ইথেরিয়াম ফাউন্ডেশন-এর ট্রিলিয়ন ডলার সিকিউরিটি (1TS) উদ্যোগ গর্বের সাথে Freedom of the Press Foundation (FPF)-কে একটি অনুদান বরাদ্দের ঘোষণা দিচ্ছে, যা WEBCAT-এর চলমান উন্নয়নকে সমর্থন করবে। WEBCAT হলো একটি ওপেন সোর্স টুল যা ব্রাউজারগুলোকে যাচাই করতে দেয় যে, একটি নিবন্ধিত ওয়েবসাইটের পরিবেশন করা কোড তার ডেভেলপারদের প্রকাশিত কোডের সাথে মিলে কি না। এই অনুদান ইথেরিয়াম ওয়ালেট এবং অ্যাপগুলোতেও সেই সুরক্ষা আনতে সাহায্য করবে।
ফ্রন্ট-এন্ড যাচাইকরণের ঘাটতি পূরণ
বর্তমানে ওয়েব অ্যাপ্লিকেশনগুলো যেভাবে সুরক্ষিত থাকে, তার একটি ঘাটতিকে লক্ষ্য করেই এই অনুদান দেওয়া হয়েছে। HTTPS আপনি যে সাইটে সংযুক্ত হন তাকে প্রমাণীকরণ করে এবং সংযোগটিকে এনক্রিপ্ট করে, কিন্তু এটি প্রমাণ করে না যে সাইটটি যে কোড পরিবেশন করছে তা তার ডেভেলপারদের প্রকাশিত কোডের সাথে মিলে কি না। একটি স্বাধীন ইন্টিগ্রিটি চেক ছাড়া, একটি ব্রাউজার কোনো সতর্কতা ছাড়াই একটি পরিবর্তিত ফ্রন্ট-এন্ড চালাতে পারে।
ইথেরিয়াম ব্যবহারকারীদের জন্য, ঝুঁকিটি অ্যাপের ওয়েবসাইটের মধ্যেই থাকে। আপনি যখন ভিজিট করেন তখন আপনার ব্রাউজার সাইটের কোড লোড করে এবং চালায়। সেখানে থাকা টেম্পার করা বা পরিবর্তিত কোড প্রাপকের ঠিকানা সোয়াপ করতে পারে অথবা পেজে যা দেখানো হয়েছে তার বাইরে অন্য কিছুতে আপনাকে স্বাক্ষরকরণ করতে বলতে পারে। পেজটি পরিবর্তিত হয়েছে কি না, তা আপনার ওয়ালেট শুধুমাত্র সংযোগ থেকে নির্ধারণ করতে পারে না।
ট্রিলিয়ন ডলার সিকিউরিটি ফ্রন্ট-এন্ড হ্যাকগুলোকে একটি অবকাঠামোগত ঝুঁকি হিসেবে এবং যাচাইযোগ্য ফ্রন্ট-এন্ডগুলোকে পরবর্তী পদক্ষেপ হিসেবে চিহ্নিত করেছে। আপসকৃত (compromised) ওয়েব ইন্টারফেসগুলো ব্যবহারকারীদের সাপ্লাই-চেইন আক্রমণ এবং UI ম্যানিপুলেশনের সম্মুখীন করতে পারে এবং DNS হাইজ্যাকের মতো ঘটনাগুলোর প্রভাব বাড়িয়ে তুলতে পারে।
WEBCAT সম্পর্কে
WEBCAT, যার পূর্ণরূপ হলো ওয়েব-বেসড কোড অ্যাসিওরেন্স অ্যান্ড ট্রান্সপারেন্সি (web-based code assurance and transparency), একটি ব্রাউজারকে যাচাই করতে দেয় যে একটি নিবন্ধিত সাইট দ্বারা পরিবেশিত রিসোর্সগুলো একটি স্বাক্ষরিত ম্যানিফেস্টের সাথে মিলে কি না। যদি যাচাইকরণ ব্যর্থ হয়, তবে বর্তমান আলফা ফায়ারফক্স এক্সটেনশনটি পেজটিকে লোড হতে বাধা দেয় এবং একটি সতর্কতা প্রদর্শন করে।
ডেভেলপাররা প্রতিটি রিলিজের অন্তর্ভুক্ত ফাইল এবং অন্যান্য অ্যাসেটগুলোর বর্ণনা দিয়ে একটি ম্যানিফেস্টে স্বাক্ষর করেন। একটি ডিস্ট্রিবিউটেড, যাচাইযোগ্য এনরোলমেন্ট সিস্টেম একটি পাবলিক রেকর্ড বজায় রাখে। প্রতিটি অংশগ্রহণকারী সাইটের জন্য, সেই রেকর্ডে এনরোলমেন্ট তথ্যের একটি ক্রিপ্টোগ্রাফিক ফিঙ্গারপ্রিন্ট থাকে যা সাইটের অনুমোদিত স্বাক্ষরকরণ পরিচয় এবং বৈধতা যাচাইয়ের নিয়মগুলো নির্দিষ্ট করে। এক্সটেনশনটি পর্যায়ক্রমে রেকর্ডের একটি Snapshot ডাউনলোড করে এবং যাচাই করে, যাতে এটি প্রতিটি ভিজিটে কোনো তৃতীয় পক্ষের সাথে যোগাযোগ না করেই স্থানীয়ভাবে নিবন্ধিত সাইটগুলোকে যাচাই করতে পারে।
FPF আংশিকভাবে WEBCAT তৈরি করেছে কারণ SecureDrop-এর একটি ভবিষ্যৎ সংস্করণে যাচাইযোগ্য ব্রাউজার কোডের প্রয়োজন হবে। SecureDrop হলো সাংবাদিক এবং বেনামী সোর্সগুলোর মধ্যে নিরাপদ যোগাযোগের জন্য FPF-এর ওপেন সোর্স সাবমিশন সিস্টেম।
