દુનિયાભરમાં કેટલીક વેબસાઇટ્સ બંધ કેમ છે, પીએચપી શું છે અને આ સાયબર ઍલર્ટથી ભારતીય યુઝર્સને કેટલો ખતરો?

એક દાયકાથી પણ વધુ સમય સુધી ઇન્ટરનેટના મોટા હિસ્સાને ચલાવતી ટૅક્નૉલૉજીમાં રહેલી ગંભીર ખામીઓ પકડાઈ શકી નહોતી.

આ ખામીઓ શોધવા માટે આર્ટિફિશિયલ ઇન્ટેલિજન્સ (એઆઈ)ની મદદ લેવામાં આવી અને ત્યારબાદ સમગ્ર વિશ્વમાં સાયબર સુરક્ષાને લઈને ઍલર્ટ જારી કરવામાં આવ્યું.

બીબીસીના સંવાદદાતા ઓસમન્ડ ચિયાના જણાવ્યા મુજબ, આ ખામીઓ પીએચપી નામની એક પ્રોગ્રામિંગ ભાષામાં છે, જેનો ઉપયોગ 2000ના દાયકાથી વિશ્વભરમાં વેબસાઇટ બનાવવા માટે થતો રહ્યો છે. ભારતમાં પણ મોટી સંખ્યામાં વેબસાઇટ્સ અને ઑનલાઇન સેવાઓ આ ટૅક્નૉલૉજી પર આધારિત છે, તેથી તેની અસર ભારતીય યુઝર્સ અને સંસ્થાઓ સુધી પણ પહોંચી શકે છે.

બુધવારે આ ખામીઓની જાણ થયા બાદ વિશ્વભરની સરકારો અને સાયબર સુરક્ષા એજન્સીઓ તેની અસરને રોકવાના પ્રયાસોમાં લાગી ગઈ છે. તેમણે વેબસાઇટ સંચાલકોને તાત્કાલિક સુરક્ષા અપડેટ ઇન્સ્ટોલ કરવાની અથવા જરૂર પડે તો પોતાના પ્લૅટફૉર્મને ઑફલાઇન કરવાની સલાહ આપી છે.

સાયબર સુરક્ષા કંપની 'વિઝ' તે કંપનીઓમાં સામેલ છે, જેના સંશોધકોએ આ ખામીઓ શોધી કાઢી. કંપનીએ તેમને એઆઈની મદદથી અત્યાર સુધી સામે આવેલી "સૌથી ગંભીર" ખામીઓ ગણાવી છે.

આ ખામીઓ શોધવામાં જે ટૅક્નૉલૉજીનો ઉપયોગ થયો હતો, તે ઓપનએઆઈની હતી. ઓપનએઆઈએ આ ખામીને "અત્યંત ગંભીર સુરક્ષા મુદ્દો" ગણાવ્યો છે.

ઇન્ટરનેટ વિશેની આ ખામી શું છે?

મોટાભાગના લોકોએ કદાચ પીએચપીનું નામ સાંભળ્યું નહીં હોય, પરંતુ તેઓ સંભવતઃ દરરોજ તેનો ઉપયોગ કરતા હોય છે.

પીએચપીનું સંપૂર્ણ નામ હાઇપરટેક્સ્ટ પ્રીપ્રોસેસર છે. તે એક ઓપન-સોર્સ, બૅક-ઍન્ડ પ્રોગ્રામિંગ ભાષા છે, જે વેબ-સર્વર પર ચાલે છે.

તે 1990ના દાયકાની શરૂઆતમાં એવી વેબસાઇટ્સ અને ઍપ્લિકેશનો બનાવવા માટે વિકસાવવામાં આવી હતી, જેમનું કન્ટેન્ટ સતત બદલાતું રહે. આજે પણ તેનો ઉપયોગ અનેક પ્લૅટફૉર્મ પર થાય છે. તેમાં વિકિપીડિયા, ઑનલાઇન શૉપિંગ વેબસાઇટ્સ અને વર્ડપ્રેસનો સમાવેશ થાય છે. વર્ડપ્રેસ એક કન્ટેન્ટ મૅનેજમેન્ટ સિસ્ટમ છે, જેનો ઉપયોગ બ્લૉગ સહિત વિવિધ પ્રકારની વેબસાઇટ્સ બનાવવા અને ચલાવવા માટે થાય છે.

