এক্সপ্লয়েটের একটি বিরক্তিকর পথ
Google-এর Threat Analysis Group একটি পরিশীলিত iPhone-হ্যাকিং সরঞ্জাম চিহ্নিত করেছে যা একটি রাশিয়ান রাষ্ট্র গোয়েন্দা গ্রুপ এবং একটি চীনা সাইবার অপরাধ সংস্থা দ্বারা ব্যবহৃত হয়েছিল এবং একটি আমেরিকান সরকার প্রতিরক্ষা ঠিকাদারের উৎস নিশ্চিত করেছে যে এই সরঞ্জামগুলির মধ্যে কিছু তাদের নিজস্ব উন্নয়ন কাজ থেকে উদ্ভূত হয়েছে। এই প্রকাশ এই বিষয়ে জরুরি প্রশ্ন উত্থাপন করে যে জাতীয় নিরাপত্তার জন্য উন্নত আক্রমণাত্মক সাইবার ক্ষমতা কীভাবে বিদেশী প্রতিদ্বন্দ্বীদের হাতে শেষ হয়।
TechCrunch দ্বারা রিপোর্ট করা এই অনুসন্ধান এক্সপ্লয়েট বিস্তার সমস্যার সবচেয়ে কংক্রিট উদাহরণগুলির একটি প্রতিনিধিত্ব করে যা সাইবার নিরাপত্তা বিশেষজ্ঞরা বছরের পর বছর সম্পর্কে সতর্ক করেছেন। যদিও সরকারগুলি আক্রমণাত্মক সাইবার ক্ষমতা বিকাশে ব্যাপক বিনিয়োগ করে, সরঞ্জাম এবং কৌশলগুলি বিভিন্ন চ্যানেলের মাধ্যমে ছড়িয়ে পড়তে পারে — বাণিজ্যিক স্পাইওয়্যার বিক্রেতাদের দ্বারা ইচ্ছাকৃত বিক্রয় থেকে চুরি, ফাঁস এবং একাধিক অভিনেতাদের দ্বারা একই দুর্বলতার স্বাধীন আবিষ্কার পর্যন্ত।
টুলকিট এবং এর ক্ষমতা
Google-এর গবেষকরা রাষ্ট্র-স্পন্সরকৃত হুমকি অভিনেতাদের চলমান পর্যবেক্ষণের মাধ্যমে হ্যাকিং সরঞ্জামগুলি চিহ্নিত করেছেন। টুলকিট iOS-এ দুর্বলতাগুলিকে লক্ষ্য করেছিল, Apple-এর মোবাইল অপারেটিং সিস্টেম, আক্রমণকারীদের লক্ষ্যকে একটি দূষিত লিঙ্কে ক্লিক করতে বা কোনো ব্যবস্থা নিতে না হয়ে iPhone-এ অ্যাক্সেস করতে সক্ষম করে — একটি ক্ষমতা যা জিরো-ক্লিক এক্সপ্লয়েট হিসাবে পরিচিত।
জিরো-ক্লিক এক্সপ্লয়েটগুলি মোবাইল হ্যাকিং সরঞ্জামগুলির সবচেয়ে মূল্যবান এবং বিপজ্জনক শ্রেণী। তারা ফোনগুলি আগত ডেটা কীভাবে প্রক্রিয়া করে তার উপায়ে ত্রুটি শোষণ করে, যেমন বার্তা, ইমেল বা নেটওয়ার্ক প্যাকেট, ব্যবহারকারী সচেতন হওয়ার আগেই দূষিত কোড সম্পাদন করতে। এই এক্সপ্লয়েটগুলি বিকাশ করতে গভীর প্রযুক্তিগত দক্ষতা এবং উল্লেখযোগ্য সংস্থা প্রয়োজন, যা কেন তারা প্রধানত সরকারী সংস্থা এবং বাণিজ্যিক স্পাইওয়্যার শিল্পের সাথে যুক্ত।
