- FROST কৌশলটি ম্যালওয়্যার ইনস্টল না করেই ব্যবহারকারীর কার্যকলাপ ট্র্যাক করতে Origin Private File System (OPFS) ব্যবহার করে।
- গবেষণায় দেখা গেছে, অ্যাপল ম্যাক ডিভাইসে ভিজিট করা ওয়েবসাইট শনাক্ত করার ক্ষেত্রে সাফল্যের হার উদ্বেগজনকভাবে ৯৬ শতাংশ।
- ইনকগনিটো মোডের মতো আধুনিক গোপনীয়তা ব্যবস্থা এই হার্ডওয়্যার-স্তরের ফিঙ্গারপ্রিন্টিংয়ের বিরুদ্ধে কোনো সুরক্ষা দেয় না।
- গুগল এবং অ্যাপলের মতো প্রধান প্রযুক্তি সংস্থাগুলো এই দুর্বলতার জন্য এখনো কোনো আনুষ্ঠানিক নিরাপত্তা প্যাচ প্রয়োগ করেনি।
ভাবুন তো, কোনো ক্ষতিকর প্রোগ্রাম ইনস্টল করা ছাড়াই আপনার হার্ডওয়্যার কোনো ক্ষতিকারক ওয়েবসাইটে আপনার গোপন কথা ফিসফিস করে বলে দিচ্ছে। গ্রাজ ইউনিভার্সিটি অফ টেকনোলজির গবেষকরা FROST নামে পরিচিত একটি অভিনব সাইবার আক্রমণ কৌশলের মাধ্যমে মূলত এমনই একটি বিষয় আবিষ্কার করেছেন । শুধুমাত্র ক্ষতিকারক জাভাস্ক্রিপ্ট চালিত কোনো সাইটে প্রবেশ করার মাধ্যমেই আপনার কম্পিউটারের স্টোরেজ ড্রাইভটি প্রকাশ করে দিতে পারে যে, আপনি সম্প্রতি অনলাইনে আর কোথায় কোথায় সময় কাটিয়েছেন।
এটা শুধু তাত্ত্বিক ভীতি নয়; এই পদ্ধতিটি ম্যাক কম্পিউটারে ৯৬% এর মতো বিস্ময়কর নির্ভুলতার হার দেখিয়েছে , যদিও উইন্ডোজ সিস্টেমেও এর দুর্বলতা দেখা গেছে, তবে তা কিছুটা কম মাত্রায় এবং সামগ্রিকভাবে ৮৯% সফলতার হার রয়েছে। দেখা যাচ্ছে যে, আধুনিক সলিড-স্টেট ড্রাইভের (এসএসডি) যে গতি আমরা পছন্দ করি, ঠিক সেই গতিই অনধিকার প্রবেশকারীদের জন্য এই ধরনের হার্ডওয়্যার ফিঙ্গারপ্রিন্টিং সম্ভব করে তোলে।
ফ্রস্ট আক্রমণের পেছনের প্রযুক্তিগত কৌশল
FROST নামটি “Fingerprinting Remotely using OPFS-based SSD Timing” এর সংক্ষিপ্ত রূপ, এবং এটি কম্পিউটারের ঠিক সেই জায়গাতেই কাজ করে যেখানে এটি সবচেয়ে বেশি কার্যকর। এই সমস্যার মূলে রয়েছে অরিজিন প্রাইভেট ফাইল সিস্টেম (OPFS) , যা আধুনিক ব্রাউজারগুলোর একটি ফিচার এবং এটি ওয়েব অ্যাপগুলোকে বিদ্যুতের গতিতে ফাইল পড়তে ও লিখতে সাহায্য করে। অনলাইন ভিডিও এডিটর বা ব্রাউজার-ভিত্তিক গেমের জন্য এটি একটি চমৎকার টুল, কিন্তু ভুল হাতে পড়লে এটি আপনার অভ্যাসের মাপকাঠি হয়ে দাঁড়ায়।
এই এপিআই ব্যবহার করে, একজন আক্রমণকারী আপনার এসএসডি-র মধ্যে একটি বিচ্ছিন্ন ফাইল সিস্টেম তৈরি করতে পারে, যা ডেটা অ্যাক্সেসের সময়ের সূক্ষ্ম ওঠানামা পর্যবেক্ষণ করে । এই পরিবর্তনগুলো মানুষের কাছে নগণ্য মনে হতে পারে, কিন্তু এগুলো এমন স্বতন্ত্র প্যাটার্ন তৈরি করে যা বিশ্লেষণ করে বোঝা যায় ব্যবহারকারী অন্য ট্যাবগুলোতে কী করছেন বা সম্প্রতি কী দেখেছেন।
এআই এবং ওয়েবসাইটগুলির অনন্য ডিজিটাল পদচিহ্ন
সিস্টেমটি একবার এসএসডি থেকে পর্যাপ্ত টাইমিং ডেটা সংগ্রহ করে ফেললে, আসল জাদু—কিংবা বলা ভালো, ভয়ের অংশটি— কৃত্রিম বুদ্ধিমত্তা এবং কনভোলিউশনাল নিউরাল নেটওয়ার্কের মাধ্যমে ঘটে । এই বিশেষায়িত এআই-কে জনপ্রিয় ওয়েবসাইটগুলো আপনার হার্ডওয়্যারে যে নির্দিষ্ট “ফিঙ্গারপ্রিন্ট” রেখে যায়, তা শনাক্ত করার জন্য প্রশিক্ষণ দেওয়া হয়। গবেষণাকালে দলটি দেখতে পায় যে:
- বড় প্ল্যাটফর্ম যেমন গুগল এবং ইউটিউব ব্যাপক ল্যাটেন্সি স্পাইক তৈরি করে। যেগুলো এআই-এর পক্ষে শনাক্ত করা অত্যন্ত সহজ।
- সার্চ বা ভিডিও স্ট্রিমের সময় একটি SSD যেভাবে ভৌতভাবে ডেটা পরিচালনা করে তা হলো স্বাক্ষর হিসেবে ব্যবহার করার জন্য যথেষ্ট অনন্য.
