काठमाडौं ।  इन्टरनेटमा दैनिक प्रयोग हुने लाखौँ वेबसाइटको सुरक्षामाथि गम्भीर प्रश्न उठेको छ। वेबसाइट निर्माण तथा सञ्चालनमा व्यापक रूपमा प्रयोग हुँदै आएको प्रोग्रामिङ भाषा पीएचपीमा लामो समयदेखि पहिचान हुन नसकेका सुरक्षा कमजोरी कृत्रिम बुद्धिमत्ता (एआई) को सहायताबाट पत्ता लागेपछि विश्वभरका साइबर सुरक्षा निकाय सतर्क बनेका छन्।

सुरक्षा कमजोरी सार्वजनिक भएसँगै विभिन्न देशका सरकारी निकाय, प्रविधि कम्पनी र वेबसाइट सञ्चालकले सम्भावित साइबर आक्रमण रोक्न तत्काल कदम चाल्न थालेका छन्। प्रभावित प्रणालीमा सुरक्षा अद्यावधिक (प्याच) जडान गर्न नसक्ने संस्थालाई वेबसाइट अस्थायी रूपमा बन्द गर्नसमेत सुझाव दिइएको छ।

साइबर सुरक्षा क्षेत्रमा काम गर्ने कम्पनी विज लगायतका अनुसन्धानकर्ताले एआईको सहयोगमा पहिचान गरेका यी कमजोरीलाई गम्भीर प्रकृतिको सुरक्षा जोखिमका रूपमा व्याख्या गरेका छन्। च्याटजीपीटी विकास गर्ने कम्पनी ओपनएआईले पनि यस घटनाले एआईको सहयोगबाट सफ्टवेयरमा लुकेका कमजोरी पत्ता लगाउने सम्भावना देखाएको जनाएको छ।

तर, यही प्रविधि गलत उद्देश्य भएका व्यक्तिको हातमा पुगेमा साइबर आक्रमणका उपाय विकास गर्न र विद्यमान कमजोरीको दुरुपयोग गर्नसमेत सहज हुन सक्ने चिन्ता व्यक्त गरिएको छ।

पीएचपीमा भेटिएको कमजोरी किन गम्भीर छ?

पीएचपी अर्थात् ‘हाइपरटेक्स्ट प्रिप्रोसेसर’ इन्टरनेटमा वेबसाइट तथा वेब एप्लिकेसन निर्माण गर्न प्रयोग हुने लोकप्रिय प्रोग्रामिङ भाषा हो। सन् १९९० को दशकको अन्त्यदेखि र विशेषगरी सन् २००० को दशकमा यसको प्रयोग तीव्र रूपमा विस्तार भएको थियो। अहिले पनि अनलाइन व्यापार, समाचार पोर्टल, ब्लग तथा विभिन्न डिजिटल सेवाको सञ्चालनमा यसको महत्त्वपूर्ण भूमिका छ।

विकिपिडिया र वर्डप्रेसजस्ता चर्चित डिजिटल प्लेटफर्मसँग सम्बन्धित प्रणालीमा समेत पीएचपीको प्रयोग हुँदै आएको छ। प्रयोगकर्ताले वेबसाइट खोल्दा आवश्यक जानकारी प्रशोधन गर्ने र त्यसलाई ब्राउजरमा देखिने स्वरूपमा प्रस्तुत गर्न सहयोग पुर्‍याउने काममा यसले भूमिका खेल्छ।

तर, पीएचपीमा पहिचान गरिएका सुरक्षा कमजोरीले आक्रमणकारीलाई केही प्रभावित प्रणालीमा अनधिकृत पहुँच प्राप्त गर्ने तथा संवेदनशील तथ्यांक चोरी गर्ने अवसर दिन सक्ने जोखिम औँल्याइएको छ। जोखिमको वास्तविक प्रभाव भने सम्बन्धित प्रणालीको संरचना, प्रयोग भइरहेको संस्करण र अपनाइएका सुरक्षा उपायमा निर्भर हुन्छ।

गोरिल्ला साइबर सेक्युरिटीका प्रमुख कार्यकारी पल स्पेनका अनुसार एआईको विकासले यस्ता कमजोरी पहिचान गर्ने र तिनको दुरुपयोग गर्ने प्रयासलाई तीव्र बनाउन सक्छ। उनका अनुसार यस समस्याले ठूलो संख्यामा वेबसाइट प्रभावित पार्न सक्ने सम्भावना छ।

