Heartbleedનો આતંક : તમે પાસવર્ડ ચૅન્જ કર્યો?

કારણકે વેબ સર્વરના સિક્યોરિટી પ્રોગ્રામિંગ OpenSSLમાં ખામી ધરાવતા આ બગની અસર વેબજગતની 56% વેબસાઈટ પર થયો છે જેમાં ફેસબુક, યાહૂ અને ગૂગલ જેવી લોકપ્રિય સાઈટ પણ સપડાઈ છે. જેથી કહી શકાય કે વેબ પરના મોટાભાગના યુઝર્સના પાસવર્ડ અને અન્ય પ્રાઈવેટ માહિતી લીક થઈ હોવાનો કે થવાનો સૌથી મોટો ખતરો છે. એટલે જો તમે છેલ્લાં 15 દિવસની અંદર તમારો પાસવર્ડ ચૅન્જ નથી કર્યો તો રાહ જોવાની જરૂર નથી અને બદલી નાંખો તમારો પાસવર્ડ.

તાજેતરમાં જ સંપૂર્ણ સાયબરજગતમાં હાહાકાર મચાવી મૂકેલા ‘હાર્ટબ્લીડ’ નામના વાયરસે નેટીઝન્સમાં ગભરાટ ફેલાવી દીધો છે. જો કે આ વાયરસની તાકાત અને નુકસાન પહોંચાડવાની ક્ષમતા પણ ગંભીર છે જેથી તેના વિશે જાણકારી મેળવવી એટલી જ જરૂરી છે.  ડેન્જરસ વાયરસ Heartbleedએ પોતાનું માથું ઊંચક્યું છે ત્યારે આ વેબ સિક્યોરિટી નબળાઈ ધરાવતો બગ (પ્રોગ્રામિંગ કોડમાં ખામી) લોકપ્રિય વેબસાઈટના યુઝર્સના પાસવર્ડને જોખમમાં મૂકે છે. આ પ્રોગ્રામિંગ ખામી ધરાવતો કોડ ઓનલાઈન યુઝર્સ માટે ચેતવણી તેમ જ ગંભીરતા ધરાવતો વિષય છે અને તેને જરા પણ નજર અંદાજ કરી શકાય એમ નથી. ત્યારે આવો સમજીએ આ સાયબરજગતમાં આતંક ફેલાવનાર લેટેસ્ટ નુકસાની કીડાને જેથી તેનાથી સુરક્ષિત રહેવામાં મદદ મળી રહે.

શું છે Heartbleed?

વેબ પર વપરાતા OpenSSL સોફ્ટવેરમાં મળી આવેલી આ ખામી ઇન્ટરનેટના દુશ્મન હેકર્સને ડેટા સર્વર્સની મેમરીમાં પ્રવેશ મેળવવાની તક આપે છે. ઇન્ટરનેટ સિક્યોરિટીની જાણીતી કંપની Netcraftના અનુસાર લગભગ 5,00,000 વેબસાઈટ આ વાયરસના કહેરમાં સપડાવાની શક્યતા છે. જેનો સીધો મતલબ છે કે યુઝરના યુઝરનેમ, પાસવર્ડ અને ક્રેડિટ કાર્ડની સંવેદનશીલ માહિતીઓ જોખમમાં મૂકાઈ છે. આ ટેકનિકલ ખામીના કારણે હેકર્સ કેટલીક ડિજીટલ કી જે માહિતી / કમ્યુનિકેશનને ઍન્ક્રિપ્ટ (માહિતીઓને જટિલ કોડ દ્વારા સિક્યોર બનાવવાની પ્રક્રિયા) કરવામાં મદદ કરે છે તેને પણ એક્સેસ થઈ શકે છે.

OpenSSL એટલે?

પહેલાં SSLને સમજીએ. જેનું પૂરું નામ Secure Sockets Layer છે અને તેનું નવું નામ પણ છે જે Transport Layer Security (TLS) તરીકે ઓળખાય છે. આ સોફ્ટવૅર પ્રક્રિયાનું મુખ્ય કામ વેબ પરના માહિતીભંડારને ઍન્ક્રિપ્ટ કરીને હેકર્સથી બચાવવાની અથવા તો ચોરીની હરકતને ધીમી પાડવાનું છે. (લોકપ્રિય અને બિગ સાઈટમાં તમે જોયું હશે કે તેની URLમાં સિમ્પલ http:// ના બદલે https:// જોવા મળે છે જે SSL ધરાવતી સાઈટ છે). યુઝરની માહિતી ભરવાની હોય છે તેવા પેજ અથવા તો સંપૂર્ણ સાઈટને SSLથી સિક્યોર બનાવવામાં આવે છે.

