एआई ने इन खामियों का पता लगाने में कैसे मदद की?
पीएचपी फाउंडेशन ने अपने कोड की जांच के लिए एआई आधारित उपकरणों की मदद ली। इसमें एंथ्रोपिक का उन्नत एआई मॉडल भी शामिल था। पीएचपी को ओपनएआई के पैच द प्लैनेट कार्यक्रम में भी शामिल किया गया। इस कार्यक्रम के तहत सुरक्षा विशेषज्ञों और शोधकर्ताओं ने सॉफ्टवेयर की कमजोरियां खोजने और उन्हें ठीक करने पर काम किया।
पीएचपी फाउंडेशन के मुताबिक, सुरक्षा कंपनी कैलिफ ने 30 जुलाई को पीएचपी की जांच शुरू की थी। शोधकर्ता रयानए ने 11 अगस्त को एक गंभीर समस्या की जानकारी दी। ओपनएआई ने भी उसी दिन इससे जुड़ी समस्या की सूचना दी। इसके बाद सुरक्षा कंपनी विज ने 24 अगस्त को एक और तरीके से इस समस्या का फायदा उठाए जाने की जानकारी दी।
एआई बड़ी मात्रा में कंप्यूटर कोड की जांच करके उन जगहों को पहचानने में मदद कर सकता है, जहां गड़बड़ी होने की आशंका है। इससे विशेषज्ञों को संभावित खामियां खोजने और उनके समाधान पर काम करने में मदद मिलती है। हालांकि, खामी की पुष्टि करने और उसे ठीक करने में विशेषज्ञों की भूमिका जरूरी रहती है।
खतरा कैसे बढ़ा?
जब किसी सॉफ्टवेयर में गंभीर सुरक्षा समस्या मिलती है, तो आम तौर पर उसे सार्वजनिक करने से पहले उसे बनाने वाली टीम को सुधार करने का समय दिया जाता है। इससे सुरक्षा अपडेट जारी होने तक हमलावरों को उस कमी का फायदा उठाने का मौका मिलने का खतरा कम होता है।
पीएचपी के मामले में जानकारी सार्वजनिक होने की तय तारीख से दो दिन पहले ही खामियों से जुड़े पहचान नंबर इंटरनेट पर फैलने लगे। इसके बाद पीएचपी की टीम ने सुरक्षा अपडेट जारी करने की तारीख एक दिन पहले कर दी। जानकारी फैलने के बाद हमलावरों के पास सुरक्षा अपडेट लगाने से पहले हमला करने का मौका बढ़ गया। इन कमजोरियों की जानकारी 22 अक्तूबर को सार्वजनिक की जानी थी।
अमेजन की साइबर खतरा खुफिया टीम ने भी आधिकारिक खुलासे से चार दिन पहले, 17 अक्तूबर को, हमले की एक कोशिश दर्ज की थी। हमलावर ने अमेजन के निगरानी के लिए बनाए गए एक विशेष परीक्षण तंत्र को निशाना बनाया। इस तरह के तंत्र का इस्तेमाल संदिग्ध गतिविधियों और हमलों के तरीकों को समझने के लिए किया जाता है।
हालांकि, यह स्पष्ट नहीं हुआ कि हमलावर को खामियों की जानकारी पहले कैसे मिली। अमेजन ने ऐसे उदाहरण भी देखे, जिनमें दिखाया गया था कि इन कमियों का फायदा कैसे उठाया जा सकता है। ऐसे उदाहरण सुरक्षा जोखिम समझने में मदद करते हैं, लेकिन अपने आप में सफल साइबर हमले का प्रमाण नहीं होते।
क्या-क्या खतरा हो सकता था?
- संवेदनशील डेटा की चोरी: सर्वर पर मौजूद जरूरी जानकारी तक पहुंचने और उसे चुराने का खतरा हो सकता था।
- ऑनलाइन सेवाओं में रुकावट: वेबसाइट या दूसरी डिजिटल सेवाएं बाधित हो सकती थी।
- नेटवर्क में आगे बढ़ने का जोखिम: हमलावर शुरुआती पहुंच का इस्तेमाल नेटवर्क के दूसरे हिस्सों तक पहुंचने की कोशिश में कर सकते थे।
दुनिया भर में क्या असर पड़ा?
