GitHub-এ টুইটারের সোর্স কোড লিক একটি সম্ভাব্য সাইবার দুঃস্বপ্ন

টুইটারের কিছু মালিকানাধীন সোর্স কোড প্রায় তিন মাস ধরে Github-এ সর্বজনীনভাবে উপলব্ধ ছিল, একটি থেকে সংগৃহীত তথ্য অনুসারে DMCA টেকডাউন অনুরোধ 24 মার্চ দায়ের করা হয়।

GitHub হল বিশ্বের বৃহত্তম কোড হোস্টিং প্ল্যাটফর্ম। মাইক্রোসফ্টের মালিকানাধীন, এটি এর চেয়ে বেশি পরিবেশন করে 100 মিলিয়ন ডেভেলপার এবং রয়েছে প্রায় 400টি সংগ্রহস্থল সবগুলিতেই.

24 শে মার্চ, GitHub "টুইটারের প্ল্যাটফর্ম এবং অভ্যন্তরীণ সরঞ্জামগুলির জন্য মালিকানাধীন সোর্স কোড" সরানোর জন্য একজন Twitter কর্মচারীর অনুরোধকে সম্মান জানায়। কোড একটি প্রকাশিত হয়েছে "পাবলিকস্পেস" নামক সংগ্রহস্থল, ব্যবহারকারী নাম সহ একজন ব্যক্তির দ্বারা "বিনামূল্যে বক্তৃতা উত্সাহী" নামটি এলন মাস্কের একটি আপাত রেফারেন্স কাসাস বেলি অক্টোবরে টুইটার ফিরে নেওয়ার জন্য (একটি দর্শন যা হয়েছে অসমভাবে বাস্তবায়িত মাস থেকে)

ফাঁস হওয়া কোডটি চারটি ফোল্ডারে ছিল। যদিও 24 শে মার্চ পর্যন্ত অ্যাক্সেসযোগ্য নয়, কিছু ফোল্ডারের নাম — যেমন “auth” এবং “aws-dal-reg-svc” — তাদের মধ্যে কী রয়েছে তার কিছু ইঙ্গিত দেয় বলে মনে হচ্ছে।

Ars Technica এর মতে, FreeSpeechEnthusiast 3 জানুয়ারী Github-এ যোগ দিয়েছিল এবং সেই দিনই সমস্ত ফাঁস হওয়া কোডের প্রতিশ্রুতি দিয়েছিল। এর মানে, সব মিলিয়ে, কোডটি প্রায় তিন মাস ধরে জনসাধারণের কাছে সম্পূর্ণরূপে অ্যাক্সেসযোগ্য ছিল।

কিভাবে এন্টারপ্রাইজ সোর্স কোড লিক হয়

প্রধান সফ্টওয়্যার কোম্পানীগুলি লক্ষ লক্ষ লাইনের কোডের উপর নির্মিত এবং প্রায়শই, কোন না কোন কারণে, এর কিছু লিক হতে পারে।

GitGuardian-এর ডেভেলপার অ্যাডভোকেট ডোয়াইন ম্যাকড্যানিয়েল বলেছেন, "অবশ্যই খারাপ অভিনেতারা একটি প্রধান ভূমিকা পালন করে।" “আমরা এটি গত বছর যেমন ক্ষেত্রে দেখেছি স্যামসাং এবং উবার ঘটিত ল্যাপসাস $ গ্রুপ. "

যদিও হ্যাকাররা সবসময় গল্পের অংশ হয় না। টুইটারের ক্ষেত্রে, পরিস্থিতিগত প্রমাণ একজন অসন্তুষ্ট কর্মচারীকে নির্দেশ করে। এবং "এর একটি ভাল চুক্তিও আসে কোডের শেষ হওয়া থেকে যেখানে এটি অনিচ্ছাকৃতভাবে অন্তর্ভুক্ত নয়, যেমনটি আমরা টয়োটার সাথে দেখেছি, যেখানে একজন সাব-কন্ট্রাক্টর একটি ব্যক্তিগত কোডবেসের একটি কপি সর্বজনীন করেছে," তিনি যোগ করেন। "আধুনিক অ্যাপ্লিকেশনগুলির সাথে মোকাবিলা করার জন্য ক্রমবর্ধমান সংখ্যক রেপোর সাথে মিলিত গিট এবং CI/CD এর সাথে কাজ করার জটিলতার অর্থ হল ব্যক্তিগত রেপোতে কোড ভুল করে সর্বজনীন হয়ে যেতে পারে।"

