জাতীয় বিশ্ববিদ্যালয়ের ৮টি সাবডোমেইনে ভয়াবহ নিরাপত্তা ত্রুটি, কোটি শিক্ষার্থীর ব্যক্তিগত তথ্য উন্মুক্ত

প্রযুক্তিগত অনুসন্ধানে দেখা গেছে জাতীয় বিশ্ববিদ্যালয়ের (nu.ac.bd) সমস্ত অ্যাকটিভ সাবডোমেইনের আসল সার্ভারে কোনো বৈধ SSL সার্টিফিকেট নেই, রয়েছে শুধু একটি ডিফল্ট প্লেসহোল্ডার সার্টিফিকেট। চাকরির পোর্টাল সরাসরি একটি অপরিশোধিত আইপিতে (Raw IP) রিডাইরেক্ট করছে যেখানে এনক্রিপশনের কোনো সুরক্ষা নেই। জাতীয় বিশ্ববিদ্যালয়ের চাকরির পোর্টাল https://jobs.nu.ac.bd/ ব্যবহার করলে আপনার সমস্ত ব্যক্তিগত তথ্য, পাসওয়ার্ড, জাতীয় পরিচয়পত্র নম্বর, সিভি এনক্রিপশন ছাড়াই নেটওয়ার্কে চলে যাচ্ছে।

ঘটনার সূত্রপাত: একটি অদ্ভুত রিডাইরেক্ট
দ্য ডেইলি ক্যাম্পাস নিউজ পোর্টালে চাকরির বিজ্ঞপ্তি দেয়ার সময় প্রথম বিষয়টি নজরে আসে। জাতীয় বিশ্ববিদ্যালয়ের অফিসিয়াল চাকরির পোর্টাল jobs.nu.ac.bd-এ প্রবেশ করতে গেলে ব্রাউজার ব্যবহারকারীকে সরাসরি পাঠিয়ে দিচ্ছে http://103.113.200.22/ একটি অপরিশোধিত আইপি ঠিকানায়, যেখানে কোনো ডোমেইন নেই, SSL সার্টিফিকেট নেই, এনক্রিপশন নেই।

বিষয়টি প্রথম দেখায় শুধু চাকরির পোর্টালের সমস্যা মনে হলেও গভীর অনুসন্ধানে বেরিয়ে আসে এক চাঞ্চল্যকর তথ্য! এটি কোনো বিচ্ছিন্ন ঘটনা নয়, বরং nu.ac.bd-এর সমগ্র ডিজিটাল অবকাঠামোর একটি মৌলিক নিরাপত্তা ত্রুটির বহিঃপ্রকাশ।

কারিগরি অনুসন্ধান: যা পাওয়া গেল
DNS রেকর্ড বিশ্লেষণ ও সরাসরি সার্ভার পরীক্ষায় nu.ac.bd-এর সক্রিয় সাবডোমেইনগুলো শনাক্ত করা হয়। এরপর প্রতিটি সার্ভারের আইপিতে সরাসরি সংযোগ স্থাপন করে তাদের SSL সার্টিফিকেটের অবস্থা যাচাই করা হয়। প্রতিটি সার্ভারে CN = default.domain, এটি কোনো বৈধ সার্টিফিকেট নয়, এটি Apache বা Nginx ইনস্টলের পর ডিফল্টভাবে তৈরি হওয়া প্লেসহোল্ডার।

অনুসন্ধানে মোট ৮টি সক্রিয় সাবডোমেইন খুঁজে পাওয়া যায়। প্রতিটি সাবডোমেইনের আসল সার্ভারে (অরিজিন সার্ভার) সংযোগ করে দেখা যায়, সবগুলোতেই SSL সার্টিফিকেটের কমন নেম (CN) হলো default.domain, যা একটি প্রাথমিক স্তরের প্লেসহোল্ডার সার্টিফিকেট, কোনো বৈধ কর্তৃপক্ষ কর্তৃক যাচাইকৃত নয়।

রিভার্স প্রক্সির আড়ালে লুকানো বিপদ
স্বাভাবিক প্রশ্ন হলো- যদি সব সার্ভারে ভুয়া সার্টিফিকেট থাকে, তাহলে এতদিন ব্রাউজারে সতর্কতা দেখা যায়নি কেন? অনুসন্ধানে এর উত্তরও মিলেছে। nu.ac.bd-এর সামনে একটি রিভার্স প্রক্সি বা লোড ব্যালেন্সার সক্রিয় রয়েছে। এই প্রক্সি ব্যবহারকারীর সাথে HTTPS সংযোগ স্থাপন করে একটি বৈধ nu.ac.bd ওয়াইল্ডকার্ড সার্টিফিকেট ব্যবহার করে ফলে ব্রাউজারে সবুজ প্যাডলক দেখা যায়। তারপর প্রক্সি পেছনের আসল সার্ভারে তথ্য পাঠায়।

