জনপ্রিয় অনলাইন কোর্স প্ল্যাটফর্ম কোর্সেরা-তে সম্প্রতি একটি দুর্বলতা আবিষ্কৃত হয়েছে। সমস্যাটি এপিআই (API) থেকে উদ্ভূত হওয়ায় ধারণা করা হচ্ছে যে, হ্যাকাররা ব্যবহারকারীদের কোর্সের পছন্দ বুঝতে এবং তাদের কোর্স নির্বাচনে পক্ষপাতিত্ব করার জন্য "BOLA" দুর্বলতাটি কাজে লাগিয়ে থাকতে পারে ।
এছাড়াও, এমনও ধারণা করা হচ্ছে যে, সম্প্রতি প্রকাশিত দুর্বলতাগুলো সমাধান করার আগেই ব্যবহারকারীর তথ্য ফাঁস করে দিয়ে থাকতে পারে। অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষক সংস্থা চেকমার্ক্স- এর গবেষকরা এই ত্রুটিগুলো আবিষ্কার করেন এবং গত সপ্তাহে তা জনসমক্ষে প্রকাশ করেন।
এই দুর্বলতাগুলো কোর্সেরার বিভিন্ন অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেসের সাথে সম্পর্কিত , এবং কোভিড-১৯ মহামারীর কারণে অনলাইন কাজ ও শিক্ষার দিকে ঝুঁকে পড়ায় এর ক্রমবর্ধমান জনপ্রিয়তার ফলে গবেষকরা কোর্সেরার নিরাপত্তা নিয়ে আরও গভীরভাবে অনুসন্ধান করার সিদ্ধান্ত নিয়েছেন।
যারা কৌসেরার সাথে অপরিচিত তাদের জন্য আপনার জানা উচিত যে এটি এমন একটি সংস্থা যা ৮২ মিলিয়ন ব্যবহারকারী এবং 82 টিরও বেশি সংস্থা ও বিশ্ববিদ্যালয়গুলিতে কাজ করে। উল্লেখযোগ্য অংশীদারিত্বগুলির মধ্যে রয়েছে ইলিনয় বিশ্ববিদ্যালয়, ডিউক বিশ্ববিদ্যালয়, গুগল, মিশিগান বিশ্ববিদ্যালয়, আন্তর্জাতিক ব্যবসায় মেশিনস, ইম্পেরিয়াল কলেজ লন্ডন, স্ট্যানফোর্ড বিশ্ববিদ্যালয় এবং পেনসিলভেনিয়া বিশ্ববিদ্যালয় include
বেশ কিছু এপিআই (API) সমস্যা আবিষ্কৃত হয়েছে, যার মধ্যে রয়েছে পাসওয়ার্ড রিসেট ফাংশনের মাধ্যমে ব্যবহারকারী/অ্যাকাউন্ট গণনা, অপর্যাপ্ত রিসোর্সের কারণে GraphQL ও REST উভয় এপিআই-এর কার্যকারিতা সীমিত হওয়া, এবং ভুল GraphQL কনফিগারেশন। বিশেষ করে, একটি ত্রুটিপূর্ণ অবজেক্ট-লেভেল অথরাইজেশন সমস্যা এই তালিকার শীর্ষে রয়েছে।
নিয়মিত ব্যবহারকারী (শিক্ষার্থী) হিসাবে কোরসারার ওয়েব অ্যাপ্লিকেশনটির সাথে আলাপকালে, আমরা লক্ষ্য করেছি যে সম্প্রতি দেখা কোর্সগুলি ব্যবহারকারী ইন্টারফেসে প্রদর্শিত হয়েছিল were এই তথ্যের প্রতিনিধিত্ব করার জন্য, আমরা একই প্রান্তে একাধিক এপিআই জিইটি অনুরোধগুলি সনাক্ত করি: /api/userPreferences.v1/selUSER_ID-lex.europa.eu~ PPREFERENCE_TYPE}}
