नोड जेएस र पीएचपीमा देखिएका गम्भीर सुरक्षा कमजोरीबाट सम्भावित साइबर आक्रमणको जोखिम टार्न प्रणालीहरू अपडेट र परीक्षण तीव्र पारिएका बेला सरकारले एकीकृत सुरक्षा एसओपी र एसएसएल प्रमाणपत्र अनिवार्य गर्ने तयारी गरेको छ ।
काठमाडौँ — वेबसाइट निर्माणका तथा व्यवस्थापनका लागि प्रयोग गरिने ‘पीएचपी’ स्क्रिप्टिङ ल्याङ्वेजमा सुरक्षा त्रुटि देखिएपछि सरकारी वेबसाइटहरू गत बुधबारदेखि आइतबारसम्म अफलाइन गरिएका थिए । तिनमा सुरक्षा प्याच राखेर भर्खर पुनः सञ्चालनमा ल्याउन नपाउँदै अहिले फेरि अर्को प्रणाली ‘नोड डट जेएस’ मा सुरक्षा कमजोरी पहिचान भएको छ ।
राष्ट्रिय साइबर सुरक्षा केन्द्रले बुधबार सूचना र एड्भाइजरी जारी गर्दै प्याच राख्न र एसएसएल/टीएलएस सर्टिफिकेट अनिवार्य लागू गर्न भनेको छ । नोड एउटा रनटाइम इन्भाइरोनमेन्ट हो, यसले जाभास्क्रिप्ट कोडलाई कम्प्युटर वा सर्भरमा चलाउन मद्दत गर्छ । पहिले जाभास्क्रिप्टलाई वेब ब्राउजरभित्र मात्र चलाउन मिल्थ्यो । तर, नोड आएपछि यसलाई सर्भर साइडमा पनि चलाउन सम्भव भएको हो ।
पीएचपी टु सेल जोखिमपछि अफलाइन गरिएका कतिपय सरकारी वेबसाइट अझै सञ्चालनमा आइनसक्दै अर्को जोखिमबारे पहिचान भएको हो । यतिबेला सरकारी निकायहरू वेबसाइटमा सुरक्षा प्याच लागू गर्न र भर्सन अपडेटको चटारोमा छन् । प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गतको साइबर सुरक्षा केन्द्रले ‘नोड डट जेएस रनटाइम’ मा ‘नोड टु सेल’ (सीभीई–२०२६–१११४९७) नामक गम्भीर सुरक्षा कमजोरी पहिचान भएको जनाउँदै विशेष सुरक्षा एड्भाइजरी जारी गरेको छ ।
विश्वभर सार्वजनिक भएका साइबर सुरक्षाका कमजोरीको सूची राख्ने ‘सीभीई डट ओआरजी’ ले नोडमा देखिएको कमजोरीलाई कुल १० मध्ये ९.२ अंक दिँदै ‘अति गम्भीर’ सूचीमा राखेको छ । यसअघि ‘पीएचपी टु सेल’ को स्कोर पनि ९.२ नै थियो । यस्ता कमजोरीको दुरुपयोग गरेर प्रणालीमा अनधिकृत पहुँच प्राप्त हुने, सेवा अवरुद्ध हुने र चलिरहेका कार्यमा अनधिकृत नियन्त्रण कायम हुन सक्ने जोखिम रहेको केन्द्रले जनाएको छ ।
संवेदनशील डिजिटल प्रणाली तथा वेब एप्लिकेसनलाई सम्भावित साइबर आक्रमणबाट बचाउन केन्द्रले सम्बन्धित सबै निकायलाई नोड डट जेएसको प्रयोग भइरहेको संस्करण तत्काल अपग्रेड गर्न निर्देशन दिएको छ । एड्भाइजरीमा नोड डट जेएसको संस्करण जाँच गरी नयाँ र सुरक्षित संस्करणमा लैजान आग्रह गरिएको छ । म्याद सकिएका पुराना संस्करणमा आवश्यक सुरक्षा प्याच उपलब्ध नहुने भएकाले तिनलाई अविलम्ब अद्यावधिक गर्नुपर्ने भनिएको छ ।
अघिल्लो पटकझैं यसपालि वेबसाइटहरू ‘अफलाइन’ नगरिने साइबर सुरक्षा केन्द्रको भनाइ छ । तथापि सुरक्षा प्याच अविलम्ब लागू गरिहाल्न केन्द्रको निर्देशन छ । एड्भाइजरीमा कुन भर्सनलाई केमा अपग्रेड गर्ने र अपग्रेडको तरिकाबारे चरणबद्ध रूपमा जानकारी दिइएको छ । पछिल्लो समय पीचएपी र नोड डट जेएस गरी एकपछि अर्को प्लाटफर्ममा समस्या देखिए त्यसलाई फिक्स गर्ने र प्रणाली पुनः लाइभ गर्ने कार्य साइबर सुरक्षाको नियमित अभ्यासभित्र पर्ने सूचना प्रविधि तथा विद्युतीय शासन कार्यालयका सहसचिव सुभाष ढकालले बताए ।