OpenSSL સંપૂર્ણ વેબ પર SSL લાગુ કરવા માટેનું ઓપન-સોર્સ સોફ્ટવેર છે. Linux ઓપરેટિંગ સિસ્ટમ ઉપરાંત વેબ સર્વરમાં પણ મહત્વના પાર્ટ તરીકે SSLનો ઉપયોગ થાય છે. ટૂંકમાં વેબ પરની 70% વેબસાઈટ પોતાના ડેટા સિક્યોર રાખવા માટે આ સોફ્ટવેરનો કરે છે જેથી તેનું મહત્વ પણ એટલું જ વધારે છે તેમ કહી શકાય.

કોના ધ્યાનમાં આવ્યો આ વાયરસ?

ફિનલૅન્ડની સિક્યોરિટી કંપની ‘કોડનોમિકોન’ નામની કંપની અને ગૂગલના રિસર્ચર નીલ મહેતાએ વ્યક્તિગત અલગ અલગ બંનેએ આ વાયરસ પર પ્રકાશ પાડ્યો હતો અને તે પણ એક જ દિવસે. નીલ મહેતાને આ ખીમી શોધવા બદલ $15000નું ઈનામ પણ મળ્યું હતું જે તેણે દાન કરી દીધા હતાં.

કેવી રીતે Heartbleed નામ પડ્યું?

‘કોડનોમિકોન’ કંપનીના સિસ્ટમ એડમિનિસ્ટ્રેટરે આ ખામી જેનું ટેકનિકલ નામ CVE-2014-0160 (કોડમાં જે ખામી છે તે કોડ લાઈન) છે તેને ‘હાર્ટબ્લીડ’ નામ આપ્યું હતું. OpenSSLમાં ‘હાર્ટબીટ’ નામનું એક્સ્ટેન્શન છે. જેનું મુખ્ય કામ છે કે જ્યારે ડેટા શૅરિંગ ન થતું હોય તો પણ બંને છેડેના કનેક્શન ઓપન રાખવા. એટલે જ્યારે આ ટેકનિકલ ખામીના કારણે ઓપન કનેક્શનમાંથી માહિતીનું ‘બ્લીડિંગ’ (પ્રવાહી નીકળવું) થઈ રહ્યું છે તેથી આ બગનું નામ ‘હાર્ટબ્લીડ' સૌથી યોગ્ય માનવામાં આવ્યું હતું. આ ઉપરાંત આ નામ તદ્દન ટૂંકુ અને જલદીથી મોઢે ચઢી જાય તેવું હતું. વળી, કોડનોમિકોનની ટીમની ઇચ્છા હતી કે એકદમ એકદમ ફ્રેન્ડલી નામ રાખવામાં આવે જેથી તેનો પ્રચાર થતાં સમય ન લાગે.

આ બગ કેવી રીતે નુકસાન પહોંચાડે છે

જો કે આ પ્રોગ્રામિંગની ખામી (બગ) હેકરને માત્ર 64 kbથી વધારે માહિતી ચોરવાનું કે ડોકિયું કરવાની પરવાનગી આપે છે. પરંતુ આ પ્રક્રિયા હેકર ઇચ્છે તેટલી વખત કરી શકે છે તેથી માહિતીભંડારની ઠંડા કાળજે ચોરી કરી શકે છે. જેનો મતલબ છે કે હેકર માત્ર યુઝરનેમ અને પાસવર્ડ જ નહીં પરંતુ cookie ડેટા જે વેબ સર્વર અને બ્રાઉઝરને માહિતી સ્ટોર કરીને મોકલવાનું કામ કરે છે તેનો પણ એક્સેસ મેળવી શકે છે. નિષ્ણાતો અનુસાર વારંવાર હેકરના હુમલા દ્વારા પ્રાઈવેટ SSL Key જે ડેટા અને વેબ ટ્રાફિકને ઍન્ક્રિપ્ટ કરે છે તેવી ગંભીર માહિતીની પણ ચોરી થઈ શકે છે. આ પ્રાઈવેટ કી દ્વારા કોઈ પણ નકલી વેબસાઈટ ચલાવી શકે છે અને ક્રેડિટ કાર્ડ નંબર અને પ્રાઈવેટ મેસેજ જેવી માહિતીઓ આસાનીથી મેળવી શકે છે.