अस्ट्रेलियाको एडिलेड विश्वविद्यालयकी साइबर सुरक्षा अनुसन्धानकर्ता जिल स्लेका अनुसार कुनै आक्रमणकारी समूह वा राज्यले यस्तो कमजोरीको फाइदा उठाएर निजी विवरण तथा संवेदनशील सूचना नियन्त्रणमा लिए त्यसको प्रभाव व्यापक हुन सक्छ।

वेबसाइटमा प्रयोगकर्ताका व्यक्तिगत विवरण, व्यावसायिक अभिलेख वा अन्य महत्त्वपूर्ण सूचना भण्डारण गरिएको अवस्थामा अनधिकृत पहुँचले आर्थिक क्षति, गोपनीयता उल्लङ्घन र सेवा अवरुद्ध हुनेजस्ता समस्या निम्त्याउन सक्छ।

सरकारी निकायदेखि चर्चित डिजिटल प्लेटफर्मसम्म सतर्क

सुरक्षा जोखिम सार्वजनिक भएपछि विभिन्न देशका सरकारी निकाय र संस्थाले आफ्ना वेबसाइट तथा प्रणालीको सुरक्षाबारे पुनरावलोकन गर्न थालेका छन्।

विकिपिडियाको सञ्चालन गर्ने संस्था विकिमिडियाले सावधानीस्वरूप आफ्ना केही प्रणाली अस्थायी रूपमा बन्द गरेको विवरण सार्वजनिक भएको छ। फिनल्यान्ड सरकार, स्कटल्यान्डका केही सार्वजनिक निकाय तथा एडिनबरा सिटी काउन्सिलसँग सम्बन्धित वेबसाइट र पृष्ठमा पनि अस्थायी बन्द वा सुरक्षा सतर्कताका उपाय अपनाइएको बताइएको छ। बीबीसीका केही पृष्ठ तथा नेदरल्यान्ड्सको साइबर सुरक्षा निकायको वेबसाइटसमेत प्रभावित भएको विवरणमा उल्लेख छ।

यस्ता कदमले सबै वेबसाइटमा सफल साइबर आक्रमण भइसकेको प्रमाणित गर्दैनन्। सम्भावित जोखिमलाई ध्यानमा राखेर प्रणाली सुरक्षित बनाउने, कमजोरीको जाँच गर्ने वा थप क्षति हुन नदिने उद्देश्यले वेबसाइट अस्थायी रूपमा बन्द गरिन सक्छन्।

विशेषगरी नियमित मर्मतसम्भार नहुने, पुरानो सफ्टवेयर प्रयोग गर्ने र साइबर सुरक्षाका लागि पर्याप्त जनशक्ति तथा स्रोतसाधन नभएका संस्थाका वेबसाइट बढी जोखिममा पर्न सक्ने विज्ञहरूको चेतावनी छ।

अस्ट्रेलियाको युनिभर्सिटी अफ न्यु साउथ वेल्स, सिड्नीका साइबर सुरक्षा अनुसन्धानकर्ता सलिल कान्हेरेका अनुसार सुरक्षा कमजोरीका प्राविधिक विवरण सार्वजनिक भएपछि त्यसको दुरुपयोग गर्ने प्रयास बढ्न सक्छ। त्यसैले आगामी दिनमा प्रभावित प्रणालीको निगरानी र सुरक्षा अद्यावधिकलाई प्राथमिकता दिन आवश्यक छ।

सुरक्षा प्याच जडान गर्न विश्वव्यापी आग्रह

पीएचपीका विकासकर्ताले पहिचान गरिएका कमजोरी समाधान गर्न सुरक्षा अद्यावधिक जारी गरेका छन्। सम्बन्धित प्रणाली प्रयोग गर्ने संस्था तथा वेबसाइट सञ्चालकलाई आफ्नो प्रणालीमा प्रयोग भएको संस्करण जाँच गरी उपलब्ध सुरक्षित संस्करणमा अद्यावधिक गर्न आग्रह गरिएको छ।

अमेरिकाको राष्ट्रिय सुरक्षा एजेन्सी (एनएसए) ले पीएचपी प्रयोग गर्ने संस्थालाई जोखिम मूल्याङ्कन गरी तत्काल सुरक्षा प्याच लागू गर्न सुझाव दिएको छ। समयमै समस्या समाधान गर्न नसकिने अवस्थामा प्रभावित प्रणालीलाई इन्टरनेटबाट अस्थायी रूपमा अलग राख्नुपर्ने हुन सक्ने चेतावनी पनि दिइएको छ।

