PHP શું છે અને કેમ સર્જાયો વિવાદ? વિશ્વભરની વેબસાઇટ્સ સામે તોળાતું સાયબર સંકટ 5 પોઇન્ટ્સમાં જાણો

વેબસાઇટ બનાવવા માટે વિશ્વભરમાં સૌથી વધુ ઉપયોગમાં લેવાતી પ્રોગ્રામિંગ લેંગ્વેજ પૈકીની એક એવી PHPમાં સુરક્ષા ખામી (સિક્યોરિટી ફ્લો) સામે આવતાં વિશ્વભરના વ્યવસાયો અને સરકારી એજન્સીઓએ તાત્કાલિક પગલાં લેવાની ફરજ પડી છે. હેકર્સ આ ખામીનો લાભ ઉઠાવવાનો પ્રયાસ કરી રહ્યા હોવાની સંશોધકોની ચેતવણી વચ્ચે કેટલીક વેબસાઇટ્સને સુરક્ષા સુધારા (સિક્યોરિટી ફિક્સ) ઇન્સ્ટોલ કરવા માટે કામચલાઉ ધોરણે ઓફલાઇન કરી દેવામાં આવી છે. આ ઘટનાએ ઇન્ટરનેટ સુરક્ષા સામે એક મોટો સવાલ ઊભો કર્યો છે કે, એક જ પ્રોગ્રામિંગ લેંગ્વેજની ખામી આટલી બધી વેબસાઇટ્સને કેવી રીતે જોખમમાં મૂકી શકે? આ PHP સુરક્ષા કટોકટી અંગે જાણવા જેવી ૫ મહત્વની બાબતો અહીં રજૂ છે:

 PHP શું છે?

જ્યારે કોઈ વ્યક્તિ વેબસાઇટ ખોલે છે, ત્યારે સ્ક્રીન પર પેજ દેખાય તે પહેલાં સિસ્ટમમાં ઘણી બધી પ્રક્રિયાઓ થાય છે. PHP એવી પ્રોગ્રામિંગ લેંગ્વેજ પૈકીની એક છે જે વેબસાઇટ્સને આ કાર્યો પૂર્ણ કરવામાં મદદ કરે છે, જેમાં યુઝર્સની રિક્વેસ્ટ પ્રોસેસ કરવી અને ડેટાબેઝ સાથે સંકલન સાધવાનો સમાવેશ થાય છે.

૩૦થી વધુ વર્ષ પહેલાં રજૂ થયેલી PHP આજે પણ વેબસાઇટ્સ ચલાવવા માટે વપરાતી ટેકનોલોજીનો મુખ્ય આધાર છે. ઓનલાઇન કન્ટેન્ટ પબ્લિશ કરવા માટેનું લોકપ્રિય પ્લેટફોર્મ ‘વર્ડપ્રેસ’ (WordPress) તેના પર જ નિર્ભર છે. વેબસાઇટ બનાવવા માટે ઉપયોગમાં લેવાતું ‘ડ્રુપલ’ (Drupal) પણ PHP પર ચાલે છે.

તેનો બહોળો ઉપયોગ આ ઘટનાને અત્યંત ગંભીર બનાવે છે. એક અંદાજ મુજબ ઇન્ટરનેટ પરની આશરે ૭૦ ટકા વેબસાઇટ્સ PHPનો ઉપયોગ કરે છે. આમાં વ્યાપારી પેઢીઓ અને સરકારી સંસ્થાઓની વેબસાઇટ્સ સામેલ છે, જેનો અર્થ એ થાય છે કે આ લેંગ્વેજમાં રહેલી એક ખામી અલગ-અલગ પ્રકારની અસંખ્ય ઓનલાઇન સેવાઓ સામે મોટો ખતરો ઊભો કરી શકે છે.

તેમાં શું ખામી સર્જાઈ છે?

આ સમસ્યા PHP દ્વારા કમ્પ્યુટર મેમરી અને એરર્સ (ભૂલો)નું સંચાલન કેવી રીતે કરવામાં આવે છે તેની સાથે જોડાયેલી છે. આ કામગીરી વેબસાઇટના સામાન્ય સંચાલન સાથે સીધી રીતે સંકળાયેલી હોવાથી આ સુરક્ષા ખામી અત્યંત ચિંતાજનક બની જાય છે.

