वेबसाइट निर्माणमा प्रयोग हुने ‘पीएचपी’ मा सुरक्षा जोखिम देखिएपछि पूर्वसावधानीका लागि अफलाइन गराइएका सरकारी तथा बैंकिङ वेबसाइट मंगलबारभित्रै सञ्चालनमा आउने सरकारले जनाएको छ ।
काठमाडौँ — वेबसाइट निर्माण तथा ‘सर्भर–साइड’ मा प्रयोग गरिने ‘प्रोग्रामिङ ल्याङ्वेज’ हाइपरटेक्स प्रिप्रोसेसर (पीएचपी) मा सुरक्षा त्रुटि पत्ता लागेसँगै गत बुधबारदेखि विश्वभरका मुख्य सरकारी र बैंकिङ वेबसाइट अस्थायी रूपमा बन्द (अफलाइन) गरिएका छन् । नेपालमा पनि हजारौं सरकारी वेबसाइट एउटै साझा ‘टेम्प्लेट’ मा बनेकाले सबैलाई ‘सेन्ट्रल्ली अफलाइन’ गराइएको छ ।
डेभलपर कम्पनी ‘द पीएचपी फाउन्डेसन’ ले बुधबार सुरक्षा त्रुटि र प्याच (सुरक्षा अपडेट) सार्वजनिक गरेलगत्तै वेबसाइटहरू ‘अफलाइन’ गराउन थालिएका थिए । यही कारण नेपालमा पनि हाल विभिन्न मन्त्रालय, विभाग, आयोग तथा सरकारी कार्यालयका वेब पोर्टल खुलेका छैनन् । प्रधानमन्त्री तथा मन्त्रिपरिषद् कार्यालयअन्तर्गतको सफ्टवेयर विकास तथा सञ्चालन केन्द्रले सरकारी वेबसाइट मंगलबारसम्ममा एकसाथ पुनः सञ्चालनमा आउने जनाएको छ ।
अहिले नेपाल राष्ट्र बैंकको आधिकारिक वेबसाइट र वेबमा आधारित सेवासमेत अस्थायी रूपमा बन्द गरिएको छ । निजी बैंक तथा वित्तीय संस्थाले सूचना जारी गर्दै सुरक्षा प्रणाली सुधारका लागि वेबसाइट तथा डिजिटल सेवा बन्द गरिएको जनाएका छन् । राष्ट्र बैंकले सम्पूर्ण बैंक तथा वित्तीय संस्था, भुक्तानी प्रणाली सञ्चालक र सेवा प्रदायकलाई आ–आफ्नो प्रणालीको सुरक्षा निगरानी बढाउन अपिल गरेको छ । राजस्व अनुसन्धान विभागअन्तर्गतको मालवाहक सवारीसाधन ट्र्याक गर्ने ‘भीसीटीएस’ प्रणाली बन्द छ । पीएचपी तथा त्यससँग सम्बन्धित प्रविधिमा गम्भीर जोखिम देखिएको उल्लेख गर्दै विभागले सो प्रविधि दुरुपयोग हुन सक्ने जोखिमलाई ध्यान दिँदै भीसीटीएस सेवा बन्द गरिएको सूचना जारी गरेको छ । ‘हाललाई नियमानुसार जारी भएका बिल बीजक लगायतका सम्बन्धित कागजात साथमा राखी सवारीसाधन सञ्चालन गर्न सकिनेछ र प्रणाली पुनः सञ्चालनमा आएपछि सम्बन्धित सेवाग्राही, करदाता तथा निकायले यथाशीघ्र ढुवानीको भीसीटीएस नियमानुसार जारी गर्नुपर्नेछ,’ विभागको सूचनामा भनिएको छ । प्रणालीमा आवश्यक सुरक्षा अद्यावधिक गरेपछि सेवा पुनः सञ्चालनमा ल्याइने विभागले जनाएको छ ।
