्य में होती है और बेवसाइट्स को बंद करना पड़े तो नागरिकों के पास बुनियादी सुविधाएं होनी चाहिए, क्योंकि रोजमर्रा की ज्यादातर चीजें ऑनलाइन गतिविधियों पर निर्भर हो गई हैं। हालांकि, सरकार की सलाह सिर्फ साइबर हमलों तक सीमित नहीं है, बल्कि खराब मौसम और दूसरी आपात स्थितियों को भी ध्यान में रखकर दी गई है।
क्या इन खामियों का फायदा उठाकर वेबसाइटें हैक हुईं?
इन कमियों का फायदा उठाने की कोशिशें दर्ज की गईं। हालांकि, किसी हमले की कोशिश और वेबसाइट को सफलतापूर्वक हैक करने में अंतर है। हर कोशिश यह साबित नहीं करती कि हमलावर कंप्यूटर पर कब्जा करने या जानकारी चुराने में सफल रहा।
ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र के मुताबिक, जानकारी सार्वजनिक होने के बाद शुरुआती 24 घंटों में सफल हमलों की पुष्टि नहीं हुई थी। वहीं, सुरक्षा कंपनियों ने हमले की कोशिशों और इन कमियों का फायदा उठाने के तरीकों के तेजी से फैलने की जानकारी दी। खतरा इस बात का था कि जिन वेबसाइटों पर सुरक्षा अपडेट नहीं लगाया गया, उन्हें हमलावर निशाना बना सकते थे।
वेबसाइटों को सुरक्षित करने में क्या चुनौती है?
इन खामियों को ठीक करने के लिए सुरक्षा अपडेट जारी किए जा चुके हैं। वेबसाइट संचालकों को पहले यह पता लगाना होगा कि उनके कितने सर्वर और कंप्यूटर पीएचपी का इस्तेमाल कर रहे हैं और किन पर अपडेट लगाना जरूरी है।
साइबर सुरक्षा कंपनी सोफोस के डॉन स्मिथ के मुताबिक, संगठनों के लिए उन सभी सिस्टम की पहचान करना बड़ी चुनौती है, जहां पीएचपी चल रहा है। बड़े संगठनों के पास कई वेबसाइटें और सर्वर होते हैं, इसलिए हर सिस्टम की जांच करना जरूरी है।
ऑस्ट्रेलियाई राष्ट्रीय विश्वविद्यालय के प्रोफेसर सिगी गूड ने चिंता जताई कि जो वेबसाइटें अब भी चालू हैं, वे जरूरी सुरक्षा उपायों के बिना हमलावरों के निशाने पर हो सकती हैं। सुरक्षा विशेषज्ञों ने सलाह दी कि जिन सिस्टम को तुरंत सुरक्षित नहीं किया जा सकता, उन्हें अस्थायी रूप से बंद रखना बेहतर है।
क्या एआई से साइबर हमलों का खतरा बढ़ सकता है?
द गार्डियन के अनुसार, एआई की मदद से सॉफ्टवेयर की कमजोरियां तेजी से खोजी जा सकती हैं। इससे कंपनियों और सरकारी संस्थाओं को अपने सिस्टम सुरक्षित करने में मदद मिलती है। लेकिन हमलावर भी इसी तकनीक का इस्तेमाल कमजोरियां खोजने और उनका फायदा उठाने के लिए कर सकते हैं।
सोफोस के डॉन स्मिथ ने संगठनों को वेबसाइटों और सर्वर पर असामान्य गतिविधियों, बिना अनुमति कमांड चलने और दूसरे संदिग्ध संकेतों पर नजर रखने की सलाह दी। इससे यह पता लगाने में मदद मिल सकती है कि कोई हमलावर पहले ही सिस्टम में प्रवेश कर चुका है या नहीं।
इस मामले ने इंटरनेट की बुनियादी तकनीकों को संभालने वाली टीमों की क्षमता पर भी ध्यान खींचा है। पीएचपी फाउंडेशन के पास इस भाषा को बनाए रखने के लिए केवल 13 पूर्णकालिक और अंशकालिक इंजीनियर हैं, जबकि AI के विकास पर अरबों डॉलर खर्च किए जा रहे हैं।