बेलायतको राष्ट्रिय साइबर सुरक्षा केन्द्रले पनि संस्थाहरूलाई आफ्ना प्रणालीमा अनधिकृत पहुँचका संकेत खोज्न र आक्रमणकारीले पछि पुनः प्रवेश गर्न प्रयोग गर्न सक्ने गोप्य प्रवेशमार्ग अर्थात् ‘ब्याकडोर’ स्थापना गरेका छन् कि छैनन् भनेर जाँच गर्न आग्रह गरेको छ।

युरोपेली संघ र अस्ट्रेलियाका साइबर सुरक्षा निकायले पनि प्रभावित प्रणाली सुरक्षित बनाउन सतर्कता अपनाउन सुझाव दिएका छन्।

जापानकी प्रधानमन्त्री साने ताकाइचीले सार्वजनिक रूपमा पहुँचयोग्य वेबसाइट पीएचपीमा सञ्चालन भइरहेका छन् कि छैनन् भनेर जाँच गर्न आग्रह गरेको विवरणमा उल्लेख छ। उनले सामाजिक सञ्जाल एक्समार्फत तत्काल आवश्यक सुरक्षा कदम चाल्न सम्बन्धित पक्षलाई अनुरोध गरेकी छन्।

सुरक्षा प्याच जडान गर्नु जोखिम घटाउने प्रमुख उपाय भए पनि त्यसले मात्र सबै समस्या समाधान नहुन सक्छ। यदि कुनै प्रणालीमा कमजोरीको दुरुपयोग भइसकेको छ भने अद्यावधिक गरेपछि पनि अनधिकृत पहुँच, चोरी भएका विवरण वा स्थापित ब्याकडोरको छुट्टै जाँच आवश्यक पर्न सक्छ।

एआईले कसरी पत्ता लगायो वर्षौँ पुरानो कमजोरी?

यस घटनाको महत्त्वपूर्ण पक्ष भनेको सुरक्षा कमजोरी पहिचान गर्न एआईको प्रयोग हुनु हो। विज र क्यालिफ नामक साइबर सुरक्षा कम्पनीका अनुसन्धानकर्ताले उन्नत एआई उपकरणको सहायताले सफ्टवेयरको कोड विश्लेषण गर्दै कमजोरी पहिचान गरेको विवरणमा उल्लेख छ।

परम्परागत रूपमा सफ्टवेयरको सुरक्षा परीक्षण गर्दा अनुसन्धानकर्ताले कोडको अध्ययन गर्ने, विभिन्न परीक्षण सञ्चालन गर्ने र सम्भावित त्रुटि पहिचान गर्ने काम गर्छन्। तर आधुनिक सफ्टवेयरका कोड अत्यन्त विशाल र जटिल हुने भएकाले सबै सम्भावित समस्या म्यानुअल रूपमा पत्ता लगाउन कठिन हुन्छ।

एआई उपकरणले ठूलो परिमाणको कोड छिटो विश्लेषण गर्न, शंकास्पद संरचना पहिचान गर्न र अनुसन्धानकर्तालाई सम्भावित कमजोरीतर्फ संकेत गर्न सक्छन्। यसले वर्षौँदेखि पत्ता नलागेका त्रुटिसमेत पहिचान गर्ने सम्भावना बढाएको छ।

अनुसन्धानकर्ता कान्हेरेका अनुसार यस घटनामा महत्त्वपूर्ण परिवर्तन मूल त्रुटिमा भन्दा पनि त्यसलाई पत्ता लगाउने क्षमतामा आएको हो। सफ्टवेयरमा रहेका कतिपय त्रुटि नयाँ नभए पनि तिनलाई पहिचान गर्न प्रयोग गरिने उपकरण र विधि थप प्रभावकारी बन्दै गएका छन्।

ओपनएआईले आफ्नो ब्लगमा यस घटनालाई एआईबाट सफ्टवेयर सुरक्षा परीक्षणमा हासिल हुन सक्ने प्रगतिसँग जोडेको छ। कम्पनीका अनुसार एआईले सुरक्षा कमजोरी खोज्ने प्रक्रियालाई प्रभावकारी बनाउन सक्छ। तर, त्यही क्षमताले खराब उद्देश्य भएका व्यक्तिलाई आक्रमणका नयाँ विधि तयार पार्नसमेत सहयोग गर्न सक्ने भएकाले यसको जिम्मेवार प्रयोग महत्त्वपूर्ण हुन्छ।

ओपनएआईले पीएचपी प्लेटफर्मको सुरक्षा परीक्षणमा सहयोग पुर्‍याउने एउटा कार्यक्रमसमेत सार्वजनिक गरेको विवरणमा उल्लेख छ।

अस्ट्रेलियाको क्विन्सल्यान्ड विश्वविद्यालयस्थित साइबर अनुसन्धान केन्द्रका रायन कोकाका अनुसार विगतमा सफ्टवेयर विकास गर्दा नयाँ सुविधा र कार्यक्षमतामा बढी ध्यान दिइने तर सुरक्षालाई पर्याप्त प्राथमिकता नदिइने अवस्थाले यस्ता कमजोरी सिर्जना हुन सक्ने आधार तयार पारेको छ।

वेबसाइट सञ्चालकले अब के गर्नुपर्छ?