एक साता लामो दसैं बिदापछि सोमबार कार्यालय खुल्दा सरकारी वेबसाइट चल्ने/नचल्ने यकिन छैन । प्रधानमन्त्री तथा मन्त्रिपरिषद् कार्यालयअन्तर्गतको सफ्टवेयर विकास तथा सञ्चालन केन्द्रले भने सोमबार वा मंगलबारसम्म सरकारी वेबसाइट एकैसाथ पुनः सञ्चालनमा आउने जनाएको छ । केन्द्रका प्रमुख कार्यकारी अधिकृत (सीईओ) किरण तिमिल्सिनाका अनुसार पीएचपी प्रयोग नभएका प्रणाली ५ कात्तिकदेखि नै सञ्चालनमा ल्याइएका छन् भने बाँकी प्रणालीको ‘अडिट’ भइरहेको छ । ‘नेपाल सरकारका धेरैजसो वेबसाइट जीआईडब्लूआईएमएस नामक साझा प्रणालीमा चलेका छन्, यही प्रणालीको हाल अडिट भइरहेको हो,’ सीईओ तिमिल्सिनाले भने, ‘आइतबार साँझसम्म आवश्यक प्राविधिक निर्णय लिइनेछ । यस प्रणालीलाई सेन्ट्रल्ली प्याच गर्नेबित्तिकै आइतबार साँझदेखि सोमबार/मंगलबारसम्म हजारौं सरकारी वेबसाइट एकैसाथ लाइभ हुन्छन् ।’
दसैं बिदाको अवधिमा सरकारी कार्यालय बन्द रहेकाले सर्वसाधारणले ठूलो सास्ती व्यहोर्नु नपरेको उनले बताए । सोमबारदेखि कार्यालय खुल्ने भएकाले त्यसअघि नै वेबसाइट सञ्चालन गर्ने गरी काम भइरहेको उनले जानकारी दिए ।
सफ्टवेयर विकास तथा सञ्चालन केन्द्रसँगै राष्ट्रिय साइबर सुरक्षा केन्द्र र एकीकृत डेटा व्यवस्थापन केन्द्रका इन्जिनियरहरू पनि प्रणालीलाई सुरक्षित रूपमा पुनः सञ्चालनमा ल्याउन प्रयासरत रहेको यी निकायका प्रमुखहरूले कान्तिपुरलाई बताएका छन् । उनीहरूका अनुसार दसैंको टीकाकै दिन पीएचपीको समस्या थाहा हुनासाथ प्रणाली अफलाइन गर्न थालिएको थियो । साइबर सुरक्षा केन्द्रले भोलिपल्ट ५ कात्तिकमा एडभाइजरी जारी गर्दै केन्द्रका कम्प्युटर अधिकृत आशिष भट्टलाई फोकल पर्सन तोकेर समस्या समाधानमा सहजीकरण गरिरहेको केन्द्रका निर्देशक एवं प्रवक्ता राजकुमार महर्जनले बताए । केन्द्रले यो समस्या समाधानका लागि प्रणालीहरू अद्यावधिक गर्न निर्देशन दिएको छ ।
‘पूर्वसावधानी अपनाउँदै प्रणालीहरू बन्द गरिएका हुन्,’ महर्जनले भने, ‘यसकै कारणले हालसम्म नेपालमा कुनै पनि अनधिकृत पहुँच वा साइबर आक्रमणको घटना भने भएको छैन ।’ अधिकांश सरकारी वेब पोर्टल बन्द हुँदा अनलाइन सूचना तथा सेवा प्रवाह भने प्रभावित भएको छ । प्राविधिकहरूका अनुसार पुराना पीएचपी संस्करण (८.१ वा त्यसभन्दा पुराना भर्सन) मा बनेका प्रणालीलाई नयाँ सुरक्षित संस्करणमा लैजान केही जटिलता देखिएको छ । ‘पीएचपी ८.१ वा सोभन्दा पुराना संस्करणको आयु गुज्रिसकेकाले आधिकारिक सुरक्षा प्याच वा फिक्स उपलब्ध छैन,’ एक सरकारी आईटी इन्जिनियरले भने, ‘पीएचपीले पुराना संस्करणका लागि केही अस्थायी उपाय सुझाएको भए पनि अस्थायी बाटो रोज्नुभन्दा स्थायी रूपमै अपग्रेड गरेर नयाँ संस्करणमा प्याच इन्स्टल गर्नु उपयुक्त हुन्छ तर त्यसका लागि समय लाग्छ ।’
