মাইক্রোসফটের ক্লাউড সেবা অ্যাজুরের একটি গুরুত্বপূর্ণ ডাটাবেজ সার্ভিস কসমস ডিবি-তে এমন একটি নিরাপত্তা ত্রুটি পাওয়া গিয়েছিল, যার মাধ্যমে হ্যাকাররা দূর থেকেই যে কোনো গ্রাহকের ডাটাবেজে পুরোপুরি নিয়ন্ত্রণ নিতে পারত। গুগলের মালিকানাধীন সাইবার সিকিউরিটি প্রতিষ্ঠান উইজ সম্প্রতি এই দুর্বলতা খুঁজে বের করে মাইক্রোসফটকে জানিয়েছিল, এবং এখন সেটি সম্পূর্ণ প্যাচ করা হয়েছে।
উইজ এই ত্রুটির নাম দিয়েছে কসমসএস্কেপ। প্রতিষ্ঠানটির গবেষকরা জানিয়েছেন, সমস্যাটি ছিল কসমস ডিবি-এর গ্রেমলিন এপিআই-তে, যা গ্রাফ ডাটাবেজ পরিচালনার জন্য ব্যবহৃত হয়। পরীক্ষার সময় গবেষকরা এমন কিছু ডটনেট ইরোর দেখতে পান, যা থেকে বোঝা যায় কসমস ডিবি আসলে গ্রাফ কোয়েরিকে ভেতরে-ভেতরে ডটনেট কোডে রূপান্তর করে চালায়। এই প্রক্রিয়ার নিরাপত্তা বেষ্টনী যথেষ্ট মজবুত ছিল না, ফলে গবেষকরা সেই সীমানা ভেঙে সরাসরি ব্যাকএন্ড সার্ভারে কোড চালানোর একটা পথ বের করে ফেলেন।
এই পথ ধরে হ্যাকাররা এমন একটি প্ল্যাটফর্ম-ওয়াইড কি হাতে পেতে পারতো, যেটা দিয়ে অ্যাজুরে-এর যে কোনো কসমস ডিবি অ্যাকাউন্টের ‘প্রাইমারি কি’ বের করা সম্ভব ছিল। অর্থাৎ, একবার এই ‘কি’ হাতে পেলে আক্রমণকারী নির্দিষ্ট কোনো প্রতিষ্ঠানকে টার্গেট করে তার ডাটাবেজ খুঁজে বের করতে পারত এবং সেখানে রিড ও রাইট-দুটোই করতে পারত। উদ্বেগের বিষয় হলো নেটওয়ার্ক আইসোলেশন চালু রাখা প্রাইভেট ডাটাবেজগুলোও এর আওতা থেকে বাদ যেত না, কারণ কনফিগারেশন লেখার অনুমতি থাকলে সেই আইসোলেশন সেটিংসও বদলে ফেলা সম্ভব ছিল।
কসমস ডিবি শুধু বাইরের গ্রাহকদের জন্যই নয়, মাইক্রোসফট নিজেও এটি ব্যবহার করে টিমস আর কোপাইলটের মতো সেবা চালাতে। উইজের সিটিও আমি লুটওয়াক বলেছেন, মাইক্রোসফটের ক্লাউডে কিছু বানাতে গেলে সেটা প্রায় সবসময়ই কোনো না কোনোভাবে কসমস ডিবি-এর সঙ্গে জড়িয়ে থাকে।
উইজ গত বছরের ২০ নভেম্বর মাইক্রোসফটকে এই ত্রুটির কথা জানায়। মাইক্রোসফট ৪৮ ঘণ্টার মধ্যেই সাময়িক সমাধান দিয়ে দুর্বল প্রবেশপথটি বন্ধ করে দেয়, আর এ বছরের জুলাইয়ের মধ্যে পুরো আর্কিটেকচারেই স্থায়ী সমাধান বাস্তবায়ন করে। প্ল্যাটফর্ম-ওয়াইড সেই ‘কি’ টাও পুরোপুরি সরিয়ে ফেলা হয়েছে। মাইক্রোসফট এক বিবৃতিতে জানিয়েছে, উইজ-এর নিজস্ব পরীক্ষা ছাড়া অন্য কোনো অননুমোদিত অ্যাক্সেসের প্রমাণ তদন্তে পাওয়া যায়নি, এবং গ্রাহকদের নতুন করে কিছু করার প্রয়োজন নেই।