কোন তথ্য ঝুঁকিতে আছে?
সবচেয়ে ঝুঁকিপূর্ণ পোর্টালগুলোঃ

• jobs.nu.ac.bd — লগইন পাসওয়ার্ড, ব্যক্তিগত তথ্য, শিক্ষাগত সনদ, ছবি
• result.nu.ac.bd / results.nu.ac.bd — রেজিস্ট্রেশন নম্বর, রোল নম্বর, পরীক্ষার ফলাফল
• lms.nu.ac.bd— শিক্ষার্থীর লগইন সেশন, একাডেমিক কার্যক্রম ডেটা ইন্টারসেপশন HTTP সংযোগে পাঠানো যেকোনো তথ্য নেটওয়ার্কে উন্মুক্ত অবস্থায় ভ্রমণ করে। একই Wi-Fi নেটওয়ার্কে থাকা যেকেউ এই তথ্য পড়তে পারবে।

ম্যান-ইন-দ্য-মিডল আক্রমণ
ব্যবহারকারী ও সার্ভারের মাঝে হ্যাকার অবস্থান নিয়ে ডেটা পড়তে, পরিবর্তন করতে এবং নকল পেজ প্রদর্শন করতে পারে।

SSL স্ট্রিপিং
ব্যবহারকারী HTTPS দিয়ে শুরু করলেও সার্ভার তাকে HTTP-তে নামিয়ে আনছে, এনক্রিপশনের সুরক্ষা সম্পূর্ণ নষ্ট হয়ে যাচ্ছে।

ফিশিং ও পরিচয় প্রতারণা
বেয়ার আইপিতে SSL না থাকায় হ্যাকার একটি নকল পেজ সাজিয়ে হাজারো শিক্ষার্থীর লগইন তথ্য সংগ্রহ করতে পারে।

পরিচয় চুরি (Identity Theft)
চাকরির আবেদনে জমা দেওয়া জাতীয় পরিচয়পত্র নম্বর, জন্মতারিখ ও ব্যক্তিগত তথ্য চুরি হলে ব্যাংকিং ও সরকারি সেবায় প্রতারণার সুযোগ তৈরি হয়।

প্রাতিষ্ঠানিক বিশ্বাসযোগ্যতা বিনষ্ট
দেশের সর্ববৃহৎ বিশ্ববিদ্যালয়ের ডিজিটাল পরিষেবায় এমন মৌলিক ত্রুটি প্রতিষ্ঠানের সামগ্রিক তথ্যপ্রযুক্তি ব্যবস্থাপনা নিয়ে গুরুতর প্রশ্ন তোলে। কেন এটি শুধু একটি প্রক্সি বসিয়ে সমাধান করা যাবে না

কেউ হয়তো যুক্তি দিতে পারেন প্রক্সি তো বৈধ সার্টিফিকেট দিয়ে কাজ করছে, তাহলে সমস্যা কোথায়? এই যুক্তি বিপজ্জনক কারণ:

প্রথমত, jobs.nu.ac.bd-এর ঘটনা প্রমাণ করে যে যেকোনো কনফিগারেশন ত্রুটি বা রিডাইরেক্ট নিয়মের ভুলে প্রক্সি বাইপাস হয়ে যায় এবং ব্যবহারকারী সরাসরি অসুরক্ষিত সার্ভারে পৌঁছে যান। দ্বিতীয়ত, প্রক্সি ও অরিজিন সার্ভারের মধ্যবর্তী সংযোগও (backend channel) যদি এনক্রিপ্টেড না হয়, তাহলে অভ্যন্তরীণ নেটওয়ার্ক থেকেও তথ্য চুরি সম্ভব। তৃতীয়ত, অরিজিন সার্ভারে বৈধ সার্টিফিকেট না থাকলে সার্টিফিকেট পিনিং বা এইচএসটিএস-এর মতো সুরক্ষাব্যবস্থা কার্যকর হয় না।