ગોરિલ્લા સાયબર સિક્યૉરિટીના મુખ્ય કાર્યકારી અધિકારી પોલ સ્પેને બીબીસીને જણાવ્યું કે જ્યારે તમે વિકિપીડિયા જેવી વેબસાઇટ પર જાઓ છો, ત્યારે પીએચપી એવો કોડ છે જે તમારા માટે જરૂરી માહિતી એકત્રિત કરે છે અને તેને એવી રીતે રજૂ કરે છે કે તમે તેને વેબસાઇટ પર વાંચી શકો.

પરંતુ પીએચપીમાં એવી એક ખામી સામે આવી છે, જેના દ્વારા હુમલાખોરો કોઈ પણ પ્રકારના ઑથેન્ટિકેશન વિના અસરગ્રસ્ત વેબ-સર્વર પર કબજો મેળવી શકે છે અને સંવેદનશીલ ડેટા ચોરી શકે છે. તેના કારણે પીએચપી પર બનેલી દરેક વસ્તુ જોખમમાં આવી ગઈ છે.

સ્પેનના જણાવ્યા મુજબ, એઆઈની મદદથી આવા હુમલા કરવાનું વધુ સરળ અને ઝડપી બની શકે છે. તેમનું અનુમાન છે કે આ ખામીની અસર "લાખો" વેબસાઇટ્સ પર પડી શકે છે.

યુનિવર્સિટી ઑફ ઍડિલેડની સાયબર સુરક્ષા સંશોધક જિલ સ્લેએ કહ્યું કે જો હૅકર્સ અથવા દેશો આ ખામીનો હથિયાર તરીકે ઉપયોગ કરે અને વેબસાઇટ્સમાંથી ખાનગી ડેટા મેળવી લે, તો તેનાં પરિણામો "વિનાશકારી" થઈ શકે છે.

કઈ વેબસાઇટ્સ પર તેની અસર થઈ છે?

આ ઍલર્ટ બાદ વિશ્વભરમાં ગેમિંગ પ્લૅટફૉર્મથી લઈને સરકારી પૉર્ટલો અને ઑનલાઇન ફોરમ્સ સુધી ઘણી સેવાઓ અસરગ્રસ્ત થઈ છે.

તેમાં વિકિમિડિયાનો પણ સમાવેશ થાય છે. આ સંસ્થા ઑનલાઇન વિશ્વકોશ વિકિપીડિયાનું સંચાલન કરે છે. વિકિમિડિયાએ સાવચેતીનાં પગલાં તરીકે પોતાની અનેક સિસ્ટમો બંધ કરી દીધી છે.

ફિનલૅન્ડ સરકાર, ઍડિનબરો કાઉન્સિલ અને બીબીસીએ પણ પોતાની કેટલીક વેબસાઇટ્સ અને પેજિસ ઑફલાઇન કરી દીધાં છે. નેધરલૅન્ડ્સની સાયબર સુરક્ષા એજન્સીએ પણ પોતાની વેબસાઇટ બંધ કરી દીધી છે.

સ્કૉટલૅન્ડની ઘણી સરકારી સંસ્થાઓએ, જેમાં સ્થાનિક કાઉન્સિલો અને આરોગ્ય બોર્ડનો સમાવેશ થાય છે, સાવચેતીનાં પગલાં તરીકે પોતાની વેબસાઇટ્સ ઑફલાઇન કરી દીધી છે.

કેટલાક નિષ્ણાતોએ ચેતવણી આપી છે કે, આ ખામીના કારણે એવી વેબસાઇટ્સ પર વધુ જોખમ ઊભું થઈ શકે છે, જાળવણી જેની યોગ્ય રીતે થતી નથી. ખાસ કરીને નાની સંસ્થાઓની વેબસાઇટ્સ વધુ જોખમમાં હોઈ શકે છે, કારણ કે તેમની પાસે સાયબર સુરક્ષા માટે મર્યાદિત સંસાધનો હોય છે.