साइबर सुरक्षा विज्ञहरूका अनुसार अहिलेको प्राथमिकता प्रभावित प्रणाली पहिचान गर्ने, उपलब्ध सुरक्षा अद्यावधिक लागू गर्ने र सम्भावित दुरुपयोगको संकेत जाँच गर्ने हुनुपर्छ।

सामान्य इन्टरनेट प्रयोगकर्ताका लागि भने सबै वेबसाइटको पासवर्ड तत्काल परिवर्तन गर्नुपर्ने भन्ने निष्कर्ष निकाल्नु आवश्यक छैन। सम्बन्धित सेवाले सुरक्षा घटनाबारे आधिकारिक सूचना जारी गरेमा त्यसको निर्देशन पालना गर्नुपर्छ। आफ्नो खातामा असामान्य गतिविधि देखिएमा पासवर्ड परिवर्तन गर्ने र बहु-कारक प्रमाणीकरण उपलब्ध भए प्रयोग गर्ने उपाय उपयोगी हुन्छ।

यस घटनालाई बहाना बनाएर पठाइने नक्कली सुरक्षा सूचना तथा फिसिङ सन्देशबाट पनि सावधान रहनुपर्ने विज्ञहरूले बताएका छन्। आक्रमणकारीले प्रयोगकर्तालाई नक्कली वेबसाइटमा पुर्‍याएर पासवर्ड, बैंकिङ विवरण वा अन्य गोप्य जानकारी चोरी गर्ने प्रयास गर्न सक्छन्। त्यसैले अपरिचित लिङ्क खोल्नुभन्दा सम्बन्धित संस्थाको आधिकारिक वेबसाइटबाट सूचना पुष्टि गर्नु सुरक्षित हुन्छ।

साइबर सुरक्षामा एआई: अवसरसँगै नयाँ चुनौती

पीएचपीमा भेटिएको सुरक्षा कमजोरीले एआईको बढ्दो क्षमताले साइबर सुरक्षाको क्षेत्रमा ठूलो परिवर्तन ल्याउन सक्ने देखाएको छ। पहिले विशेषज्ञहरूले लामो समय लगाएर खोज्नुपर्ने केही कमजोरी अब उन्नत उपकरणको सहयोगमा छिटो पहिचान हुन सक्छन्।

यसले सफ्टवेयर विकासकर्ता र सुरक्षा अनुसन्धानकर्तालाई प्रणालीका त्रुटि समयमै समाधान गर्ने अवसर दिन्छ। तर, यही प्रविधि दुरुपयोग भए साइबर आक्रमणकारीले पनि कमजोरी खोज्ने, आक्रमणका उपाय विकास गर्ने र ठूलो संख्यामा प्रणालीलाई लक्षित गर्ने क्षमता बढाउन सक्छन्।

त्यसैले चुनौती केवल सुरक्षा कमजोरी पत्ता लगाउनुमा सीमित छैन। ती कमजोरीको जानकारी सार्वजनिक हुनुअघि वा सार्वजनिक हुनेबित्तिकै समाधान गर्ने, प्रभावित प्रणालीको अनुगमन गर्ने र आक्रमण भइसकेको भए त्यसको प्रभाव नियन्त्रण गर्ने क्षमता पनि उत्तिकै आवश्यक हुन्छ।

इन्टरनेटमा निर्भरता बढ्दै जाँदा एउटा सफ्टवेयरमा देखिएको त्रुटिले विभिन्न देशका संस्था, व्यवसाय र सर्वसाधारणलाई असर पार्न सक्ने अवस्था बनेको छ। पीएचपीमा भेटिएको यो घटनाले डिजिटल पूर्वाधारको सुरक्षा नियमित अद्यावधिक र प्राविधिक निगरानीमा निर्भर रहने तथ्यलाई पुनः उजागर गरेको छ।

महत्त्वपूर्ण कुरा के हो भने, एआईले कमजोरी पत्ता लगाउनु मात्र पर्याप्त हुँदैन। त्यसबाट उत्पन्न जोखिम घटाउन सम्बन्धित संस्थाले समयमै कदम चाल्नु र सुरक्षा व्यवस्थालाई निरन्तर सुधार गर्नु आवश्यक हुन्छ।