প্রয়োজনীয় সংশোধনী পদক্ষেপ

• প্রতিটি অরিজিন সার্ভারে .nu.ac.bd ওয়াইল্ডকার্ড সার্টিফিকেট স্থাপন করতে হবে। শুধু প্রক্সিতে নয়, 103.113.200.5, 103.113.200.8, 103.113.200.22, 103.113.200.30 সহ প্রতিটি ব্যাকএন্ড সার্ভারে বৈধ সার্টিফিকেট ইনস্টল করতে হবে।
• jobs.nu.ac.bd-এর ভুল রিডাইরেক্ট নিয়ম অবিলম্বে সংশোধন করতে হবে। http://103.113.200.22/-এ রিডাইরেক্ট বন্ধ করে https://jobs.nu.ac.bd/-তে 301 রিডাইরেক্ট নিশ্চিত করতে হবে।
• সমস্ত সাবডোমেইনে HSTS হেডার চালু করতে হবে। Strict-Transport-Security: max-age=31536000; includeSubDomains হেডার যোগ করলে ভবিষ্যতে ব্রাউজার HTTP-তে যাওয়ার সুযোগ পাবে না।
• প্রক্সি ও অরিজিনের মধ্যবর্তী সংযোগ TLS দিয়ে সুরক্ষিত করতে হবে। ব্যাকএন্ড চ্যানেলকে অরক্ষিত রাখলে অভ্যন্তরীণ নেটওয়ার্ক থেকেও আক্রমণ সম্ভব।
• নিয়মিত সাবডোমেইন অডিট করতে হবে। Certificate Transparency লগ পর্যবেক্ষণ করে নতুন বা ভুলে যাওয়া সাবডোমেইন শনাক্ত করতে হবে যেগুলো প্রক্সির বাইরে রয়ে গেছে।
• SSL Labs দিয়ে সংশোধনের পর পুনরায় পরীক্ষা করতে হবে। ssllabs.com/ssltest-এ প্রতিটি সাবডোমেইন পরীক্ষা করে A বা A+ গ্রেড নিশ্চিত করতে হবে।

ডিজিটাল সুরক্ষা দায়িত্বের প্রশ্ন
জাতীয় বিশ্ববিদ্যালয় বাংলাদেশের সবচেয়ে বড় উচ্চশিক্ষা প্রতিষ্ঠান। দেশের প্রায় ৩৩ লক্ষ শিক্ষার্থী এর অধীনে পড়াশোনা করেন। এই বিশাল জনগোষ্ঠীর ব্যক্তিগত তথ্য, একাডেমিক রেকর্ড এবং কর্মসংস্থান সংক্রান্ত ডেটা একটি ভুল কনফিগারেশনের কারণে সম্পূর্ণ উন্মুক্ত হয়ে পড়ে আছে।

আরও উদ্বেগজনক বিষয় হলো বাইরে থেকে দেখলে সাইটটি নিরাপদ মনে হয়, কারণ ব্রাউজারে প্যাডলক দেখায়। কিন্তু এই প্যাডলক শুধু প্রক্সি স্তরের, প্রকৃত সার্ভার সম্পূর্ণ অরক্ষিত। এই "নিরাপত্তার মুখোশ" সাধারণ ব্যবহারকারীকে মিথ্যা আশ্বাস দিচ্ছে।

SSL সার্টিফিকেট স্থাপন আর রিডাইরেক্ট সংশোধন, দুটি কাজই কারিগরিভাবে সহজ এবং বিনামূল্যে করা সম্ভব। বিশ্ববিদ্যালয় কর্তৃপক্ষের উচিত অবিলম্বে IT টিমকে নির্দেশ দিয়ে এই ত্রুটি সংশোধন করা এবং ভবিষ্যতে এ ধরনের সমস্যা এড়াতে নিয়মিত নিরাপত্তা অডিটের ব্যবস্থা করা।

ব্যবহারকারীর করণীয়
চাকরির পোর্টালে পাসওয়ার্ড পরিবর্তন করুন
অন্য সাইটে একই পাসওয়ার্ড ব্যবহার করলে তাও পরিবর্তন করুন
সংযোগ নিরাপদ না হলে ব্যক্তিগত তথ্য জমা দেবেন না

বিঃ দ্রঃ এই প্রতিবেদনটি শুধুমাত্র জনস্বার্থে তথ্য প্রচারের উদ্দেশ্যে প্রকাশিত। সকল কারিগরি তথ্য DNS বিশ্লেষণ, সরাসরি সার্ভার পরীক্ষা এবং SSL সার্টিফিকেট যাচাইয়ের মাধ্যমে সংগ্রহ করা হয়েছে।

লেখক: সাদী আল মেহেদী, আইটি বিশেষজ্ঞ

The Daily Campus এর খবর পেতে গুগল নিউজ চ্যানেল ফলো করুন