શું તમારે પાસવર્ડ ચૅન્જ કરવો જોઈએ?

વેબ પરની મોટા ભાગની વેબસાઈટ આ બગનો શિકાર બની છે ત્યારે હા તમારે તમારો પાસવર્ડ ચૅન્જ કરવો જ જોઈએ. પરંતુ એ પહેલા તમારે એ ચેક કરવાનું રહેશે કે વેબસાઈટ આ પ્રોબ્લમ ફિક્સ કર્યો છે કે નહીં. તે જાણ્યા બાદ જ તમારો પાસવર્ડ ચૅન્જ કરો. જો તમે એક સરખો પાસવર્ડ અન્ય વેબસાઈટમાં પણ રાખ્યા હોય તો તે પાસવર્ડ પણ બદલી કાઢો. આમ તો આ પ્રોબ્લમ હોય કે ન હોય તેમ છતાં સામાન્ય રીતે પણ તમારો પાસવર્ડ અમુક સમયાંતરે બદલતાં રહેવું એ સલામતીભર્યું પગલું છે.

બચવા માટે શું કરવું?

સૌપ્રથમ તમે તમારા એકાઉન્ટ ધરાવતી વેબસાઈટ ચેક કરો કે તે Heartbleedનો શિકાર બની છે કે નહીં અને બની છે તો આ સમસ્યાનું નિરાકરણ આવી ગયું છે કે નહીં. આ માટે પાસવર્ડ સિક્યોરિટી કંપની LastPassએ હાર્ટબ્લીડ ચેક કરવાની https://lastpass.com/heartbleed/ વેબસાઈટ બનાવવી છે. જ્યાં તમે જે-તે વેબસાઈટનું નામ નાંખીને હાલની સ્થિતિ કેવી છે તે જાણી શકો છો. અહીં ચેક કરી જુઓ તમારી વેબસાઈટ ગ્રીન કલરમાં ‘Now Safe’ બતાવે પછી જ તમારો પાસવર્ડ ચૅન્જ કરો. કારણ કે એ પહેલાં પાસવર્ડ ચૅન્જ કરવાનો મતલબ નવો પાસવર્ડ પણ હેકરના હાથમાં આપવા સમાન છે.

આ આતંકની પાછળ કોણ જવાબદાર?

જાણીતા અખબાર અનુસાર આ આતંક ફેલાવનારો પ્રોગ્રામિંગ કોડ લખનાર પ્રોગ્રામરનું નામ રોબિન સેગલમેન છે. તેણે 2008 થી 2012 દરમ્યાન પોતાની Ph.Dના અભ્યાસ દરમ્યાન OpenSSL પ્રોજેક્ટ પર કામ કરતી વખતે આ સ્થિતિ સર્જાઈ હતી. આ ઘટનામાં ડ્રામાનો ઉમેરો થતાં પ્રોગ્રામરે આ કોડ 2011માં ન્યૂ યરની રાતે 11.59 વાગ્યે કોડ સબમીટ કર્યો હતો પરંતુ તેણે કહ્યું હતું કે આ errorને ટાઈમીંગ સાથે કોઈ પણ લેવા-દેવા નથી. તેણે કબૂલ્યું હતું કે મેં આ કોડ લખ્યો હતો અને તેમાં જરૂરી એવા વેલિડેશન શરતચૂક થઈ ગયા હોવાથી આ ખામી સર્જાઈ છે.

જ્યારે બીજી બાજુ અમુક નિષ્ણાતોનું એવું પણ માનવું છે કે ઓપન સોર્સ પ્રોજેક્ટમાં કોઈ પણ એક વ્યક્તિને આ ખામી માટે જવાબદાર ઠેરવવી યોગ્ય નથી. કારણ કે ઓપન સોર્સ પ્લેટફોર્મ પર પ્રોગ્રામર્સ પોતાના પ્રમાણે કોડ લખતા હોય છે જેથી ઘણી વાર ‘હાર્ટબીટ’ એક્ષટેન્શન માટે ચોક્સાઈ કરવી અઘરી બની જતી હોય છે. ખરેખરમાં ‘હાર્ટબીટ’ SSLનો મુખ્ય ભાગ નથી પરંતુ એક વધારાનું એક્ષટેન્શન છે જેથી પ્રોગ્રામર કોડિંગ કરતી વખતે તેના પર ખાસ ધ્યાન આપે નહીં તે સ્વાભાવિક બની જાય છે.

