OpenSSL ক্রিপ্টোগ্রাফি লাইব্রেরির একটি গুরুতর দুর্বলতার সঙ্গে যুক্ত আটটি আপোসকৃত TLS সার্টিফিকেট আবিষ্কারের পর ইন্টারনেটে উচ্চ সতর্কতা জারি হয়েছে। Heartbleed নামে পরিচিত এই ত্রুটির মাধ্যমে হ্যাকাররা সুরক্ষিত তথ্য আদান-প্রদান ডিক্রিপ্ট করতে, প্রাইভেট কী, সেশন কুকি এবং পাসওয়ার্ড চুরি করতে সক্ষম হয়েছিল।
এই আক্রমণগুলো হাজার হাজার সার্ভারকে প্রভাবিত করেছে, যার মধ্যে বড় বড় কর্পোরেশন ও সরকারি সংস্থার সার্ভারও রয়েছে। পুনরুদ্ধারে বছরের পর বছর লেগেছে, যার মধ্যে ছিল OpenSSL প্যাচ করা, লক্ষ লক্ষ TLS কী পুনরায় ইস্যু করা, সার্টিফিকেট বাতিল করা, পাসওয়ার্ড পরিবর্তন করা এবং এম্বেডেড সিস্টেম আপডেট করা।
eMudhra-র আপোসকৃত কীগুলো চরম মাত্রায় ত্রুটিপূর্ণ ছিল। একটি স্ট্যান্ডার্ড NIST P-384 প্রাইভেট কীতে ৩৮৪ বিট এনট্রপি থাকে, অথচ এই কীগুলোতে ছিল মাত্র ৩ থেকে ৮ বিট। প্রকৌশলীরা ৪, ৫৬, ৬৬, ১১৫, ১৫৫, ১৫৬, ২৩০ ও ২৩৭ বিট এনট্রপির কী খুঁজে পান, যা গ্রহণযোগ্য নিরাপত্তা সীমার অনেক নিচে।
Valsorda বলেন, "এটা সম্ভব হওয়ার কথা নয়।" তিনি ধারণা করেন, একটি বিপজ্জনক কী জেনারেশন ইন্টারফেসের আকার-প্যারামিটার ভুলবশত ১ সেট করা হয়ে থাকতে পারে। BGP.tools-এর Ben Cartwright-Cox অনুমান করেন, উদাহরণ কোড হয়তো ভুলক্রমে প্রোডাকশনে ফাঁস হয়েছে এবং এই অবহেলাকে "অবিশ্বাস্য" বলে অভিহিত করেন। এই ঘটনা ক্রিপ্টোগ্রাফিক বাস্তবায়ন ও সিস্টেম তত্ত্বাবধানে চলমান ঝুঁকির দিকে আলোকপাত করে।
উৎস: Ars Technica · সারাংশ: HeadlinesBriefing