এন্টারপ্রাইজের জন্য সোর্স কোড ফাঁসের সমস্যা

টুইটার এবং এর মতো কোম্পানিগুলির জন্য, সোর্স কোড ফাঁস কপিরাইট লঙ্ঘনের চেয়ে সাইবার নিরাপত্তার জন্য অনেক বড় সমস্যা হতে পারে। একবার একটি ব্যক্তিগত সংগ্রহস্থল সর্বজনীন হয়ে গেলে, সমস্ত ধরণের ক্ষতি অনুসরণ করতে পারে।

"এটি মনে রাখা গুরুত্বপূর্ণ যে উত্স সংগ্রহস্থলগুলিতে প্রায়শই কেবল কোডের চেয়েও বেশি কিছু থাকে," সিনোপসিস সাইবারসিকিউরিটি রিসার্চ সেন্টারের প্রধান নিরাপত্তা কৌশলবিদ টিম ম্যাকি নোট করেছেন৷ "আপনি পরীক্ষার কেস পাবেন, সফ্টওয়্যারটি কীভাবে কনফিগার করা উচিত তার বিবরণ সহ সম্ভাব্য নমুনা ডেটা।"

কোডটিতে গোপনীয় সংবেদনশীল ব্যক্তিগত তথ্য এবং প্রমাণীকরণ তথ্যও থাকতে পারে। উদাহরণস্বরূপ, "কিছু অ্যাপ্লিকেশনের জন্য যা কখনই গ্রাহকদের কাছে পাঠানোর উদ্দেশ্যে নয়, উত্স কোড সংগ্রহস্থলে থাকা ডিফল্ট কনফিগারেশনটি কেবল চলমান কনফিগারেশন হতে পারে," ম্যাকি বলেছেন। হ্যাকাররা চুরি হওয়া প্রমাণীকরণ এবং কনফিগারেশন ডেটা ব্যবহার করে ফাঁসের শিকারের বিরুদ্ধে আরও বড় এবং ভাল আক্রমণ চালাতে পারে।

এই কারণেই "কোম্পানিগুলির একটি আরও নিরাপদ গোপনীয় ব্যবস্থাপনার কৌশল অবলম্বন করা উচিত, গোপনীয়তা সনাক্তকরণের সাথে গোপন স্টোরেজকে একত্রিত করে," গিটগার্ডিয়ানের ম্যাকড্যানিয়েল বলেছেন। "কোড ফাঁস হলে এবং কোথায় অগ্রাধিকার দিতে হবে তা জানতে সংস্থাগুলির তাদের বর্তমান গোপন[গুলি] ফাঁস পরিস্থিতির অডিট করা উচিত।"

কিন্তু এমন ক্ষেত্রে যেখানে লিক ভিতর থেকে আসে — টুইটারের মতো — আরও বেশি সতর্কতা অবলম্বন করা হয়। এটির জন্য একটি এন্টারপ্রাইজের সোর্স কোড ব্যবস্থাপনার পুঙ্খানুপুঙ্খ হুমকি মডেলিং এবং বিশ্লেষণ প্রয়োজন, ম্যাকি বলেছেন।

"এটি গুরুত্বপূর্ণ কারণ কেউ যদি সোর্স কোড ফাঁসকে ট্রিগার করতে পারে, তাহলে তাদের সোর্স কোড পরিবর্তন করার ক্ষমতাও থাকতে পারে," তিনি বলেছেন। “আপনি যদি অ্যাক্সেসের জন্য মাল্টিফ্যাক্টর প্রমাণীকরণ ব্যবহার না করেন, শুধুমাত্র অনুমোদিত ব্যবহারকারীদের জন্য সীমিত অ্যাক্সেস প্রয়োগ করেন, অ্যাক্সেসের অধিকার প্রয়োগ করেন এবং অ্যাক্সেস মনিটরিং করেন, তাহলে আপনার ডেভেলপমেন্ট টিমগুলি তৈরি করা অনুমানগুলিকে কেউ কীভাবে কাজে লাগাতে পারে তার সম্পূর্ণ চিত্র আপনার কাছে নাও থাকতে পারে। তাদের সোর্স কোড রিপোজিটরি সুরক্ষিত।"

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/attacks-breaches/twitter-source-code-leak-github-potential-cyber-nightmare