યુએનએસડબલ્યુ સિડનીના સાયબર સુરક્ષા સંશોધક સલીલ કાન્હેરેએ કહ્યું કે આગામી અઠવાડિયામાં આ ખામીઓનો લાભ લેવા માટેના પ્રયાસોમાં વધુ વધારો થઈ શકે છે, કારણ કે હવે આ ખામીઓ સંબંધિત તકનીકી માહિતી જાહેર કરવામાં આવી રહી છે.

ખામીઓની જાણ થયા પછી શું થયું?

પીએચપી પ્લૅટફૉર્મના ડેવલપર્સે બુધવારે આ ખામીઓને દૂર કરવા માટે સુરક્ષા અપડેટ્સ જાહેર કર્યાં. આ ખામીઓ ઘણાં વર્ષોથી તેમનાં સૉફ્ટવૅર્સમાં હાજર હતી.

કંપનીએ કહ્યું, "બધા પીએચપી યુઝર્સને તાત્કાલિક અપડેટ કરવાની સલાહ આપવામાં આવે છે." વિશ્વભરના અધિકારીઓ અને સાયબર સુરક્ષા સંગઠનોએ પણ વેબસાઇટ સંચાલકોને પોતાના પ્લૅટફૉર્મને સુરક્ષિત કરવાની અપીલ કરી છે.

અમેરિકાની નૅશનલ સિક્યૉરિટી એજન્સીએ પીએચપીનો ઉપયોગ કરતી તમામ સંસ્થાઓને કહ્યું કે, જો તેઓ તરત સુરક્ષા અપડેટ કરી શકતા ન હોય તો તેઓ પોતાની સિસ્ટમ ઑફલાઇન કરી દે. એજન્સીએ કહ્યું કે આ ખામી કોઈ સિસ્ટમના ડેટાબેઝ સુધી પહોંચવાનો "સીધો માર્ગ" ઉપલબ્ધ કરાવી શકે છે.

એજન્સીએ કહ્યું, "આ જોખમો એટલાં ગંભીર છે કે અમેરિકાની તમામ સરકારી એજન્સીઓ અને વિભાગોમાં તાત્કાલિક સુરક્ષા અપડેટ કરવું જરૂરી છે."

બ્રિટનના નૅશનલ સાયબર સિક્યૉરિટી સેન્ટરે પણ આવી જ સલાહ આપી હતી. તેણે સંસ્થાઓને તપાસવા કહ્યું કે ક્યાંક કોઈ હુમલાખોરે તેમની સિસ્ટમમાં "બૅકડોર" તો બનાવી દીધો નથી.

યુરોપિયન સંઘ, સિંગાપુર અને ઑસ્ટ્રેલિયાની સાયબર સુરક્ષા એજન્સીઓએ પણ આવું જ ઍલર્ટ જાહેર કર્યું છે.

જાપાનનાં વડાં પ્રધાન સાને તકાઇચીએ લોકોને તપાસ કરવાની અપીલ કરી હતી કે, જાહેર રીતે ઉપલબ્ધ તેમની વેબસાઇટ્સ પીએચપી પર ચાલે છે કે નહીં. તકાઇચીએ ઍક્સ પર લખ્યું, "અમે સૌને આજે રાત્રે જ કાર્યવાહી કરવાની તાત્કાલિક અપીલ કરીએ છીએ."

તેમણે કહ્યું કે, જો સુરક્ષા અપડેટ તાત્કાલિક લાગુ કરવું મુશ્કેલ હોય, તો વેબસાઇટ્સને થોડા સમય માટે બંધ કરવી અને આવા અન્ય પગલાં જોખમ ઘટાડવાનો અસરકારક માર્ગ બની શકે છે.

ટૅક કંપનીઓ પણ પોતાની સિસ્ટમોને સુરક્ષિત કરવાનો પ્રયાસ કરી રહી છે.