BOLA API দুর্বলতাটি ব্যবহারকারীর পছন্দকে প্রভাবিত করে বলে বর্ণনা করা হয়েছে। এই দুর্বলতার সুযোগ নিয়ে, এমনকি বেনামী ব্যবহারকারীরাও পছন্দগুলি পুনরুদ্ধার করতে এবং পরিবর্তনও করতে পারে। সম্প্রতি দেখা কোর্স এবং সার্টিফিকেশনের মতো কিছু পছন্দ মেটাডেটাও ফাঁস করে। BOLA API-এর ত্রুটিগুলি অবজেক্ট আইডেন্টিফায়ার পরিচালনা করে এমন এন্ডপয়েন্টগুলিকে উন্মুক্ত করে দিতে পারে , যা সম্ভাব্যভাবে আরও ব্যাপক আক্রমণের পথ খুলে দেয়।
"এই দুর্বলতা বড় আকারের সাধারণ ব্যবহারকারীদের কোর্সের পছন্দগুলি বোঝার জন্য ব্যবহার করা যেতে পারে, তবে ব্যবহারকারীদের পছন্দগুলি কোনওভাবেই ঝাঁকিয়ে রাখতে পারে, যেহেতু তাদের সাম্প্রতিক ক্রিয়াকলাপের হেরফেরটি হোম পৃষ্ঠায় উপস্থাপিত সামগ্রীকে প্রভাবিত করেছিল একটি নির্দিষ্ট জন্য কোরাসেরা ব্যবহারকারী, "গবেষকরা ব্যাখ্যা।
"দুর্ভাগ্যক্রমে, অনুমোদনের সমস্যাগুলি এপিআইগুলির সাথে বেশ সাধারণ," গবেষকরা বলছেন। “একক উপাদানগুলিতে অ্যাক্সেস নিয়ন্ত্রণের বৈধতাগুলিকে কেন্দ্রীভূত করা খুব গুরুত্বপূর্ণ, ভাল পরীক্ষা করা, ধারাবাহিকভাবে পরীক্ষা করা এবং সক্রিয়ভাবে রক্ষণাবেক্ষণ করা। নতুন এপিআই এন্ডপয়েন্টস, বা বিদ্যমানগুলিতে পরিবর্তনগুলি, তাদের সুরক্ষা প্রয়োজনীয়তার বিরুদ্ধে সাবধানতার সাথে পর্যালোচনা করা উচিত।
গবেষকরা উল্লেখ করেছেন যে অনুমোদনের সমস্যাগুলি এপিআই-তে খুব সাধারণ এবং অ্যাক্সেস নিয়ন্ত্রণের বৈধতা কেন্দ্রীভূত করা গুরুত্বপূর্ণ। এটি করা অবশ্যই একটি একক, ভাল-পরীক্ষিত এবং চলমান রক্ষণাবেক্ষণ উপাদানগুলির মাধ্যমে হওয়া উচিত।
আবিষ্কৃত দুর্বলতাগুলো ৫ই অক্টোবর কোর্সেরার নিরাপত্তা দলের কাছে জমা দেওয়া হয়েছিল। সংস্থাটি যে প্রতিবেদনটি পেয়েছে এবং এটি নিয়ে কাজ করছে, তার নিশ্চিতকরণ আসে ২৬শে অক্টোবর। এরপর কোর্সেরা চের্কমার্ক্সকে লিখে জানায় যে, তারা ১৮ই ডিসেম্বর থেকে ২রা জানুয়ারির মধ্যে সমস্যাগুলো সমাধান করেছে এবং তারপর একটি নতুন সমস্যাসহ পুনরায় পরীক্ষার প্রতিবেদন জমা দেয়। অবশেষে, ২৪শে মে, কোর্সেরা নিশ্চিত করে যে সমস্ত সমস্যা সমাধান করা হয়েছে।
প্রকাশ থেকে সংশোধন করার জন্য যথেষ্ট দীর্ঘ সময় সত্ত্বেও, গবেষকরা বলেছিলেন যে কুরসেরা সুরক্ষা দলের সাথে কাজ করা আনন্দিত was
"তাদের পেশাদারিত্ব এবং সহযোগিতা, পাশাপাশি তারা ধরে নিয়েছিল দ্রুত মালিকানা, সফ্টওয়্যার সংস্থাগুলির সাথে জড়িত থাকার সময় আমরা প্রত্যাশায় আছি," তারা উপসংহারে এসেছিল।
উৎস: https://www.checkmarx.com