- আপনি সতর্ক থাকলেও, সিস্টেমটি পারে উচ্চ নির্ভুলতার সাথে ব্রাউজিং ইতিহাস পুনর্গঠন করুন শুধুমাত্র এই হার্ডওয়্যার প্রতিক্রিয়াগুলোর উপর ভিত্তি করে।
সবচেয়ে উদ্বেগের বিষয়গুলোর মধ্যে একটি হলো, এই পদ্ধতির বিরুদ্ধে আপনার ব্রাউজারের ইনকগনিটো বা প্রাইভেট মোড সম্পূর্ণ অকার্যকর । যেহেতু FROST আপনার কুকিজ বা সংরক্ষিত হিস্টোরিকে পাত্তা দেয় না এবং এর পরিবর্তে SSD-এর ভৌত আচরণের উপর নজর রাখে, তাই প্রাইভেটভাবে ব্রাউজ করলেও একটি পেজ লোড হওয়ার সময় ড্রাইভে তৈরি হওয়া টেম্পোরাল ও ফিজিক্যাল প্যাটার্নগুলো গোপন থাকে না।
শিল্প খাতের প্রতিক্রিয়া এবং কীভাবে সুরক্ষিত থাকবেন
বিষয়টি জনসমক্ষে আনার আগে গবেষকরা এই শিল্পের শীর্ষস্থানীয় প্রতিষ্ঠানগুলোর সাথে যোগাযোগ করেছিলেন। তবে, তাদের সাড়া ছিল কিছুটা নিরুৎসাহজনক; গুগলের ক্রোমিয়াম ডেভেলপাররা এটিকে সরাসরি কোনো নিরাপত্তা ঝুঁকি হিসেবে দেখেনি , অন্যদিকে অ্যাপল আপাতত এটিকে “আলোচনার আওতার বাইরে” বলে চিহ্নিত করেছে। মোজিলা এই গবেষণার ফলাফল স্বীকার করলেও এখনো কোনো নির্দিষ্ট সমাধান আনেনি। মনে হচ্ছে, আপাতত কোনো সম্ভাব্য আক্রমণ শনাক্ত করার দায়িত্ব ব্যবহারকারীর ওপরই বর্তায় ।
বিশেষজ্ঞরা ডিস্কের উপলব্ধ স্থান হঠাৎ এবং ব্যাপকভাবে কমে যাওয়ার দিকে নজর রাখার পরামর্শ দেন , যেখানে কখনও কখনও একবারে শত শত গিগাবাইট জায়গা কমে যায়। এমনটা ঘটে কারণ পারফরম্যান্সের ধরণ সঠিকভাবে পরিমাপ করার জন্য FROST কৌশলটিকে প্রায়শই ড্রাইভের একটি বড় অংশ—কখনও কখনও ৬০%-এরও বেশি—পূরণ করতে হয়। আরেকটি আশা হলো, ভবিষ্যতের ব্রাউজার আপডেটে OPFS API-কে ডিভাইসে বড় ফাইল তৈরি করার অনুমতি দেওয়ার আগে ব্যবহারকারীর সুস্পষ্ট অনুমতির প্রয়োজন হবে।
যদিও হ্যাকাররা বর্তমানে বাস্তবে এই কৌশলটি ব্যবহার করছে এমন কোনো প্রমাণ নেই, গবেষণাটি প্রমাণ করে যে আমাদের হার্ডওয়্যার তথ্য ফাঁসের একটি অপ্রত্যাশিত উৎস হতে পারে। এমনকি যখন আমরা মনে করি যে আমরা নিরাপদে ব্রাউজ করছি, তখনও আমাদের কম্পিউটারের ভৌত উপাদানগুলো আমাদের ইচ্ছার চেয়ে বেশি তথ্য প্রকাশ করে দিতে পারে, যা ভবিষ্যতে ব্রাউজারগুলো আমাদের উচ্চ-ক্ষমতাসম্পন্ন স্টোরেজ ডিভাইসগুলোর সাথে কীভাবে কাজ করে, তা আরও গভীরভাবে খতিয়ে দেখার প্রয়োজনীয়তা তুলে ধরে ।
