সাম্প্রতিক দিনগুলিতে, একটি উদ্বেগজনক ঘটনা প্রকাশিত হয়েছে যা সম্পর্কিত স্ন্যাপ স্টোরঅনেক GNU/Linux ডিস্ট্রিবিউশনে ব্যবহৃত Snap অ্যাপ্লিকেশনের অফিসিয়াল রিপোজিটরি। সমস্যাটি প্যাকেজিং সিস্টেমের প্রযুক্তিগত ত্রুটির সাথে সম্পর্কিত নয়, বরং স্টোরটি যে বিশ্বাস মডেলের উপর ভিত্তি করে তৈরি তার অপব্যবহারের সাথে সম্পর্কিত।
যা হয়েছে তা হলো ক্ষতিকারক তৃতীয় পক্ষগুলি ক্ষতিকারক কোড ধারণকারী সংস্করণ প্রকাশ করতে সক্ষম হয়েছে তারা পূর্বে বৈধ অ্যাপ্লিকেশনগুলিকে লক্ষ্যবস্তু করেছিল। এটি করার জন্য, তারা নতুন অ্যাকাউন্ট বা সন্দেহজনক প্যাকেজগুলি শুরু থেকেই তৈরি করেনি, বরং কিছু সময়ের জন্য নিষ্ক্রিয় থাকা বৈধ ডেভেলপার অ্যাকাউন্টগুলির নিয়ন্ত্রণ নিয়েছিল। এর ফলে প্রভাবিত অ্যাপ্লিকেশনগুলিকে বিশ্বাসযোগ্য বলে মনে হয়েছিল, কারণ তাদের একটি ইতিহাস ছিল, পূর্ববর্তী ডাউনলোডগুলি ছিল এবং তাৎক্ষণিক সতর্কতা ট্রিগার করেনি।
স্ন্যাপ স্টোরের সাথে আপোস করা এই প্রথম নয়।
আক্রমণের মূল কারণ হলো ডেভেলপার অ্যাকাউন্টের সাথে সম্পর্কিত ডোমেন। অনেক ক্ষেত্রেই, মূল প্রকল্পগুলি আর রক্ষণাবেক্ষণ করা হচ্ছিল না এবং তাদের সাথে সংযুক্ত ওয়েব ডোমেনগুলির মেয়াদ শেষ হয়ে গিয়েছিল। আক্রমণকারীরা এই ডোমেনগুলি পুনরায় নিবন্ধন করেছিল এবং সংশ্লিষ্ট ইমেল ঠিকানাগুলি নিয়ন্ত্রণ করে, স্ন্যাপ স্টোরের প্রকাশনা অ্যাকাউন্টগুলিতে অ্যাক্সেস ফিরে পেতে সক্ষম হয়েছিল। একবার ভিতরে প্রবেশ করার পরে, তাদের যা করতে হয়েছিল তা হল একটি পরিবর্তিত সফ্টওয়্যার আপডেট আপলোড করা।
সনাক্ত করা ক্ষতিকারক কোডটি মূলত ক্রিপ্টোকারেন্সি-সম্পর্কিত অ্যাপ্লিকেশনগুলির উপর দৃষ্টি নিবদ্ধ করে।এই পরিবর্তিত সংস্করণগুলি বৈধ ওয়ালেটের আচরণের অনুকরণ করেছিল এবং ব্যবহারকারীকে পুনরুদ্ধার বাক্যাংশের মতো সংবেদনশীল ডেটার জন্য প্ররোচিত করেছিল। এই তথ্য আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত সার্ভারগুলিতে পাঠানো হয়েছিল, যা তাদের অপারেটিং সিস্টেমের দুর্বলতাগুলিকে কাজে না লাগিয়ে তহবিল চুরি করার অনুমতি দেয়।
এই ধরণের আক্রমণ বিশেষভাবে বিপজ্জনক কারণ এটি ব্যবহারকারীকে জাল নাম বা স্পষ্টতই সন্দেহজনক অ্যাপ্লিকেশন দিয়ে প্রতারিত করার উপর নির্ভর করে না। এটি অতীতের প্রকল্পগুলি থেকে সঞ্চিত আস্থার উপর নির্ভর করে এবং ডেভেলপার অ্যাকাউন্টের মালিক সময়ের সাথে সাথে যা দাবি করেন তা রয়ে গেছে কিনা তা যাচাই করার জন্য কঠোর ব্যবস্থার অভাব।
প্রভাবিত অ্যাপ্লিকেশনগুলি ইতিমধ্যেই সরানো হয়েছে।
সমস্যাটি সনাক্ত হওয়ার পর, প্রভাবিত অ্যাপ্লিকেশনগুলি সরানো হয়েছেতবুও, এই ঘটনাটি কেন্দ্রীভূত সফ্টওয়্যার স্টোরগুলির নিরাপত্তা এবং স্বয়ংক্রিয় পর্যালোচনা ব্যবস্থা কতটা পর্যাপ্ত তা নিয়ে বিতর্ককে পুনরুজ্জীবিত করেছে। এটি ডেভেলপার অ্যাকাউন্টগুলিকে সুরক্ষিত করার গুরুত্বকেও তুলে ধরে, বিশেষ করে পরিত্যক্ত বা আর সক্রিয়ভাবে রক্ষণাবেক্ষণ না করা প্রকল্পগুলির সাথে সম্পর্কিত অ্যাকাউন্টগুলিকে সুরক্ষিত করার গুরুত্বকেও তুলে ধরে।
ব্যবহারকারীদের জন্য, মূল শিক্ষা হল যে কোনও অ্যাপ স্টোরই ভুল হতে পারে না। এমনকি লিনাক্সের মতো পরিবেশেও, যা ঐতিহ্যগতভাবে আরও নিরাপদ বলে বিবেচিত হয়, বিতরণ মডেল যখন বিশ্বাস এবং অটোমেশনের উপর নির্ভর করে তখন অপব্যবহার ঘটতে পারে। সংবেদনশীল অ্যাপ্লিকেশনগুলির ক্ষেত্রে, বিশেষ করে ক্রিপ্টোকারেন্সি বা শংসাপত্রের সাথে সম্পর্কিত অ্যাপ্লিকেশনগুলির ক্ষেত্রে চরম সতর্কতা অবলম্বন করা এখনও একটি গুরুত্বপূর্ণ পদক্ষেপ।