યુએસ નેશનલ સિક્યોરિટી એજન્સી (NSA) અનુસાર, હેકર્સ આ નબળાઈનો લાભ લેવા અને વેબસાઇટની મેમરીમાં દખલગીરી કરવા માટે ખાસ પ્રકારની રિક્વેસ્ટ મોકલી શકે છે. આનાથી સર્વરની ફાઇલો અથવા ડેટાબેઝ સુધી પહોંચવાનો માર્ગ ખુલી શકે છે.

સર્વર એ એક એવું કમ્પ્યુટર છે જે વેબસાઇટનો ડેટા સ્ટોર કરે છે અને મુલાકાતીઓ સુધી તેની માહિતી પહોંચાડે છે. જો કોઈ હેકર સર્વર સુધી પહોંચી જાય, તો તેની અસર માત્ર વેબસાઇટ પર એરર દેખાવા પૂરતી સીમિત રહેતી નથી. પરિસ્થિતિ મુજબ, તેનાથી સર્વરમાં સંગ્રહિત ગોપનીય ડેટા અને સમગ્ર નેટવર્ક જોખમમાં મુકાઈ શકે છે.

સાયબર સિક્યોરિટી કંપની ‘હેડ્રિયન’ (Hadrian) દ્વારા આ એક્સપ્લોઇટ ટેકનિકને ‘PHP2Shell’ નામ આપવામાં આવ્યું છે. સુરક્ષા સંશોધકોએ ચેતવણી આપી છે કે હેકર્સ અત્યારથી જ આ ખામીઓને ટાર્ગેટ કરી રહ્યા છે, જેથી આ માત્ર ભવિષ્યનું જોખમ નથી પરંતુ તાત્કાલિક ધ્યાન આપવા જેવી બાબત છે.

સમસ્યા માત્ર વ્યક્તિગત વેબસાઇટ્સ પૂરતી સીમિત નથી

PHPની લોકપ્રિયતા જ આ ખામીઓને અટકાવવાનું કામ મુશ્કેલ બનાવે છે. જો ગણતરીની વેબસાઇટ્સ વાપરતી કોઈ સિસ્ટમમાં નબળાઈ હોય તો તેની અસર સીમિત રહે છે. પરંતુ સમગ્ર ઇન્ટરનેટના મોટા હિસ્સામાં વપરાતી લેંગ્વેજમાં ખામી હોય ત્યારે મોટો પડકાર સર્જાય છે.

આ લેંગ્વેજનું સંચાલન કરતું ‘PHP ફાઉન્ડેશન’ જણાવે છે કે પ્રભાવિત સિસ્ટમના ઘટકો તેની મુખ્ય કામગીરી સાથે ઊંડાણપૂર્વક જોડાયેલા છે. હાલની વેબસાઇટ્સ, તેની ઝડપ કે અન્ય પ્રોગ્રામરો દ્વારા તૈયાર કરાયેલા એક્સટેન્શન્સને અસર કર્યા વિના તેમાં ફેરફાર કરવો સરળ નથી.

તેથી વેબસાઇટ સંચાલકોએ જાતે તપાસ કરવી પડશે કે તેમની સિસ્ટમમાં અસરગ્રસ્ત વર્ઝનનો ઉપયોગ થઈ રહ્યો છે કે નહીં અને સંબંધિત અપડેટ્સ ઇન્સ્ટોલ કરવા પડશે. ખાસ કરીને અસંખ્ય વેબસાઇટ્સ અને ઓનલાઇન સેવાઓ ધરાવતી મોટી સંસ્થાઓ માટે આ મોટો પડકાર છે, કારણ કે તેમની ઘણી સિસ્ટમ્સમાં PHPના ઉપયોગની સંપૂર્ણ માહિતી હોતી નથી.

 AIએ ખામી શોધવામાં મદદ કરી, પરંતુ તે હેકર્સને પણ મદદ કરી શકે છે

આ ખામી સામે આવતાં સ્પષ્ટ થયું છે કે આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI) સોફ્ટવેર સિક્યોરિટીનું સ્વરૂપ બદલી રહ્યું છે. AI મોડેલ્સ મોટા પાયે કોડિંગની તપાસ કરી શકે છે અને સામાન્ય તપાસમાં પકડાય નહીં તેવી અથવા સંશોધકોને શોધવામાં લાંબો સમય લાગે તેવી નબળાઈઓ ઝડપથી પકડી પાડે છે.