টুলকিট দ্বারা শোষিত নির্দিষ্ট দুর্বলতাগুলি তখন থেকে Apple দ্বারা প্যাচ করা হয়েছে, তবে সেই প্যাচগুলি স্থাপনের আগে এক্সপোজার উইন্ডো একটি অজানা সংখ্যক ডিভাইসকে নজরদারির জন্য দুর্বল রেখে গেছে।
সীমানা জুড়ে সরঞ্জামগুলি কীভাবে ছড়িয়ে পড়ে
একটি আমেরিকান প্রতিরক্ষা ঠিকাদারের উন্নয়ন ল্যাব থেকে রাশিয়ান বুদ্ধিমত্তা অপারেশন পর্যন্ত পথ এখনও সম্পূর্ণভাবে বোঝা যায়নি। বেশ কয়েকটি দৃশ্যকল্প সম্ভব। সরঞ্জামগুলি ঠিকাদারকে লক্ষ্য করে একটি সাইবার অনুপ্রবেশের মাধ্যমে চুরি হতে পারে — সাপ্লাই চেইন আক্রমণের একটি ফর্ম যা বুদ্ধিমত্তা এজেন্সিগুলি অনুসরণ করতে পরিচিত। বিকল্পভাবে, সরঞ্জামগুলি বা তাদের অন্তর্নিহিত দুর্বলতা তথ্য এক্সপ্লয়েটগুলির জন্য ধূসর বাজারে কাজ করে এমন মধ্যস্থতাকারী দালালদের মাধ্যমে ভাগ করা হতে পারে।
বাণিজ্যিক এক্সপ্লয়েট বাজার একটি বৈশ্বিক ইকোসিস্টেম যেখানে দুর্বলতা গবেষকরা, দালালরা এবং সরকারী গ্রাহকরা আক্রমণাত্মক ক্ষমতায় বাণিজ্য করে। যদিও মার্কিন যুক্তরাষ্ট্র এবং এর জোটগুলি প্রধান অংশগ্রহণকারী, বাজারটি এমন ক্লায়েন্টদেরও পরিবেশন করে যাদের পশ্চিমী সরকারগুলি বাদ দিতে পছন্দ করবে। দালালরা আসল ডেভেলপারের জ্ঞান বা সম্মতি ছাড়াই একাধিক গ্রাহকদের কাছে একই এক্সপ্লয়েট বিক্রি করতে পারে।
তৃতীয় সম্ভাবনা হল স্বাধীন পুনরাবিষ্কার — রাশিয়া এবং মার্কিন যুক্তরাষ্ট্রের গবেষকরা স্বাধীনভাবে একই iOS দুর্বলতা খুঁজে পেয়ে শোষণ করতে পারে। তবে, Google চিহ্নিত করা টুলকিটগুলির কাঠামোগত সাদৃশ্য সমান্তরাল উন্নয়নের চেয়ে একটি আরও সরাসরি সংযোগ পরামর্শ দেয়।
প্রতিরক্ষা ঠিকাদার প্রভাব
একটি আমেরিকান প্রতিরক্ষা ঠিকাদারের জড়িত থাকা জবাবদিহিতার একটি স্তর যোগ করে যা আগের এক্সপ্লয়েট বিস্তার মামলার অভাব রয়েছে। যখন NSO Group-এর মতো বাণিজ্যিক স্পাইওয়্যার কোম্পানিগুলি বিদেশী সরকারগুলির কাছে বিক্রি করে, স্থানান্তরটি অন্তত উদ্দেশ্যমূলক, এমনকি যদি বিতর্কিত হয়। এই ক্ষেত্রে, ঠিকাদার স্পষ্টতই জন্য উন্নত সরঞ্জামগুলির নিয়ন্ত্রণ হারিয়ে ফেলেছে যা বৈধ জাতীয় নিরাপত্তার উদ্দেশ্যে উন্নত হয়েছিল।