તમારા બૅન્ક એકાઉન્ટ માટે ચિંતા કરવાની જરૂર છે?

મોટા ભાગની બૅન્ક અને તેમની વેબસાઈટ OpenSSLના બદલે પ્રોપરાઈટરી ઍન્ક્રિપ્શન સોફ્ટવેરનો ઉપયોગ કરતા હોય છે. પરંતુ તમે જો શ્યોર નથી તો ડાયરેક્ટ તમારી બેન્કનો કોન્ટેક્ટ કરો અને પૂછો કે વેબસાઈટ સિક્યોર છે કે નહીં. તેમ છતાં બેન્ક વેબસાઈટ માટે નિષ્ણાતોની ખાસ સલાહ છે કે તમે ઝીણવટપૂર્વક થોડો સમય તમારા નાણાંકીય વ્યવહાર પર નજર રાખજો અને ખાસ જુઓ કે તેમાં કોઈ અયોગ્ય ચાર્જ કે વ્યવહાર ન થાય.

જુઓ મહત્વની વેબસાઈટમાં કેટલું જોખમ?

	અસર થઈ?	પ્રોબ્લમ દૂર થયો?	પાસવર્ડ ચૅન્જ કરવો?	તેઓનું શું કહેવું છે?
ફેસબુક	હા	હા	હા	અમે પ્રોટેક્શન માટેના પગલાં લઈ લીધાં છે પરંતુ અમારી વેબસાઈટ એવી કોઈ શંકાશીલ ગતિવિધી જોવા મળી નથી. તેમ છતાં યુઝર્સ પોતાનો યુનિક પાસવર્ડ સેટ કરે તેવી અમારી સલાહ છે.
ટ્વિટર	ના	હા	-	OpenSSLનો ઘણી અને ટ્વિટરની વેબસાઈટ પર ઉપયોગ થાય છે. અમે ચેક કર્યુ છે અને જાણવા મળ્યું છે કે અમારા સર્વર પર હાર્ટબ્લીડની કોઈ અસર થઈ નથી તેમ છતાં અમે તેના પર નજર રાખી રહ્યાં છીએ.
ગૂગલ	હા	હા	હા*	અમે SSLની ખામીને પકડીને અમારી ગૂગલ સર્ચ, જીમેલ, યુટ્યૂબ, વોલેટ, પ્લેસ્ટોર એમ દરેક સર્વિસ માટે જરૂરી સાવચેતીના પગલા લઈ લીધાં છે. * ગૂગલે કહ્યું છે કે યુઝર્સને પાસવર્ડ ચૅન્જ કરવાની જરૂર નથી પરંતુ તેમ છતાં ચેતતા નર સદા સુખી તેવી નીતિ અપનાવવાની સલાહ આપી છે.
યાહૂ	હા	હા	હા	જેવી અમને આ સમસ્યાની જાણ થઈ તેવું જ અમે તેના પર કામ કરવાનું શરૂ કરી દીધું હતું.
વર્ડપ્રેસ	હા	હા	હા	આ સમસ્યાની જાહેરાત થતાં જ થોડાં કલાકોમાં જ અમે યોગ્ય પલગાં લઈ લીધાં હતાં. યુઝર્સે પાસવર્ડ ચૅન્જ કરવાની જરૂર નથી પરંતુ તેમને કરવું હોય તો મોસ્ટ વેલકમ.
ઇન્સ્ટાગ્રામ	હા	હા	હા	અમને જાણ થતાં જ અમે આ પ્રોબ્લમ ફિક્સ કરી દીધો હતો. અમે ચેક કર્યું અને અમારા સર્વર અને એકાઉન્ટ્સ પર કોઈ હાનિ થઈ નથી. તેમ છતાં પાસવર્ડ ચૅન્જ કરવું એ હિતાવહ રહેશે.
લિન્ક્ડઈન	ના	ના	ના	અમે OpenSSLનો ઉપયોગ નથી કરતાં તેથી હાર્ટબ્લીડની હાજરી અમારા સર્વર્સમાં નહિવત્ છે.
એમેઝોન	ના	ના	ના	એમેઝોન પર કોઈ અસર થઈ નથી.
એપલ	ના	ના	ના	iOS અને OS X આવા સોફ્ટવેરનો ઉપયોગ ક્યારેય કરતાં નથી. અમારી સર્વિસ પર કોઈ અસર થઈ નથી.

---

This Article published in Science Supplement of Gujarat Guardian Newspaper, Surat on 26/04/2014