বর্তমানে, SecureDrop আপলোড করার সময় নিউজরুমের সার্ভারে সাবমিশনগুলোকে এনক্রিপ্ট করে। সার্ভার আপলোডের সময় আনএনক্রিপ্টেড কন্টেন্ট পরিচালনা করে কিন্তু সাবমিশনগুলোকে এনক্রিপ্টেড আকারে সংরক্ষণ করে। FPF SecureDrop-এর একটি ভবিষ্যৎ সংস্করণের জন্য একটি এন্ড-টু-এন্ড এনক্রিপশন প্রোটোকল তৈরি করছে। উদ্দিষ্ট ডিজাইনের অধীনে, সোর্সের ব্রাউজার বার্তা পাঠানোর আগে এর কন্টেন্ট এনক্রিপ্ট করবে, যাতে সার্ভার মেমোরিতে প্লেইনটেক্সট ধরে রাখার পরিবর্তে সাইফারটেক্সট সংরক্ষণ করে যতক্ষণ না সার্ভার দ্বারা তা এনক্রিপ্ট করা হয়। প্রোটোকলটি এখনও উন্নয়নাধীন রয়েছে এবং এটি এখনও ফাইল অ্যাটাচমেন্টগুলোকে কভার করে না।
যেহেতু এনক্রিপশন কোডটি এখনও সার্ভার থেকেই আসবে, তাই একটি আপসকৃত সার্ভার পরিবর্তিত কোড পাঠাতে পারে যা এনক্রিপশন হওয়ার আগেই কন্টেন্ট ক্যাপচার করে নেয়। WEBCAT-এর উদ্দেশ্য হলো এই ধরনের পরিবর্তন শনাক্ত করা এবং ব্লক করা। FPF প্রুফ-অফ-কনসেপ্ট ইন্টিগ্রেশনের মাধ্যমে অন্যান্য ব্রাউজার-ভিত্তিক সুরক্ষিত অ্যাপ্লিকেশনগুলোর সাথেও WEBCAT পরীক্ষা করেছে।
একই কোড-ইন্টিগ্রিটি ঝুঁকি প্রযোজ্য হয় যখন ইথেরিয়াম ব্যবহারকারীরা ব্রাউজার-ভিত্তিক অ্যাপ ফ্রন্ট-এন্ডগুলোর সাথে ইন্টারঅ্যাক্ট করেন, যে কারণে সোর্স এবং সাংবাদিকদের সুরক্ষার জন্য তৈরি করা একটি টুল ওয়ালেট এবং অ্যাপগুলোর জন্যও উপযুক্ত।
অনুদানটি কীসে অর্থায়ন করে
অনুদানটি একটি WEBCAT যাচাইকরণ লাইব্রেরি উন্নয়নে অর্থায়ন করে যা ওয়ালেটগুলো ইন্টিগ্রেট করতে পারে।
যে ওয়ালেট এই লাইব্রেরি অন্তর্ভুক্ত করে তা নিবন্ধিত সাইটগুলোকে যাচাই করতে পারে, ফলে ব্যবহারকারীরা আলাদা কোনো এক্সটেনশন ইনস্টল না করেই সুরক্ষা পান। অনুদানটি ক্রোম এবং অন্যান্য ক্রোমিয়াম ব্রাউজারগুলোকে সমর্থন করার জন্য গবেষণা, তাদের অ্যাপগুলোতে WEBCAT যুক্ত করা দলগুলোর জন্য সহায়তা, একটি স্বাধীন নিরাপত্তা অডিট এবং একটি ইথেরিয়াম রিকোয়েস্ট ফর কমেন্টস (ERC) স্ট্যান্ডার্ডের জন্যও অর্থায়ন করে যাতে ওয়ালেট ডেভেলপারদের অনুসরণ করার মতো একটি মানদণ্ড থাকে।
লাইব্রেরিটি Clear Signing সহ অন্যান্য 1TS কাজের পরিপূরক হবে। Clear Signing ব্যবহারকারীদের বুঝতে সাহায্য করে যে তারা কী অনুমোদন করছেন, অন্যদিকে WEBCAT ইন্টিগ্রেশন ওয়ালেটগুলোকে যাচাই করতে সাহায্য করবে যে একটি নিবন্ধিত অ্যাপের ফ্রন্ট-এন্ড তার স্বাক্ষরিত ম্যানিফেস্টের সাথে মিলে কি না।
ওয়ালেট এবং অ্যাপ দলগুলোর জন্য পরবর্তী পদক্ষেপ কী
ওয়ালেটগুলোতে এই যাচাইকরণ আনার জন্য উভয় পক্ষেরই গ্রহণ করা প্রয়োজন। ওয়ালেট এক্সটেনশনগুলোকে অবশ্যই লাইব্রেরি ইন্টিগ্রেট করতে হবে এবং অ্যাপ দলগুলোকে তাদের ডোমেইনগুলো নিবন্ধন করতে হবে এবং প্রতিটি রিলিজের সাথে একটি স্বাক্ষরিত ম্যানিফেস্ট পরিবেশন করতে হবে। আপনি যদি ফ্রন্ট-এন্ড ইন্টিগ্রিটিতে আগ্রহী কোনো ওয়ালেট বা অ্যাপ দলের অংশ হন, তবে আমরা trilliondollarsecurity@ethereum.org-এ আপনার কাছ থেকে শুনতে চাই।
ঝুঁকি নিয়ন্ত্রণ এবং অগ্রাধিকারমূলক কাজ সম্পর্কে আরও পড়ুন trilliondollarsecurity.org-এ।