ઈ-કૉમર્સ કંપની ઍમેઝોને જણાવ્યું કે પીએચપીની આ સમસ્યા જાહેર થાય તેના થોડા દિવસો પહેલાં તેની સિસ્ટમને ઘણી વખત નિશાન બનાવવાનો પ્રયાસ કરવામાં આવ્યો હતો. જોકે, સંભવિત હુમલાખોરોને આ ખામી વિશે અગાઉથી માહિતી કેવી રીતે મળી તેની જાણ થઈ શકી નથી.

એઆઈ ખામીઓ કેવી રીતે શોધી રહ્યું છે?

આ ખામીઓની શોધ સાયબર સુરક્ષા કંપનીઓ કૅલિફ અને વિઝના સંશોધકોએ કરી હતી.

સંશોધકોએ એવા આધુનિક એઆઈ ટૂલ્સનો ઉપયોગ કર્યો હતો, જે કમ્પ્યુટર કોડનું વિશ્લેષણ કરી શકે છે અને મનુષ્યો અથવા જૂની સિસ્ટમોની તુલનામાં ઘણી ઝડપથી તેની ખામીઓ શોધી શકે છે.

યુએનએસડબલ્યુ સિડનીના સાયબર સુરક્ષા સંશોધક સલીલ કાન્હેરેએ કહ્યું, "આધુનિક સૉફ્ટવૅર અત્યંત જટિલ છે અને કેટલીક ખામીઓ વર્ષો સુધી પકડાતી નથી."

તેમણે કહ્યું, "વાસ્તવિક ખામીઓ નવી નહોતી. ફેરફાર માત્ર એટલો આવ્યો છે કે હવે અમારી પાસે તેમને શોધવાની ક્ષમતા છે."

એઆઈની મદદથી આ ખામીઓની શોધ થયા બાદ પીએચપીના ડેવલપર્સને પોતાનું સુરક્ષા ઍલર્ટ અને સમસ્યાના મોટા પાયાની માહિતી ઝડપથી જાહેર કરવી પડી, કારણ કે આ શોધ વિશેની માહિતી આ અઠવાડિયે ઑનલાઇન લીક થઈ ગઈ હતી.

ઓપનએઆઈએ એક બ્લૉગ પોસ્ટમાં કહ્યું કે આ ઘટના "દર્શાવે છે કે એઆઈ કેવી રીતે સુરક્ષા ખામીઓ શોધી શકે છે", પરંતુ સાથે એ પણ દર્શાવે છે કે એઆઈ "હુમલાખોરોને હુમલા માટે ઉપયોગી સાધનો અને પદ્ધતિઓ ઝડપથી વિકસાવવામાં મદદ કરી શકે છે."

ચૅટજીપીટી બનાવનાર ઓપનએઆઈએ જણાવ્યું કે, તેણે તપાસ માટે એક પ્રોગ્રામ જાહેર કર્યો છે કે પીએચપી પ્લૅટફૉર્મ સુરક્ષિત છે કે નહીં.

યુનિવર્સિટી ઑફ ક્વીન્સલૅન્ડના સાયબર રિસર્ચ સેન્ટરના રાયન કોએ કહ્યું, "આમાંથી ઘણી ખામીઓ તે સમયના સૉફ્ટવૅર વિકાસના અભિગમ સાથે સંબંધિત છે, જ્યારે સુરક્ષા કરતાં સૉફ્ટવૅર કાર્યરત રહે તે બાબત પર વધુ ધ્યાન આપવામાં આવતું હતું."

લોકો પોતાને સુરક્ષિત રાખવા માટે શું કરી શકે?

વેબસાઇટ સંચાલકોને પોતાની વેબસાઇટને પીએચપીના સૌથી નવા વર્ઝન પર અપડેટ કરવાની અપીલ કરવામાં આવી રહી છે.

ગોરિલ્લા સાયબર સિક્યૉરિટીના મુખ્ય કાર્યકારી અધિકારી પૉલ સ્પેને કહ્યું કે મોટાભાગની ટૅક્નિકલ ટીમો માટે પીએચપીનું આ સુરક્ષા અપડેટ એક નાનું અને સામાન્ય અપડેટ છે.