सफ्टवेयर विकास तथा सञ्चालन केन्द्रले प्याचिङ (सुरक्षा अपडेट) र परीक्षण सम्पन्न भएपछि प्रणालीहरू क्रमशः सञ्चालनमा ल्याइने स्पष्ट पारेको छ । ‘प्याच’ भनेको सफ्टवेयर वा प्रोग्रामिङ ल्याङवेजको कोडिङ स्क्रिप्टमा देखिएको सुरक्षा त्रुटि वा प्वाल टाल्न र सच्याउन डेभलपरहरूले जारी गर्ने ‘सुरक्षा कवच’ हो । यसलाई ‘सेक्युरिटी अपडेट’ भनेर बुझिन्छ । पुराना संस्करणका पीएचपीमा यस्तो सुरक्षा प्याच उपलब्ध नभएकाले त्यस्ता प्रणालीलाई नयाँ र सुरक्षित संस्करणमा अपग्रेड गर्नुपर्ने बाध्यता छ ।
२१ अक्टोबर (४ कात्तिक) को बेलुका पीएचपी फाउन्डेसनले पीएचपीमा दुई वटा सुरक्षा जोखिम (सीभीई) रहेको सार्वजनिक गरेको थियो । सुरक्षा जोखिमहरू सार्वजनिक गर्दा डेभलपरले त्यसको प्याच पनि सार्वजनिक गर्छन् । कुनै नयाँ अपडेट, सफ्टवेयरको फिक्स वा सुरक्षा प्याचलाई मुख्य सर्भरबाट नेटवर्कका अन्य विभिन्न सर्भर, क्लाउड प्रणाली वा प्रयोगकर्ताका सिस्टमसम्म पुग्न र सक्रिय हुन निश्चित समय लाग्ने एसडीओसीका प्रमुख तिमिल्सिनाले बताए । उनका अनुसार पीएचपीको सुरक्षा कमजोरीलाई सच्याउने प्याच विश्वभरका विभिन्न सर्भर र प्रणालीमा पूर्ण रूपमा पुगेर लागू हुन केही घण्टादेखि साता दिनसम्म लाग्न सक्ने भएकाले अफलाइन गरिएका वेबसाइटहरू पुनः लाइभ गर्न समय लागेको हो ।
‘हामीले केन्द्रको वेबसाइटलगायत केही प्रणालीमा ४ कात्तिकको राति नै प्याच इन्स्टल गरेर वेबसाइट पुनः लाइभ गर्यौं,’ तिमिल्सिनाले भने, ‘पीएचपी प्रयोग नभएका मेल सर्भरजस्ता अन्य प्रणाली भने भोलिपल्टै सञ्चालनमा ल्यायौं । बाँकी प्रणालीको अहिले अडिट भइरहेको छ । पुराना संस्करणका प्रविधिमा बनेका प्रणालीमा नयाँ सेक्युरिटी प्याच हाल्नु मात्रै पूर्ण समाधान होइन । हाम्रा पुराना प्रणालीको सोर्स कोड अडिट भएको रहेनछ । त्यसैले नयाँ संस्करणमा अपग्रेड गर्नुका साथै ती पुराना प्रणालीमा पहिलेदेखि नै रहिरहेका अन्य सम्भावित सुरक्षा त्रुटि पहिचान गर्न सोर्स कोड अडिटलाई जोड दिएका छौं ।’
वार्षिक मर्मत सम्झौता (एएमसी) भएका प्रणालीको हकमा सम्बन्धित भेन्डरले नै समस्या सम्बोधन गर्नुपर्ने भएकाले केन्द्रले सहजीकरण मात्रै गरिरहेको तिमिल्सिनाले जानकारी दिए । एएमसी नभएका प्रणालीहरू केन्द्रमा आएपछि सोर्स कोड अध्ययन र ह्यान्डओभर डकुमेन्टेसन हेरेर प्रत्येक प्रणालीबारे निर्णय लिइरहेको उनले बताए । ‘लोक सेवा आयोग जस्ता अत्यावश्यक निकायका प्रणाली चाँडै लाइभ गरिहाल्नुपर्नेछ,’ उनले भने, ‘बिदाका कारण डकुमेन्टेसन र होस्टिङ विवरण पाउन समय लागे पनि आइतबार वा सोमबार/मंगलबारसम्म प्रणाली लाइभ भइसक्नेछन् ।’ नबिल, सानिमा, नेपाल इन्भेस्टमेन्ट मेगालगायत बैंकहरूले भने केही समय सेवा अवरुद्ध भए पनि हाल प्रणाली अद्यावधिक गरी सेवा पुनः सञ्चालन गरिसकेका छन् ।
