PHP लैंग्वेज में गंभीर सुरक्षा खामी का खुलासा, 70 फीसदी वेबसाइट पर साइबर हमले का खतरा
प्रोग्रामिंग लैंग्वेज पीएचपी में एक बड़ी सुरक्षा खामी मिलने के बाद दुनियाभर की साइबर सुरक्षा एजेंसियों ने डेवलपर्स के लिए चेतावनी जारी की है। इस लैंग्वेज पर दुनिया की 70 प्रतिशत से अधिक वेबसाइट चलती हैं, जिनकी सुरक्षा सुनिश्चित करने के लिए कई संस्थानों ने अपने पोर्टल अस्थायी रूप से बंद कर दिए हैं। डेवलपर्स को अपने सिस्टम में तत्काल सुरक्षा अपडेट लागू करने की सलाह दी गई है।
(एंड्रयू कलन, कंप्यूटिंग और सूचना प्रणाली संकाय, मेलबर्न विश्वविद्यालय) मेलबर्न, 25 अक्टूबर (द कन्वरसेशन) प्रोग्रामिंग लैंग्वेज पीएचपी (हाइपरटेक्स्ट प्रीप्रोसेसर) में एक गंभीर खामी का खुलासा हुआ है। दुनिया की 70 प्रतिशत से अधिक वेबसाइट की बुनियाद इसी लैंग्वेज पर टिकी है। यदि इस खामी को दूर नहीं किया गया, तो हैकर आसानी से लाखों वेबसाइट पर नियंत्रण कर सकते हैं और उनके सर्वर में मौजूद जानकारी तक पहुंच बना सकते हैं। इस खतरे को देखते हुए यूरोप की कई सरकारों और रॉटरडैम बंदरगाह सहित विभिन्न संस्थानों ने अपनी वेबसाइट अस्थायी रूप से बंद कर दी हैं। ऑस्ट्रेलियाई संचार निदेशालय, अमेरिका की साइबर रक्षा एजेंसी और ब्रिटेन, यूरोप तथा जापान के इसी तरह के संस्थानों ने वेब डेवलपरों को अपने मुख्य तंत्रों में तत्काल सुरक्षा अद्यतन लागू करने की चेतावनी दी है। उन्होंने यह भी सलाह दी है कि जब तक वेबसाइट की सुरक्षा सुनिश्चित नहीं हो जाती, तब तक उन्हें इंटरनेट से हटाने पर विचार किया जाए। इस नि:शुल्क और मुक्त स्रोत प्रोग्रामिंग लैंग्वेज का विकास करने वाले संगठन ने खामी को दूर करने के लिए अद्यतन प्रणाली जारी कर दी है। हालांकि, पीएचपी का इस्तेमाल करने वाले लाखों तंत्रों में इस प्रणाली को लागू करने में समय लगेगा।
पीएचपी क्या है? पीएचपी को अक्सर ‘इंटरनेट की रीढ़’ कहा जाता है। यह एक प्रोग्रामिंग लैंग्वेज है, यानी कंप्यूटर को निर्देश देने का एक तरीका। वर्ष 1997 से इस्तेमाल हो रही यह लैंग्वेज वेबसाइट को उपयोगकर्ताओं से मिली जानकारी संभालने और पर्दे के पीछे विभिन्न प्रक्रियाएं पूरी करने में मदद करती है। पीएचपी की सबसे बड़ी खासियत इसकी बहुउपयोगिता है। वेबसाइट पर उपयोगकर्ताओं को उनके खातों में लॉगिन कराने, ऑनलाइन दुकानें संचालित करने, डाटाबेस से जानकारी हासिल करने और लाखों ब्लॉग व समाचार वेबसाइट को संचालित करने जैसे कई कामों में इसका इस्तेमाल होता है। पीएचपी आपके कंप्यूटर के बजाय वेबसाइट के सर्वर पर काम करती है। यही वजह है कि हममें से ज्यादातर लोग हर दिन पीएचपी से संचालित वेबसाइट का इस्तेमाल करते हैं, लेकिन हमें इसका एहसास तक नहीं होता।