कुनै पनि प्रणालीमा कमजोरी सार्वजनिक हुनासाथ आक्रमणकारीले दुरुपयोग गर्ने जोखिम हुने भएकाले पूर्वसावधानीस्वरूप प्रणालीहरूलाई डिस्कनेक्ट (अफलाइन) गरेर सुरक्षा अपग्रेड गर्ने गरिएको ढकालको भनाइ छ । विद्युतीय शासन कार्यालयले संघअन्तर्गतका मन्त्रालय र विभागका वेबसाइटको सुरक्षा स्थिति नियमित अनुगमन गर्ने गरी ट्र्याकिङ र परीक्षण सुरु गरेको पनि उनले जनाए । ‘साइबर सुरक्षा भनेको निरन्तर सुधारको प्रक्रिया हो, यो कहिल्यै शतप्रतिशत वा पूरा हुँदैन,’ उनले भने, ‘गाडी चलाउँदा दुर्घटना हुँदैन भन्ने ग्यारेन्टी नभएजस्तै आफ्नो गाडीलाई राम्रो अवस्थामा राख्ने र सावधानी अपनाउने जस्तै प्रणालीलाई पनि निरन्तर अद्यावधिक र सुरक्षित राखिनुपर्छ ।’
सरकारको एकीकृत डेटा व्यवस्थापन केन्द्रमा होस्ट भएका प्रणालीहरूको रनटाइम अपडेट र सुरक्षा प्याच कार्यान्वयनमा प्राविधिक सहजीकरण र समन्वय गर्न कम्प्युटर अधिकृतद्वय आशिष भट्ट र मुकेश कुशवाहलाई सम्पर्क व्यक्ति तोकिएको छ । प्रणाली अद्यावधिक गरेपछि अनिवार्य रूपमा सुरक्षा परीक्षण गर्न र कुनै शंकास्पद गतिविधि देखिएमा लग तथा डिजिटल प्रमाण सुरक्षित राखी केन्द्रलाई खबर गर्न भनिएको छ । अतिरिक्त सुरक्षाका लागि ब्रोट्ली डिकम्प्रेसन, डीएनएस र टीएलएस प्रमाणपत्र प्रमाणीकरणको पुनरावलोकन गर्नसमेत निर्देशन दिइएको छ ।
केन्द्रले सरकारी तथा सार्वजनिक निकायका आधिकारिक वेबसाइट सुरक्षित राख्न एसएसएल/टीएलएस सर्टिफिकेट अनिवार्य रूपमा लागू गर्न अर्को परिपत्र जारी गरेको छ । डिजिटल सेवाहरूको सुरक्षा, गोपनीयता र विश्वसनीयताका लागि प्रयोगकर्ताको डेटा ट्रान्सफर इन्क्रिप्ट गर्न अनिवार्य गरिएको हो । यसका लागि संघ, प्रदेश र स्थानीय तहका सम्पूर्ण सरकारी निकायलाई पत्राचार गरिएको छ । ‘हालैका दिनमा साइबर सुरक्षा जोखिम बढ्दै गएको सन्दर्भमा, प्रयोगकर्ताको डेटा ट्रान्सफरलाई इन्क्रिप्ट गरी सुरक्षित बनाउन वेबसाइटहरूमा प्रचलित सुरक्षा मापदण्डबमोजिम टीएलएस १.२ वा टीएलएस १.३ प्रोटोकलसहितको वैध एसएसएल/टीएलएस सर्टिफिकेट अनिवार्य हुनुपर्छ,’ सूचनामा भनिएको छ ।
केन्द्रले वेबसाइटहरूमा हाल प्रयोग भइरहेका प्रमाणपत्रको वैधता तत्काल जाँच्न र म्याद सकिएका वा प्रमाणपत्र नभएका वेबसाइटमा नयाँ जडान गर्न भनेको छ । वेबसाइटहरू अनिवार्य रूपमा ‘एचटीटीपीएस’ प्रविधिबाट मात्र सञ्चालन हुनुपर्ने उल्लेख छ । वेबसाइटको सुरक्षामा हुने लापरबाहीले गम्भीर साइबर आक्रमण निम्त्याउन सक्ने भएकाले यस विषयलाई उच्च प्राथमिकतामा राख्न जोड दिइएको छ । म्याद सकिनुअघि नै प्रमाणपत्र नियमित रूपमा नवीकरण गर्ने व्यवस्था मिलाउनसमेत निर्देशन दिइएको छ ।