विश्वभर ७० प्रतिशतभन्दा बढी वेबसाइट सञ्चालनका लागि पीएचपी प्रयोग हुने गरेको अन्तर्राष्ट्रिय सञ्चारमाध्यमले उल्लेख गरेका छन् । गुगल मातहतको साइबर सुरक्षा अनुसन्धान संस्था ‘विज’ का अनुसार पीएचपीको मुख्य इन्जिनमै वर्षौंदेखि रहिआएको पुरानो कमजोरीका कारण यस्तो विश्वव्यापी संकट पैदा भएको हो । यस जोखिमलाई ‘पीएचपी टु सेल’ नाम दिइएको छ । यसलाई ‘सीभीई– २०२६– १०९६१८’ र ‘सीभीई– २०२६– १०९६१९’ का रूपमा वर्गीकरण गरिएको छ । विजका अनुसार यो कमजोरी दुरुपयोग गरी आक्रमणकारीले सर्भरमा पहुँच बनाएर कोड चलाउन र संवेदनशील तथ्यांक चोरी गर्न सक्छन् ।
बीबीसीका पत्रकारद्वय लिभ म्याकमोहन र असमन्ड सियाका अनुसार यो जोखिम वर्षौंदेखि कोडमा रहिआएको थियो तर मानव अनुसन्धानकर्ताका लागि पत्ता लगाउन निकै जटिल थियो । ‘ओपनएआई’ को आर्टिफिसियल इन्टेलिजेन्स मोडल र विज तथा क्यालिफका अनुसन्धानकर्ताको सहयोगमा यो गम्भीर प्राविधिक त्रुटि बाहिर आएको हो ।
अन्तर्राष्ट्रिय साइबर सुरक्षा एजेन्सी र अमेरिकी राष्ट्रिय सुरक्षा एजेन्सीले तुरुन्तै सेक्युरिटी प्याच लगाउन नसकिने प्रणालीलाई इन्टरनेटबाट अलग राख्न (आइसोलेट गर्न) सुझाव दिएका छन् । पीएचपी फाउन्डेसनले यो जोखिम समाधानका लागि नयाँ सुरक्षित संस्करणहरू सार्वजनिक गरिसकेको छ । तिनमा ८.२.३५ प्लस, ८.३.३६ प्लस, ८.४.२७ प्लस, ८.५.१२ प्लसलगायत छन् । विज्ञहरूका अनुसार सर्भरमा नयाँ प्याच इन्स्टल गरी वेब सर्भर पुनः सञ्चालन गरे वेबसाइट बलियो हुनेछ । साइबर सुरक्षा केन्द्रको एडभाइजरीमा प्याचिङ गर्ने तरिका चरणबद्ध रूपमा उल्लेख गरिएको छ । सबैभन्दा पहिले आफ्नो सर्भर वा प्रणालीमा कुन पीएचपी संस्करण चलिरहेको छ भन्ने जाँच गरिन्छ । त्यसपछि आधिकारिक निकायले उपलब्ध गराएका स्क्यानर स्क्रिप्टमार्फत प्रणाली जोखिममा छ या छैन भन्ने पहिचान गरिन्छ ।
जोखिम पहिचान भएपछि पीएचपीको नयाँ र सुरक्षित संस्करणमा प्रणालीलाई अपग्रेड गरिन्छ । यस चरणमा अनधिकृत वा शंकास्पद स्रोतबाट नभई पीएचपीकै आधिकारिक लिंक तथा प्याकेज म्यानेजरबाट सेक्युरिटी प्याच डाउनलोड गरी इन्स्टल गर्नुपर्ने साइबर सुरक्षा केन्द्रका निर्देशक महर्जनले बताए । सर्भरमा प्याच इन्स्टल गर्दैमा प्रणालीमा नयाँ सुरक्षा कोड लागू नहुने भएकाले पीएचपी–एफपीएम, अपाचे तथा ब्याकग्राउन्डमा चलिरहेका सम्पूर्ण पीएचपी सर्भिस अनिवार्य रूपमा रिस्टार्ट गर्नुपर्छ ।
सजना बराल कान्तिपुरमा कार्यरत पत्रकार हुन् । उनी सञ्चार,सूचना प्रविधि बिटमा कलम चलाउँछिन् ।