खतरे का पता चलने के बाद कई देशों के संस्थानों ने अपनी वेबसाइटों और ऑनलाइन सेवाओं की जांच की। कुछ ने सुरक्षा अपडेट लगाने और जोखिम कम करने के लिए सेवाएं अस्थायी रूप से बंद कर दीं।
- नीदरलैंड में रॉटरडैम बंदरगाह की वेबसाइट, सरकारी वेबसाइट ओवरहाइड डॉट एनएल और कुछ राजनीतिक दलों की वेबसाइटों समेत कई सार्वजनिक वेबसाइटें बंद की गईं या प्रभावित हुईं।
- डेनमार्क में कोम्बिट ने स्कूलों के बीच संदेश भेजने से जुड़ी कुछ सेवाएं बंद कीं।
- फिनलैंड की वाल्टोरी ने कुछ सार्वजनिक नेटवर्क सेवाओं को अस्थायी रूप से बंद किया।
- फ्रांस के गृह मंत्रालय ने भी अपनी वेबसाइटों को रखरखाव के लिए बंद किया।
ब्रिटेन में उठाया गया बड़ा कदम
ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र ने 50 हजार से ज्यादा चेतावनी संदेश भेजे, ताकि वेबसाइट संचालक खतरे को समझकर जरूरी कदम उठा सकें। कई संस्थानों ने सुरक्षा जांच और अपडेट लगाने के बाद अपनी सेवाएं फिर शुरू कीं।
इस बीच सरकार ने लोगों को घर में तीन दिन यानी 72 घंटे तक काम आने वाला जरूरी सामान रखने की सलाह दी है। यह सलाह सरकार के 'बी रेडी' अभियान के तहत दी गई है। सरकार के अनुसार, अगर पीएचपी में मिली सुरक्षा खामी जैसी समस्या भविष्य में होती है और बेवसाइट्स को बंद करना पड़े तो नागरिकों के पास बुनियादी सुविधाएं होनी चाहिए, क्योंकि रोजमर्रा की ज्यादातर चीजें ऑनलाइन गतिविधियों पर निर्भर हो गई हैं। हालांकि, सरकार की सलाह सिर्फ साइबर हमलों तक सीमित नहीं है, बल्कि खराब मौसम और दूसरी आपात स्थितियों को भी ध्यान में रखकर दी गई है।
पीएचपी में सुरक्षा खामी
- फोटो : अमर उजाला ग्राफिक्स
क्या इन खामियों का फायदा उठाकर वेबसाइटें हैक हुईं?
इन कमियों का फायदा उठाने की कोशिशें दर्ज की गईं। हालांकि, किसी हमले की कोशिश और वेबसाइट को सफलतापूर्वक हैक करने में अंतर है। हर कोशिश यह साबित नहीं करती कि हमलावर कंप्यूटर पर कब्जा करने या जानकारी चुराने में सफल रहा।
ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र के मुताबिक, जानकारी सार्वजनिक होने के बाद शुरुआती 24 घंटों में सफल हमलों की पुष्टि नहीं हुई थी। वहीं, सुरक्षा कंपनियों ने हमले की कोशिशों और इन कमियों का फायदा उठाने के तरीकों के तेजी से फैलने की जानकारी दी। खतरा इस बात का था कि जिन वेबसाइटों पर सुरक्षा अपडेट नहीं लगाया गया, उन्हें हमलावर निशाना बना सकते थे।
वेबसाइटों को सुरक्षित करने में क्या चुनौती है?
इन खामियों को ठीक करने के लिए सुरक्षा अपडेट जारी किए जा चुके हैं। वेबसाइट संचालकों को पहले यह पता लगाना होगा कि उनके कितने सर्वर और कंप्यूटर पीएचपी का इस्तेमाल कर रहे हैं और किन पर अपडेट लगाना जरूरी है।
साइबर सुरक्षा कंपनी सोफोस के डॉन स्मिथ के मुताबिक, संगठनों के लिए उन सभी सिस्टम की पहचान करना बड़ी चुनौती है, जहां पीएचपी चल रहा है। बड़े संगठनों के पास कई वेबसाइटें और सर्वर होते हैं, इसलिए हर सिस्टम की जांच करना जरूरी है।
ऑस्ट्रेलियाई राष्ट्रीय विश्वविद्यालय के प्रोफेसर सिगी गूड ने चिंता जताई कि जो वेबसाइटें अब भी चालू हैं, वे जरूरी सुरक्षा उपायों के बिना हमलावरों के निशाने पर हो सकती हैं। सुरक्षा विशेषज्ञों ने सलाह दी कि जिन सिस्टम को तुरंत सुरक्षित नहीं किया जा सकता, उन्हें अस्थायी रूप से बंद रखना बेहतर है।
क्या एआई से साइबर हमलों का खतरा बढ़ सकता है?
द गार्डियन के अनुसार, एआई की मदद से सॉफ्टवेयर की कमजोरियां तेजी से खोजी जा सकती हैं। इससे कंपनियों और सरकारी संस्थाओं को अपने सिस्टम सुरक्षित करने में मदद मिलती है। लेकिन हमलावर भी इसी तकनीक का इस्तेमाल कमजोरियां खोजने और उनका फायदा उठाने के लिए कर सकते हैं।
सोफोस के डॉन स्मिथ ने संगठनों को वेबसाइटों और सर्वर पर असामान्य गतिविधियों, बिना अनुमति कमांड चलने और दूसरे संदिग्ध संकेतों पर नजर रखने की सलाह दी। इससे यह पता लगाने में मदद मिल सकती है कि कोई हमलावर पहले ही सिस्टम में प्रवेश कर चुका है या नहीं।
इस मामले ने इंटरनेट की बुनियादी तकनीकों को संभालने वाली टीमों की क्षमता पर भी ध्यान खींचा है। पीएचपी फाउंडेशन के पास इस भाषा को बनाए रखने के लिए केवल 13 पूर्णकालिक और अंशकालिक इंजीनियर हैं, जबकि AI के विकास पर अरबों डॉलर खर्च किए जा रहे हैं।