সনি ২০১৭ সালের আগের FeliCa আইসি চিপে নিরাপত্তা ত্রুটি নিশ্চিত করেছে: জাপানের গণপরিবহন ও পেমেন্ট ব্যবস্থার জন্য এর অর্থ কী

সনির FeliCa দুর্বলতা: জাপানের অবকাঠামোর জন্য বড় নিরাপত্তা উদ্বেগ

২০২৫ সালের আগস্টের শেষ দিকে সনি করপোরেশন পুরোনো সংস্করণের FeliCa কন্ট্যাক্টলেস আইসি চিপে গুরুতর নিরাপত্তা দুর্বলতার কথা প্রকাশ্যে স্বীকার করে। জাপানের পরিবহন কার্ড ও ইলেকট্রনিক পেমেন্ট ব্যবস্থার অন্যতম ভিত্তি এই চিপগুলো চালুর পর থেকে ১৮০ কোটির বেশি ইউনিট সরবরাহ করা হয়েছে। টোকিওভিত্তিক একটি গবেষক দল ত্রুটিটি শনাক্ত করে এবং জাপানের তথ্যপ্রযুক্তি উন্নয়ন সংস্থা (IPA)-এর মাধ্যমে তা জানায়। ত্রুটিটির কারণে আক্রমণকারীরা এনক্রিপশন এড়িয়ে সংশ্লিষ্ট কার্ডে সংরক্ষিত তথ্যে পরিবর্তন আনতে পারে। এখন পর্যন্ত অপব্যবহারের কোনো ঘটনা শনাক্ত না হলেও, এ তথ্য জাপানের গণপরিবহন, পেমেন্ট ও পরিচয় শনাক্তকরণ অবকাঠামোতে উদ্বেগ সৃষ্টি করেছে।

FeliCa কী এবং এটি এত গুরুত্বপূর্ণ কেন?

FeliCa হলো সনির নিজস্ব কন্ট্যাক্টলেস RFID স্মার্ট কার্ড প্রযুক্তি, যা প্রথম চালু হয় ১৯৯০-এর দশকের শেষ দিকে। নিরাপদ লেনদেন ও পরিচয় যাচাইয়ের কাজে এটি জাপান এবং এশিয়ার আরও কয়েকটি বাজারে ব্যাপকভাবে ব্যবহৃত হয়। FeliCa ব্যবহৃত হয়:

• Suica ও Pasmo-র মতো পরিবহন কার্ডে, যা লাখো মানুষ প্রতিদিন ট্রেন ও বাসে যাতায়াতের জন্য ব্যবহার করেন
• Edy ও Nanaco-র মতো ইলেকট্রনিক মানি কার্ডে
• কর্মী ও শিক্ষার্থীদের পরিচয়পত্রে
• নিরাপত্তাসংবলিত স্থাপনায় প্রবেশের পাসে

এই প্রযুক্তি ব্যবহার করা হয় বাস্তব কার্ডে এবং মোবাইল ডিভাইসে (যেমন NFC-সক্ষম স্মার্টফোনে)। এর গতি, নির্ভরযোগ্যতা ও নিরাপত্তা জাপানের নগদবিহীন সমাজ এবং জনসেবা অবকাঠামোর একটি আস্থাভাজন ভিত্তি হিসেবে একে প্রতিষ্ঠিত করেছে।

FeliCa যেভাবে কাজ করে

FeliCa কার্ড রিডারের সঙ্গে যোগাযোগের জন্য রেডিও-ফ্রিকোয়েন্সি আইডেন্টিফিকেশন (RFID) ব্যবহার করে। কোনো কার্ড রিডারে ছোঁয়ালে এনক্রিপ্ট করা তথ্য আদান-প্রদান হয়, ফলে দ্রুত পরিচয় যাচাই ও পেমেন্ট করা যায়। এই লেনদেনের নিরাপত্তা নির্ভর করে চিপে সংরক্ষিত এনক্রিপশন কী-এর ওপর, যেগুলো বাইরের কারও নাগালের বাইরে থাকার কথা।

দুর্বলতার বিস্তারিত: কোথায় ত্রুটি ছিল?