पीएचपी र नोडजस्ता प्रविधिमा देखिने सुरक्षा कमजोरीलाई नियमित प्राविधिक प्रक्रियाका रूपमा लिनुपर्ने साइबर सुरक्षा विज्ञ मोना न्याँछो बताउँछिन् । प्रविधिमा हरेक साता दुई वटासम्म साना–ठूला सुरक्षा कमजोरी एक्सपोज भइरहने भएकाले यस्ता घटनाले सरकारी तथा निजी दुवै क्षेत्रमा असर पार्ने उनको भनाइ छ । ‘यस्ता समस्या देखिनासाथ सरकारी निकायले सर्भरहरूलाई अफलाइन गरेर प्याच तथा अपग्रेड गर्ने जुन काम गरेका छन्, त्यो प्रारम्भिक रूपमा गर्नैपर्ने र सही अभ्यास हो,’ उनले भनिन्, ‘तर, प्रविधिमा समस्या आउँदा निजी क्षेत्रले सरकारी निकायको तुलनामा अलि छिटो रेस्पोन्स गर्ने गरेको देखिन्छ । नेपालमा धेरैजसो वेबसाइट पीएचपीमा आधारित भएकाले पछिल्लो समय यसको असर धेरै देखियो ।’
प्रणालीमा देखिएका कमजोरी फिक्स वा प्याच गरेर मात्रै डिजिटल सुरक्षा पूर्ण नहुने भएकाले फिक्स गरिसकेपछि प्रणालीको पूर्ण सेक्युरिटी अडिट र ‘भल्नरबिलिटी एसेसमेन्ट’ गरिनुपर्नेमा न्याँछोको जोड छ । सरकारी निकायहरूले समस्या समाधानपछि पर्याप्त अडिट गरे/नगरेको विषयमा स्पष्ट जानकारी बाहिर नआएको उनले बताइन् । साइबर सुरक्षालाई एक पटक मात्र परीक्षण गरेर छाड्ने नभई नियमित गर्नुपर्ने उल्लेख गर्दै उनले दैनिक, साप्ताहिक र मासिक रूपमा सुरक्षा जाँच गर्ने स्पष्ट गाइडलाइन हुनुपर्ने औंल्याइन् ।
‘हरेक राति अटोमेटेड प्रणालीमार्फत नाइन्टली रन चलाएर द्रुत परीक्षण, सातामा विस्तृत जाँच र महिनामा अडिट गर्ने अन्तर्राष्ट्रिय अभ्यास भए पनि नेपाल अझै त्यो स्तरसम्म पुगिसकेको छैन,’ उनले भनिन्, ‘विगतमा केही नगर्ने परिपाटीको तुलनामा हाल साइबर सुरक्षा केन्द्रले छिटो–छरितो रूपमा सर्भर डाउन गरी काम गर्नु सराहनीय काम हो । तर यो शैली आगो लागेपछि दमकलले निभाएजस्तो मात्रै हो ।’
साइबर सुरक्षामा दिगो सुधार ल्याउन सरकारले पर्याप्त बजेट विनियोजन गरी लगानी बढाउनुपर्ने र दैनिक/साप्ताहिक सुरक्षा प्रक्रिया समेटिएको एसओपी बनाएर कडाइका साथ लागू गर्नुपर्ने उनको सुझाव छ । सूचना प्रविधि तथा विद्युतीय शासन कार्यालयका सहसचिव ढकालले भने सरकारी डिजिटल प्रणालीलाई थप व्यवस्थित र सुरक्षित बनाउन सुरक्षा एसओपीको मस्यौदा तयार पारिसकेको र चाँडै जारी गर्ने तयारी गरेको बताए ।
‘सरकारी डिजिटल प्रणालीलाई थप व्यवस्थित र सुरक्षित बनाउन सुरक्षा एसओपीको मस्यौदा तयार भइसकेको छ,’ ढकालले भने, ‘विभिन्न निकायका डिजिटल प्रणालीलाई कसरी सुरक्षित बनाउने र कुन प्रकृतिको वा कस्तो तहको प्रणालीका लागि कति स्तरको सुरक्षा मापदण्ड कायम गर्नुपर्छ भन्ने स्पष्ट प्राविधिक मार्गनिर्देशन यसमा हुनेछ ।’
सजना बराल कान्तिपुरमा कार्यरत पत्रकार हुन् । उनी सञ्चार,सूचना प्रविधि बिटमा कलम चलाउँछिन् ।