PHP ફાઉન્ડેશનના જણાવ્યા મુજબ, તેમણે PHPના કોડની ચકાસણી કરવા માટે ‘એન્થ્રોપિક’ (Anthropic)ના અદ્યતન AI મોડેલનો ઉપયોગ કર્યો હતો. આ ઉપરાંત, ઓપનએઆઈ (OpenAI)ના ‘પેચ ધ પ્લેનેટ’ પ્રોગ્રામ હેઠળ પણ આ લેંગ્વેજ રજૂ કરાઈ હતી, જ્યાં ઓગસ્ટના મધ્યમાં સ્વતંત્ર સંશોધક રાયન એ. દ્વારા ખામી શોધી કાઢવામાં આવી હતી.

આ ખામીઓની જાહેરાત ૨૨ ઓક્ટોબરે સત્તાવાર રીતે જાહેર કરવાની યોજના હતી, જેથી સંસ્થાઓને અપડેટ તૈયાર કરવાનો પૂરતો સમય મળે. જોકે, ઓનલાઇન ફોરમ અને સોશિયલ મીડિયા પર આ નબળાઈઓની માહિતી લીક થવા લાગતાં PHP ફાઉન્ડેશને નિર્ધારિત સમય કરતાં વહેલી જાહેરાત કરવી પડી હતી.

એવા પણ સંકેતો મળ્યા છે કે હુમલાખોરોને આ માહિતી પહેલેથી જ મળી ગઈ હતી. એમેઝોન થ્રેટ ઇન્ટેલિજન્સે સત્તાવાર જાહેરાતના ચાર દિવસ પહેલાં જ આ ખામીનો દુરુપયોગ કરવાનો પ્રયાસ પકડ્યો હતો. અગાઉથી હુમલો કરનાર વ્યક્તિને આ ખામી વિશે કેવી રીતે ખબર પડી તે હજુ સુધી સ્પષ્ટ થયું નથી.

AI ડેવલપર્સને સુરક્ષા પેચ ઝડપથી તૈયાર કરવામાં મદદ કરે છે, પરંતુ સાથે સાથે તે હેકર્સને પણ સિસ્ટમની ખામીઓ ઝડપથી શોધવાનો રસ્તો આપે છે. આનાથી સિસ્ટમનું રક્ષણ કરનારાઓ અને તેમાં ઘૂસણખોરી કરનારાઓ વચ્ચે એક ગળાકાપ સ્પર્ધા શરૂ થઈ છે.

 સિક્યોરિટી પેચ ઉપલબ્ધ છે, પરંતુ જોખમ કેટલું ઝડપથી અપડેટ થાય છે તેના પર નિર્ભર છે

PHP ફાઉન્ડેશને સિક્યોરિટી પેચ બહાર પાડી દીધા છે અને કેટલીક સંસ્થાઓએ તેને ઇન્સ્ટોલ કરવા માટે પોતાની વેબસાઇટ્સ કામચલાઉ ધોરણે બંધ કરી દીધી છે. સિસ્ટમ અપડેટ થયા બાદ સેવાઓ ફરી શરૂ થઈ ગઈ છે. જોકે, માત્ર ફિક્સ બહાર પાડવાથી જ દરેક વેબસાઇટ સુરક્ષિત થઈ જતી નથી. સંસ્થાઓએ પોતાની તમામ PHP સિસ્ટમ તપાસવી પડશે, અપડેટની જરૂરિયાત નક્કી કરવી પડશે અને પેચ ઇન્સ્ટોલ કરવા પડશે. જો સિસ્ટમ તાત્કાલિક સુરક્ષિત ન થઈ શકે તો તેને કામચલાઉ ધોરણે ઓફલાઇન રાખવી જરૂરી બની શકે છે.

નિષ્ણાતોએ ચેતવણી આપી છે કે જ્યાં સુધી વેબસાઇટ ઓપરેટરો સિક્યોરિટી અપડેટ લાગુ નહીં કરે ત્યાં સુધી લાઇવ વેબસાઇટ્સ પણ જોખમમાં રહી શકે છે. વેબસાઇટ લાઇવ દેખાઈ રહી છે તેનો અર્થ એવો નથી કે તે સંપૂર્ણ સુરક્ષિત છે.

આ ઘટનાએ ઇન્ટરનેટના મૂળભૂત સોફ્ટવેરનું સંચાલન કરતી ટીમો તરફ પણ ધ્યાન દોર્યું છે. PHP ફાઉન્ડેશન પાસે માત્ર 13 ફુલ-ટાઇમ અને પાર્ટ-ટાઇમ એન્જિનિયરો છે અને તે પોતાનું કામ ચલાવવા માટે આર્થિક દાન પર નિર્ભર છે.