আইওএসের ত্রুটিতে এক অ্যাপ অন্য অ্যাপের ফাইল পড়তে পারে, দাবি বাইন্যান্সের

বাইন্যান্স বলছে, আইওএস-এর কয়েকটি সংস্করণে তারা এমন একটি ত্রুটি পেয়েছে, যার মাধ্যমে আইফোনে আগে থেকে ইনস্টল করা কোনো ক্ষতিকর অ্যাপ প্রতি-অ্যাপ স্যান্ডবক্সের সুরক্ষা পেরিয়ে অন্য অ্যাপের ব্যক্তিগত ফাইল পড়তে পারে।

দাবি অনুযায়ী ঝুঁকিতে পড়তে পারে পাসওয়ার্ড, ব্যক্তিগত নথি এবং ক্রিপ্টো ওয়ালেটের রিকভারি ফ্রেজ বা প্রাইভেট কি। ত্রুটিটিকে বাইন্যান্স বলছে WORS_QUERY।

দাবিটি কী, করছে কারা

বাইন্যান্সের ভাষ্য, আক্রান্ত সংস্করণগুলো আইওএস ২৬.৭.১, ২৭.০.১ ও ২৭.২। গিটহাবে এক স্বাধীন গবেষক বলছেন পরিধি আরও বড় হতে পারে — আইওএস ২৬.০ থেকে ২৬.৭.২।

অ্যাপল সোমবার আইওএস ২৬.৭.৩ ও আইওএস ২৭.২.১ ছেড়েছে, পুরোনো আইফোনের জন্যও হালনাগাদ এসেছে। অ্যাপলের নিরাপত্তা নোটে কয়েকটি সমাধানের কথা আছে, তবে WORS_QUERY সেগুলোর মধ্যে আছে কি না তারা বলেনি।

এই খবরে বাড়তি সতর্কতা কেন দরকার

আমরা এটি প্রকাশ করছি কারণ দাবিটি গুরুতর ও ব্যাপকভাবে ছড়িয়েছে, প্রতিষ্ঠিত বলে নয়। ঘাটতিগুলো স্পষ্ট করে বলা দরকার।

কোনো সিভিই নম্বর নেই। অ্যাপল ত্রুটি বা সমাধান কোনোটিই নিশ্চিত করেনি। নামধারী উৎসটি কোনো নিরাপত্তা প্রতিষ্ঠান বা জাতীয় সংস্থা নয়, একটি ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, আর মূল প্রতিবেদনের সূত্র ডেইলি মেইল। আক্রান্ত সংস্করণের পরিধি নিয়েও বাইন্যান্স ও স্বাধীন গবেষকের মধ্যে অমিল — অর্থাৎ অন্তত একজন পরিধির ব্যাপারে ভুল।

এর কোনোটিই দাবিটিকে মিথ্যা প্রমাণ করে না। স্যান্ডবক্স ভাঙার ত্রুটি বাস্তব, আইওএসের সবচেয়ে মূল্যবান ত্রুটিগুলোর মধ্যে পড়ে, আর ওয়ালেট নিরাপত্তায় বাণিজ্যিক স্বার্থ আছে এমন কারও এটি খুঁজে পাওয়া অস্বাভাবিক নয়। তবু চেনা নিশ্চিতকরণগুলো অনুপস্থিত, আর কী করবেন ঠিক করার আগে পাঠকের সেটি জানা দরকার।

ব্যবহার নিয়ে বাইন্যান্স নিজে যা বলছে

বাইন্যান্সের একজন মুখপাত্র ক্রিপ্টোডেইলিকে বলেছেন, ওয়ালেটে ঢুকতে বা অর্থ চুরি করতে কেউ এই ত্রুটি ব্যবহার করেছে — এমন কোনো প্রমাণ তাঁরা পাননি।

লক্ষণীয়: যে প্রতিষ্ঠান সতর্কবার্তা দিচ্ছে, তারাই বলছে এর থেকে কোনো ক্ষতি তারা দেখেনি।

আসলে যা করণীয়

এই নির্দিষ্ট দাবিটি টিকুক বা না টিকুক, যুক্তিসংগত পদক্ষেপগুলো একই।

আইওএস হালনাগাদ করুন। সেটিংস → জেনারেল → সফটওয়্যার আপডেট। WORS_QUERY এর মধ্যে থাকুক বা না থাকুক, সোমবারের সংস্করণগুলোতে নিশ্চিত করা সমাধান আছে — শুধু সে কারণেই হালনাগাদ করা দরকার।

অ্যাপ স্টোরের বাইরে থেকে বসানো অ্যাপ মুছে ফেলুন — এটি বাইন্যান্সের নিজেরই পরামর্শ। এটি গুরুত্বপূর্ণ, কারণ বর্ণনা অনুযায়ী ত্রুটিটি কাজে লাগাতে হলে ক্ষতিকর অ্যাপটি আগে থেকেই ফোনে থাকতে হবে — স্যান্ডবক্স ভাঙা দূর থেকে করা হামলা নয়। আপনার যন্ত্রের সবকিছু যদি অ্যাপ স্টোর থেকে আসা হয় এবং সবগুলোই আপনার চেনা হয়, তবে বর্ণিত ঝুঁকি আপনার কাছে বেশির ভাগ ক্ষেত্রেই পৌঁছাবে না।

ফোনে ক্রিপ্টো রাখলে রিকভারি ফ্রেজ ওয়ালেট অ্যাপের একই যন্ত্রে রাখা উচিত নয় — ত্রুটি থাকুক বা না থাকুক। এটি সাধারণ চর্চা, আর এই দাবিটি নতুন কারণ নয়, স্মরণ করিয়ে দেওয়া।

অ্যাপলের নীরবতা কোনো দিকেরই প্রমাণ নয়

অ্যাপল কিছু না বলাকে অস্বীকার ভেবে নেওয়া সহজ। তা নয়। অ্যাপল নিয়মিতই ত্রুটি স্বীকার করার আগে সমাধান দেয়, আর যথেষ্টসংখ্যক যন্ত্রে প্যাচ পৌঁছানোর পর কয়েক সপ্তাহ বাদে আবিষ্কারককে স্বীকৃতি দেয় — কারণ ব্যবহারকারীরা হালনাগাদ করার আগেই সচল ত্রুটির নাম বলে দেওয়া মানে আক্রমণকারীকে ঠিক জায়গাটি দেখিয়ে দেওয়া।

তাই “অ্যাপল নিশ্চিত করেনি” মানে দাবিটি অযাচাইকৃত, ভুল নয়। নিশ্চয়তা এলে তা সাধারণত আসে সংস্করণ প্রকাশের কয়েক দিন পর হালনাগাদ করা নিরাপত্তা নোটে। ওই নথিটিই লক্ষ রাখার মতো, আর সেটিই নিষ্পত্তি করবে WORS_QUERY সত্যি ছিল কি না এবং সোমবারের হালনাগাদে তা সারানো হয়েছে কি না।