তবে এটাই প্রথম নয়। ২০২১ সালে উইজ একবার কসমস ডিবি-তে চাওসডিবি নামে আরেকটি বড় দুর্বলতা খুঁজে পেয়েছিল, যেটার জন্য মাইক্রোসফট তখন হাজারো গ্রাহককে সতর্ক করতে বাধ্য হয়েছিল। গত বছর গবেষক ডার্ক-জান মোলেমা আবার মাইক্রোসফটের এন্ট্রা আইডি-তে এমন একটি ত্রুটি বের করেছিলেন, যা দিয়ে যে কোনো প্রতিষ্ঠানের অ্যাকাউন্টে গ্লোবাল অ্যাডমিন অ্যাক্সেস পাওয়া সম্ভব ছিল। অর্থাৎ, বড় ক্লাউড প্ল্যাটফর্মের কেন্দ্রীয় অংশে একটার পর একটা গুরুতর দুর্বলতা ধরা পড়ার একটা প্যাটার্নই যেন তৈরি হয়েছে।
মিনিয়াপলিসভিত্তিক সাইবার সিকিউরিটি প্রতিষ্ঠান নেটস্পাই-এর কার্ল ফোসেন বলছেন, কসমস ডিবি-তে ব্যবহারকারী অনেক বেশি এবং প্রায়ই এখানে স্পর্শকাতর তথ্য জমা থাকে, তাই এই ধরনের ত্রুটি সত্যিই উদ্বেগজনক। একই সঙ্গে তিনি এটাও বলেছেন, এ ধরনের দুর্বলতা মাঝেমধ্যেই বিভিন্ন ক্লাউড সেবায় ধরা পড়ে। নেদারল্যান্ডসের সাইবার সিকিউরিটি প্রতিষ্ঠান আই সিকিউরিটির ভাইশা বার্নার্ড জানান, সাম্প্রতিক সময়ে ক্লাউড অবকাঠামো প্রোভাইডারদের মধ্যে এমন অনেক গুরুতর দুর্বলতা ধরা পড়ছে, এবং কোনো হ্যাকার উইজের আগে এই ত্রুটি খুঁজে পেলে বড় ধরনের ক্ষতি হতে পারত।
যারা অ্যাজুর বা কসমস ডিবি ব্যবহার করে অ্যাপ্লিকেশন বানান বা প্রতিষ্ঠান চালান, তাদের জন্য এই ঘটনা থেকে কয়েকটা কাজের পরামর্শ নেওয়া যায়:
মাইক্রোসফট বলছে গ্রাহকদের আলাদা করে কিছু করার দরকার নেই, তবু নিয়মিতভাবে অ্যাকাউন্টের অ্যাক্সেস কি রোটেড করে রাখা, এবং প্রয়োজনের বেশি পারমিশন কাউকে না দেওয়া সবসময়ই ভালো অভ্যাস। কোনো ভেন্ডর প্যাচ দিয়ে দিলেই ঝুঁকি একেবারে শূন্য হয়ে যায় না। নিজের প্রতিষ্ঠানের লগ আর অ্যাক্সেস হিস্ট্রি একবার চোখ বুলিয়ে দেখাটাও নিরাপদ থাকার একটা ভালো উপায়। বাংলাদেশে যেসব স্টার্টআপ, ফিনটেক বা ই-কমার্স প্রতিষ্ঠান তাদের ব্যাকএন্ডের জন্য অ্যাজুরের ওপর নির্ভর করে, তাদের উচিত মাইক্রোসফটের সিকিউরিটি অ্যাডভাইজরিগুলো নিয়মিত ফলো করা এবং শুধু একটা প্রোভাইডারের নিরাপত্তার ওপর পুরোপুরি ভরসা না করে নিজস্ব মনিটরিং ব্যবস্থাও রাখা।
এই ঘটনা আরেকবার মনে করিয়ে দিল, একটা মাত্র ভুলে বা একটা মাত্র ‘কি’ ফাঁস হয়ে গেলে গোটা ক্লাউড প্ল্যাটফর্মের নিরাপত্তা কতটা নাজুক হয়ে উঠতে পারে। যত বড় আর নির্ভরযোগ্য প্রোভাইডারই হোক না কেন, ডাটার নিরাপত্তা নিয়ে সতর্ক থাকার দায়িত্বটা শেষ পর্যন্ত প্রতিষ্ঠান নিজেই এড়াতে পারে না।