અમેરિકાની નૅશનલ સિક્યૉરિટી એજન્સીએ આગામી અઠવાડિયાંમાં "વધુ સતર્ક રહેવાની" અને સૉફ્ટવૅર વિકસાવતી કંપનીઓના અપડેટ્સ પર નજીકથી નજર રાખવાની સલાહ આપી છે.

એજન્સીએ કહ્યું, "આ સિસ્ટમો સંબંધિત સુરક્ષા અપડેટ્સને સમયસર લાગુ કરવાનું સર્વોચ્ચ પ્રાથમિકતા આપવી જોઈએ."

સાયબર સુરક્ષા સંશોધક સલીલ કાન્હેરેએ જણાવ્યું કે, તેની જવાબદારી મુખ્યત્વે વેબસાઇટ સંચાલકોની છે. જોકે, યુઝર્સે પણ અસરગ્રસ્ત વેબસાઇટ્સ અથવા ઑનલાઇન સેવાઓ દ્વારા જાહેર કરવામાં આવેલી કોઈપણ સુરક્ષા સલાહ પર ધ્યાન આપવું જોઈએ. ઉદાહરણ તરીકે, જો કોઈ સેવા તરફથી પાસવર્ડ બદલવા માટે કહેવામાં આવે તો તેની અવગણના ન કરવી જોઈએ.

તેમણે લોકોને એવા ફિશિંગ સંદેશાઓથી પણ સાવચેત રહેવા જણાવ્યું, જે આ ઘટનાની ચર્ચાનો લાભ ઉઠાવી લોકોને છેતરવાનો પ્રયાસ કરી શકે છે.

ભારત માટે આ કેટલી મોટી ચિંતા છે?

ભારત માટે આ સમાચાર મહત્ત્વના છે કારણ કે ઇન્ડિયન કમ્પ્યુટર ઇમરજન્સી રિસ્પોન્સ ટીમ એટલે કે CERT-In, જે ભારત સરકારની સાયબર સુરક્ષા એજન્સી છે, તેણે પીએચપીની આ ખામીઓ અંગે ઍલર્ટ જાહેર કર્યું છે.

CERT-In ભારતમાં મોટા સાયબર સુરક્ષા મુદ્દાઓ પર નજર રાખે છે, સાયબર હુમલાઓ અને ખામીઓ વિશે ચેતવણીઓ જાહેર કરે છે અને આવા કેસો સાથે વ્યવહાર કરવા માટે સંબંધિત સંસ્થાઓને તકનીકી સલાહ આપે છે. તે ઇલેક્ટ્રોનિક્સ અને માહિતી પ્રૌદ્યોગિકી મંત્રાલય હેઠળ કાર્ય કરે છે.

CERT-Inના જણાવ્યા મુજબ, પીએચપીની આ ખામીઓને "ક્રિટિકલ" શ્રેણીમાં રાખવામાં આવી છે. તેનો અર્થ એ છે કે જો કોઈ સર્વર પર પીએચપીનું અસરગ્રસ્ત વર્ઝન ચાલતું હોય તો હુમલાખોર તેનો લાભ ઉઠાવી તે સિસ્ટમ પર દૂરથી પોતાનો કોડ ચલાવી શકે છે અને તે સિસ્ટમ પર ગંભીર સ્તરનું નિયંત્રણ મેળવી શકે છે.

તેથી ભારતમાં પીએચપી પર ચાલતી વેબસાઇટ્સ અને ઑનલાઇન સેવાઓના સંચાલકો માટે સૌથી જરૂરી પગલું એ છે કે તેઓ તપાસે કે તેમના સર્વર પર પીએચપીનું કયું વર્ઝન ચાલી રહ્યું છે અને જરૂર પડે તો તેને સુરક્ષા અપડેટ દ્વારા સુધારે.

બીબીસી માટે કલેક્ટિવ ન્યૂઝરૂમનું પ્રકાશન