অ্যাপের কোডে পাসওয়ার্ড, অ্যাপলবির গ্রাহকদের তথ্য ঝুঁকিতে

স্টাফ রিপোর্ট: PNN

জনপ্রিয় মার্কিন রেস্তোরাঁ চেইন অ্যাপলবিরের মোবাইল অ্যাপে নিরাপত্তা ত্রুটির কারণে নিবন্ধিত গ্রাহকদের ব্যক্তিগত তথ্য উন্মুক্ত হওয়ার ঝুঁকি তৈরি হয়েছিল। অ্যাপটির কোডে থাকা একটি পাসওয়ার্ড ব্যবহার করে প্রতিষ্ঠানের গ্রাহক-তথ্যভান্ডারে প্রবেশ করা সম্ভব ছিল। নিরাপত্তা গবেষকের অনুসন্ধানের পর ত্রুটিটি সংশোধন করেছে অ্যাপলবির।

প্রযুক্তিবিষয়ক সংবাদমাধ্যম টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, যুক্তরাজ্যভিত্তিক সাইবার নিরাপত্তা গবেষক রবার্ট উইগিনস চলতি মাসের শুরুতে সমস্যাটি শনাক্ত করেন। অ্যাপলবিরের অ্যান্ড্রয়েড অ্যাপের হাজারো লাইনের কোড পরীক্ষা করতে তিনি কৃত্রিম বুদ্ধিমত্তার সহায়তা নেন। গুগল প্লেতে অ্যাপটির ডাউনলোড সংখ্যা ১০ লাখের বেশি।

অ্যাপের ভেতরে পাসওয়ার্ড বা ব্যক্তিগত নিরাপত্তা-চাবি সরাসরি সংরক্ষণ করাকে ‘হার্ডকোডিং’ বলা হয়। এ ধরনের ত্রুটিতে অ্যাপ হাতে পাওয়া যে কেউ কোড থেকে গোপন তথ্য বের করে দূরবর্তী ব্যবস্থায় প্রবেশের সুযোগ পেতে পারেন। উইগিনসের মতে, ওই পাসওয়ার্ড ব্যবহার করে শুধু গ্রাহকের তথ্য দেখা নয়, তথ্যভান্ডারে থাকা উপাত্ত পরিবর্তন করাও সম্ভব হতে পারত।

টেকক্রাঞ্চ অ্যাপটি ডাউনলোড করে কোড বিশ্লেষণের মাধ্যমে ত্রুটির বিষয়টি যাচাই করেছে। সংবাদমাধ্যমটি পরীক্ষামূলক তথ্য দিয়ে একটি অ্যাকাউন্ট তৈরি করার পর গবেষক সেই তথ্য অ্যাপলবিরের ডেটাবেস থেকে উদ্ধার করতে পেরেছিলেন।

উন্মুক্ত তথ্যের মধ্যে ছিল গ্রাহকদের নাম, ইমেইল ঠিকানা, জন্মতারিখ, ফোন নম্বর ও পোস্টাল কোড। ইমেইল যাচাই করা হয়েছে কি না, গ্রাহকের সাবেক সেনাসদস্য পরিচয়, অ্যাকাউন্ট খোলার সময়, লগইনের সংখ্যা এবং সর্বশেষ লগইনের আইপি ঠিকানাও সেখানে ছিল। আইপি ঠিকানা থেকে ব্যবহারকারীর আনুমানিক অবস্থান সম্পর্কে ধারণা পাওয়া যেতে পারে।

উইগিনস জানান, অ্যাপলবির ও এর মূল প্রতিষ্ঠান ডাইন ব্র্যান্ডসের কাছে নিরাপত্তা ত্রুটি জানানোর কোনো ব্যবস্থা তিনি খুঁজে পাননি। পরে বিষয়টি প্রতিষ্ঠানের নজরে আনতে টেকক্রাঞ্চের সহায়তা চান তিনি।

ডাইন ব্র্যান্ডসের এক মুখপাত্র শুক্রবার ইমেইলে জানান, বিষয়টি জানানোর জন্য সংবাদমাধ্যম ও গবেষকের প্রতি প্রতিষ্ঠানটি কৃতজ্ঞ। তাদের নিরাপত্তা দল দ্রুত তদন্ত শুরু করেছে এবং এখন পর্যন্ত অননুমোদিত প্রবেশের কোনো প্রমাণ পায়নি। তবে ডেটাবেসে প্রবেশের ঘটনা যাচাই করতে সার্ভার লগ আছে কি না, সে বিষয়ে প্রশ্নের উত্তর দেয়নি প্রতিষ্ঠানটি। তদন্ত চলমান রয়েছে বলেও জানিয়েছে তারা।

ত্রুটির কারণে ঠিক কতজন গ্রাহকের তথ্য ঝুঁকিতে পড়েছিল, তা স্পষ্ট নয়। সম্ভাব্য ক্ষতিগ্রস্ত গ্রাহকের সংখ্যা নির্ধারণ করতে ডেটাবেসের বিপুলসংখ্যক রেকর্ডে প্রবেশ করতে হতো বলে জানিয়েছেন উইগিনস। গত বছর অ্যাপলবিরের পুরস্কারভিত্তিক গ্রাহক কর্মসূচিতে অন্তত ৮৫ লাখ সদস্য ছিলেন। তবে কতজনের তথ্য উন্মুক্ত হয়েছিল, তা জানায়নি প্রতিষ্ঠানটি।

ঘটনাটি গ্রাহকদের জানানো হবে কি না, কিংবা যুক্তরাষ্ট্রের নিয়ন্ত্রক সংস্থাকে অবহিত করা হবে কি না এ বিষয়ে টেকক্রাঞ্চের প্রশ্নেরও উত্তর দেয়নি অ্যাপলবির। অ্যাপটির কোডে পাসওয়ার্ডটি কত দিন ধরে ছিল, সে বিষয়েও প্রতিষ্ঠানটি কোনো তথ্য দেয়নি।