আক্রমণাত্মক সাইবার ক্ষমতায় কাজ করা প্রতিরক্ষা ঠিকাদাররা কঠোর নিরাপত্তা প্রয়োজনীয়তার অধীন, শ্রেণীবদ্ধ নেটওয়ার্ক অবকাঠামো, কর্মী ছাড়পত্র এবং স্পন্সরকারী সরকারী সংস্থাগুলির তত্ত্বাবধান সহ। এক্সপ্লয়েট সরঞ্জামগুলি লঙ্ঘন করার জন্য যথেষ্ট গুরুতর একটি লঙ্ঘন সম্ভবত ঠিকাদার এবং এর সরকার ক্লায়েন্টদের উভয় দ্বারা তদন্ত ট্রিগার করবে।
বৃহত্তর বিস্তার চ্যালেঞ্জ
এই ঘটনাটি আক্রমণাত্মক সাইবার ডোমেনে একটি মৌলিক উত্তেজনা হাইলাইট করে। সরকারগুলি যুক্তি দেয় যে এক্সপ্লয়েটগুলি উন্নয়ন বুদ্ধিমত্তা সংগ্রহ, সন্ত্রাসবাদ প্রতিরোধ এবং সামরিক অপারেশনের জন্য প্রয়োজনীয়। তবে প্রতিটি সরঞ্জাম যা বিকাশ করা হয় একটি সম্ভাব্য বিস্তার ঝুঁকি প্রতিনিধিত্ব করে। পারমাণবিক অস্ত্রের মতো নয় যা বিশাল শারীরিক অবকাঠামো প্রয়োজন, সাইবার সরঞ্জাম সফ্টওয়্যার — এগুলি অনুলিপি করা যেতে পারে, চুরি করা যেতে পারে এবং ন্যূনতম অবকাঠামোর সাথে বিশ্বের যেকোনো জায়গায় স্থাপন করা যেতে পারে।
সাইবার নিরাপত্তা সম্প্রদায় দীর্ঘকাল এক্সপ্লয়েট বাজারে বৃহত্তর স্বচ্ছতা এবং জবাবদিহিতার জন্য আহ্বান করেছে, যার মধ্যে রয়েছে প্রভাবিত বিক্রেতাদের কাছে দুর্বলতার বাধ্যতামূলক প্রকাশ এবং আক্রমণাত্মক সরঞ্জামগুলির বিক্রয় সীমাবদ্ধতা মানবাধিকারের খ্যাতি সহ সরকারের কাছে। Wassenaar ব্যবস্থা, একটি আন্তর্জাতিক রপ্তানি নিয়ন্ত্রণ শাসন, নজরদারি প্রযুক্তি সহ বিধান অন্তর্ভুক্ত করে, তবে প্রয়োগ অসামঞ্জস্যপূর্ণ থাকে।
পরবর্তী কি ঘটে
Google-এর প্রকাশ সম্ভবত সাংগ্রহিক আগ্রহ প্রম্পট করবে, বিশেষত যারা ইতিমধ্যে বাণিজ্যিক স্পাইওয়্যার শিল্পের জাতীয় নিরাপত্তায় প্রভাব সম্পর্কে উদ্বিগ্ন তাদের শিক্ষাবিদদের কাছ থেকে। এই অনুসন্ধান যে আমেরিকা-উন্নয়ন সরঞ্জাম জোটের লক্ষ্যগুলির বিরুদ্ধে চালু হচ্ছে আক্রমণাত্মক সাইবার উন্নয়ন এবং বিতরণে কঠোর নিয়ন্ত্রণের যুক্তিগুলিকে শক্তিশালী করতে পারে। iPhone ব্যবহারকারীদের জন্য, তাৎক্ষণিক পরামর্শ ধারাবাহিক থাকে: ডিভাইসগুলি সর্বশেষ iOS সংস্করণে আপডেট রাখুন, কারণ Apple নিয়মিত এই সরঞ্জামগুলি শোষণ করে এমন দুর্বলতাগুলিতে প্যাচ করে।
এই নিবন্ধটি TechCrunch দ্বারা রিপোর্টিংয়ের উপর ভিত্তি করে। মূল নিবন্ধ পড়ুন।