चिंताएं कैसे बढ़ीं: पूरा घटनाक्रम अगस्त में विज नामक कंपनी के साइबर सुरक्षा शोधकर्ताओं ने अपने टूल के साथ गूगल के जेमिनी और ओपनएआई के चैटजीपीटी कृत्रिम मेधा मॉडल के नवीनतम संस्करणों का इस्तेमाल करते हुए पीएचपी के विशाल प्रोग्राम कोड की जांच की। विज की टीम ऐसे छिपी हुई प्रोग्रामिंग खामियों की तलाश कर रही थी, जिनका फायदा उठाकर साइबर हमलावर इंटरनेट के जरिए एक खास तरह से तैयार अनुरोध भेजकर पीएचपी पर चलने वाली किसी पूरी प्रणाली पर नियंत्रण कर सकते थे। कुछ ही दिनों में शोधकर्ताओं ने ऐसे तरीके खोज लिए, जिनसे ड्रूपल और वर्डप्रेस जैसे मंचों पर संचालित तंत्रों में सेंध लगाई जा सकती थी। इंटरनेट पर बड़ी संख्या में वेबसाइट इन्हीं मंचों का इस्तेमाल करती हैं। विज ने मिली खामियों की जानकारी पीएचपी की सुरक्षा टीम को दी। सितंबर के अंत तक पीएचपी के डेवपलपर ने पुष्टि की कि यह समस्या वास्तविक है। इसके बाद उन्होंने चुपचाप इसका समाधान तैयार करना शुरू कर दिया। साइबर सुरक्षा के क्षेत्र में किसी खामी का पता चलने पर जिम्मेदारी भरा कदम यह होता है कि उसके समाधान के लिए सुरक्षा अद्यतन तैयार होने तक जानकारी सार्वजनिक न की जाए। ऐसा इसलिए किया जाता है, क्योंकि समय से पहले खुलासा होने पर हैकर को तंत्र में सेंध लगाने का रास्ता मिल सकता है।
बार-बार ऐसी खामियां क्यों सामने आती हैं? इंटरनेट का बड़ा हिस्सा उन बुनियादी प्रौद्योगिकी पर बना है, जिन्हें शौकिया डेवलपर ने तैयार किया और जिनका रखरखाव भी अक्सर वही करते हैं। इनमें से कई प्रौद्योगिकी मजबूत कॉरपोरेट वित्तपोषण के बजाय लोगों की सद्भावना और दान पर निर्भर हैं। इनमें से कई टूल दशकों पहले विकसित किए गए थे। उस समय ऐसी दुनिया की कल्पना नहीं की गई थी, जिसमें लाखों वेबसाइट और अरबों टूल संवेदनशील तथा निजी जानकारी संभालने के लिए इनका इस्तेमाल करेंगे। समस्या इसलिए भी बढ़ती है, क्योंकि संस्थानों में सॉफ्टवेयर के रखरखाव को अक्सर प्राथमिकता नहीं दी जाती। कई कंपनियों को अपनी आपूर्ति शृंखला के सभी हिस्सों की बुनियादी जानकारी तक नहीं होती। यह कमी भौतिक वस्तुओं की आपूर्ति शृंखला में भी दिखती है और डिजिटल तंत्रों में भी। इस मामले जैसे बड़े और चर्चित घटनाक्रमों में भी कई कंपनियों को यह पता नहीं होता कि वे किन-किन सॉफ्टवेयर पर निर्भर हैं। उन्हें यह भी मालूम नहीं होता कि इन सॉफ्टवेयर की सुरक्षा का वास्तविक स्तर क्या है।
आपको क्या करना चाहिए? यह समस्या मुख्य रूप से उन लोगों से जुड़ी है, जो वेबसाइट का रखरखाव करते हैं या तकनीकी ढांचे का प्रबंधन संभालते हैं। उनके लिए प्राथमिकता स्पष्ट है: सुरक्षा अद्यतन उपलब्ध होते ही उन्हें अपने तंत्रों में लागू करें। जब तक सुरक्षा को लेकर भरोसा न हो जाए, तब तक महत्वपूर्ण तंत्रों को इंटरनेट से हटाने पर भी विचार करें। इंटरनेट का सामान्य इस्तेमाल करने वालों के लिए यह समझना जरूरी है कि ये खामियां मुख्य रूप से वेबसाइट को संचालित वाले सर्वर को प्रभावित करती हैं, न कि उनके निजी उपकरणों को। हालांकि, सुरक्षा अद्यतन लागू होने से पहले कुछ वेबसाइट से अस्थायी रूप से छेड़छाड़ की जा सकती है। इसलिए अगले कुछ दिन तक अनजान वेबसाइट पर संवेदनशील निजी जानकारी दर्ज करने से बचना समझदारी होगी। बड़ी क्लाउड सेवा कंपनियां और साइबर सुरक्षा संस्थान आपातकालीन सुरक्षा फिल्टर लागू कर रहे हैं। लेकिन इंटरनेट को सुरक्षित करने की वैश्विक कोशिश अभी शुरू ही हुई है। दुनिया भर की साइबर सुरक्षा टीम नुकसान को सीमित करने के लिए तेजी से काम कर रही हैं। फिर भी, इस समस्या का व्यापक दायरा एक गंभीर चेतावनी है।
अन्य न्यूज़