২০১৭ সালের আগে সরবরাহ করা নির্দিষ্ট কিছু FeliCa আইসি চিপে এই দুর্বলতা রয়েছে। সনির আনুষ্ঠানিক বিবৃতি অনুযায়ী, বহিরাগত গবেষকদের শনাক্ত করা কিছু বিশেষ কার্যক্রমের মাধ্যমে এসব চিপের তথ্য পড়া বা পরিবর্তন করা সম্ভব হতে পারে। সবচেয়ে গুরুতর বিষয় হলো, FeliCa সিস্টেমকে সুরক্ষিত রাখা এনক্রিপশন কী চুরি হয়ে যেতে পারে, যা আক্রমণকারীদের সক্ষম করতে পারে:

• পরিবহন কার্ডের ব্যালান্স বা বৈধতা পরিবর্তন করতে
• ইলেকট্রনিক পেমেন্ট ব্যবস্থা ব্যাহত করতে
• সংবেদনশীল স্থাপনায় প্রবেশের জন্য কর্মী বা শিক্ষার্থীদের পাস জাল করতে

সাইবার নিরাপত্তা বিশেষজ্ঞরা একে “অত্যন্ত গুরুতর সমস্যা” হিসেবে বর্ণনা করেছেন, যা জাপানের দৈনন্দিন জীবনকে সচল রাখা অবকাঠামোর ওপর আস্থাকে দুর্বল করে। পরীক্ষাগারে ত্রুটিটি নিশ্চিত করা হয়েছে, তবে বাস্তবে এটি কাজে লাগানোর কোনো খবর এখনো পাওয়া যায়নি।

ত্রুটি শনাক্ত ও প্রকাশ

টোকিওর একটি গবেষক দল ত্রুটিটি শনাক্ত করে এবং জাপানের তথ্য নিরাপত্তা আগাম সতর্কতা অংশীদারত্ব নির্দেশিকা অনুসরণ করে ২০২৫ সালের জুলাইয়ে IPA-এর মাধ্যমে তা জানায়। কিয়োদো নিউজ ও অন্যান্য সংবাদমাধ্যমের প্রশ্নের পর সনি দুর্বলতার বিষয়টি নিশ্চিত করে। কোম্পানিটি জোর দিয়ে বলেছে, FeliCa-ভিত্তিক পরিষেবার নিরাপত্তা শুধু চিপের ওপর নয়, পুরো সিস্টেমের কাঠামো ও ব্যাকএন্ড পর্যবেক্ষণের ওপরও নির্ভর করে।

কারা ঝুঁকিতে?

এই দুর্বলতা ২০১৭ সালের আগে তৈরি করা বাস্তব FeliCa কার্ডের মধ্যে সীমাবদ্ধ। এর মধ্যে রয়েছে:

• পরিবহন কার্ড (যেমন Suica, Pasmo)
• প্রিপেইড ইলেকট্রনিক মানি কার্ড
• ২০১৭ সালের আগে ইস্যু করা কর্মী ও শিক্ষার্থীদের পরিচয়পত্র

গুরুত্বপূর্ণ বিষয় হলো, Osaifu-Keitai (মোবাইল ওয়ালেট) পরিষেবা ব্যবহার করা স্মার্টফোনের মতো Mobile FeliCa ডিভাইস এই দুর্বলতায় আক্রান্ত নয়। ২০১৭ সালের পর সরবরাহ করা আধুনিক FeliCa চিপও নিরাপদ বলে বিবেচিত।

JR East (Suica-র পরিচালনাকারী), NTT Docomo (iD পেমেন্ট পরিষেবা), JCB (QUICPay) এবং JR West-সহ FeliCa-র বড় অংশীদারেরা বিবৃতি দিয়ে ব্যবহারকারীদের আশ্বস্ত করেছে যে তাদের পণ্য ও পরিষেবা নিরাপদ রয়েছে। পরিস্থিতি পর্যবেক্ষণ এবং প্রয়োজনে নিরাপত্তা জোরদার করতে তারা সনির সঙ্গে ঘনিষ্ঠভাবে কাজ করছে।

সম্ভাব্য ঝুঁকি ও বাস্তব জীবনে প্রভাব

প্রযুক্তিগতভাবে এই দুর্বলতা তাৎপর্যপূর্ণ হলেও, কয়েকটি কারণে বাস্তব জীবনে এর প্রভাব সীমিত হতে পারে:

• ত্রুটিটি শুধু পরীক্ষাগারের পরিবেশে দেখানো হয়েছে, বাস্তব আক্রমণে নয়।
• কার্ডের এনক্রিপশন কী হাতিয়ে নেওয়া হলেও ব্যাকএন্ড সিস্টেম সন্দেহজনক কার্ড শনাক্ত করে আটকে দিতে পারে।
• পরিষেবা প্রদানকারীদের কাছে শক্তিশালী পর্যবেক্ষণ ও জালিয়াতি শনাক্তকরণ ব্যবস্থা রয়েছে।

উদাহরণস্বরূপ, NTT Docomo জানিয়েছে, তারা প্রতিদিন iD পেমেন্ট পরিষেবা পর্যবেক্ষণ করে এবং যেকোনো জালিয়াতির ঘটনা তদন্ত করে ব্যবস্থা নিতে পারে। কোম্পানির একজন মুখপাত্রের ভাষায়:

আমরা প্রতিদিন iD পরিষেবা পর্যবেক্ষণ করি। কোনো জালিয়াতির ঘটনা শনাক্ত হলে, আমরা তা আলাদাভাবে তদন্ত করে যথাযথ ব্যবস্থা নেব।

তা সত্ত্বেও তাত্ত্বিক ঝুঁকি থেকেই যায়। আক্রমণকারীরা যদি ব্যাপকভাবে ত্রুটিটি কাজে লাগাতে পারে, তবে তারা পরিবহন ব্যবস্থা বা ইলেকট্রনিক পেমেন্ট ব্যাহত করতে পারে, কিংবা নিরাপত্তাসংবলিত স্থাপনায় অননুমোদিত প্রবেশাধিকার পেতে পারে। এতে জনসাধারণের আস্থা ও কার্যক্রমের নির্ভরযোগ্যতা গুরুতরভাবে ক্ষতিগ্রস্ত হতে পারে।

শিল্পখাত ও সরকারের প্রতিক্রিয়া

সনি পরিষেবা প্রদানকারী ও সরকারি প্রতিষ্ঠানের সঙ্গে সহযোগিতায় সক্রিয় ভূমিকা নিয়েছে। কোম্পানির আনুষ্ঠানিক নির্দেশনা হলো, সংশ্লিষ্ট পরিষেবা প্রদানকারীদের দেওয়া তথ্যের ভিত্তিতে অংশীজনেরা যেন FeliCa-ভিত্তিক পরিষেবা ব্যবহার চালিয়ে যান। সনি এখনো নির্দিষ্ট কোনো প্রতিরোধমূলক ব্যবস্থা ঘোষণা করেনি। তবে মৌলিক সমাধানের জন্য আক্রান্ত পুরোনো সব কার্ড বাতিল করতে হতে পারে, যা প্রচলনে থাকা কার্ডের সংখ্যা বিবেচনায় একটি বড় ধরনের ব্যবস্থাপনাগত চ্যালেঞ্জ।

তথ্য প্রকাশ ও প্রতিক্রিয়া সমন্বয়ে জাপানের তথ্যপ্রযুক্তি উন্নয়ন সংস্থা (IPA) গুরুত্বপূর্ণ ভূমিকা পালন করেছে। আগাম সতর্কতা ও তথ্য বিনিময়ে সংস্থাটির নির্দেশিকার ফলে পরিষেবা প্রদানকারীরা বিষয়টি সম্পর্কে অবগত হয়েছে এবং নিজেদের সিস্টেমের ঝুঁকি মূল্যায়ন করতে পেরেছে।

বড় অংশীদারদের বক্তব্য

Suica পরিবহন কার্ডের পরিচালনাকারী JR East এবং অন্যান্য বড় অংশীদার ব্যবহারকারীদের আশ্বস্ত করেছে যে তাদের সিস্টেম নিরাপদ রয়েছে। সম্ভাব্য যেকোনো হুমকি মোকাবিলায় তারা সনি ও সংশ্লিষ্ট কর্তৃপক্ষের সঙ্গে কাজ করার অঙ্গীকার করেছে। At a Distance-এর শিল্পখাত বিশ্লেষণ অনুযায়ী, সমস্যাটি মূলত তাত্ত্বিক এবং সিস্টেম পর্যায়ে সামাল দেওয়া সম্ভব:

কার্ডের চিপের কী হাতিয়ে নেওয়া হলেও, সিস্টেমের ব্যাকএন্ডে সেই কার্ড শনাক্ত করে আটকে দেওয়া সহজ।

চিপ পর্যায়ের সুরক্ষার সঙ্গে ব্যাকএন্ড পর্যবেক্ষণ মিলিয়ে নিরাপত্তার এই বহুস্তরীয় পদ্ধতি এখন পর্যন্ত পরিচিত কোনো অপব্যবহার ঠেকিয়ে রেখেছে।

সংবাদমাধ্যমের প্রতিবেদন ও জনমত

জাপানি ও আন্তর্জাতিক সংবাদমাধ্যমে এই দুর্বলতা উল্লেখযোগ্য মনোযোগ পেয়েছে। ঝুঁকিকে অতিরঞ্জিত করার জন্য কিছু সংবাদমাধ্যমের সমালোচনা হয়েছে, অন্যদিকে কিছু সংবাদমাধ্যম প্রযুক্তিগত দিক ও বাস্তব প্রভাবের ওপর গুরুত্ব দিয়েছে। প্রযুক্তিবিষয়ক ব্লগ ও শিল্পখাত বিশ্লেষকেরা উল্লেখ করেছেন, নিরাপত্তা গবেষকদের কাছে এই দুর্বলতা নতুন নয় এবং বিশ্বজুড়ে অন্যান্য স্মার্ট কার্ড ব্যবস্থাতেও একই ধরনের ত্রুটি পাওয়া গেছে।

সাইবার নিরাপত্তা নিয়ে সংবাদমাধ্যমের প্রতিবেদনের নির্ভরযোগ্যতা নিয়েও বৃহত্তর আলোচনা চলছে। কিছু বিশেষজ্ঞ আতঙ্ক না ছড়ানোর পরামর্শ দিয়েছেন। তাঁদের মতে, পরিষেবা প্রদানকারীরা শক্তিশালী পর্যবেক্ষণ ও প্রতিক্রিয়া প্রোটোকল বজায় রাখলে ভোক্তাদের জন্য প্রকৃত ঝুঁকি কম।

প্রযুক্তিগত প্রেক্ষাপট: স্মার্ট কার্ড কেন ঝুঁকিপূর্ণ?

FeliCa-র মতো স্মার্ট কার্ডে সংবেদনশীল তথ্য সংরক্ষণ এবং ক্রিপ্টোগ্রাফিক কার্যক্রম সম্পাদনের জন্য অন্তর্নির্মিত মাইক্রোচিপ ব্যবহার করা হয়। সময়ের সঙ্গে সাইড-চ্যানেল আক্রমণ ও চিপের স্তর খুলে ফেলার মতো হ্যাকিং কৌশলের অগ্রগতিতে পুরোনো চিপের নকশার দুর্বলতা প্রকাশ পেয়েছে। FeliCa-র ক্ষেত্রে আক্রান্ত চিপগুলো ২০১৭ সালের আগে তৈরি হয়েছিল, অর্থাৎ কিছু নিরাপত্তা উন্নয়ন মানদণ্ড হিসেবে চালু হওয়ার আগেই।

আক্রমণকারীরা কীভাবে ত্রুটিটি কাজে লাগাতে পারে?

তত্ত্বগতভাবে, ঝুঁকিপূর্ণ কার্ডে শারীরিক প্রবেশাধিকার পাওয়া কোনো আক্রমণকারী বিশেষ সরঞ্জাম ব্যবহার করে এনক্রিপশন কী বের করে কার্ডের তথ্য পরিবর্তন করতে পারে। এতে তারা সক্ষম হতে পারে:

• অনুমতি ছাড়াই পরিবহন বা পেমেন্ট কার্ডে মূল্য যোগ করতে
• নিরাপত্তাসংবলিত স্থাপনায় প্রবেশের অনুমতিপত্র জাল করতে
• জালিয়াতির উদ্দেশ্যে কার্ডের নকল তৈরি করতে

তবে এ ধরনের আক্রমণের জন্য কারিগরি দক্ষতা ও সরঞ্জাম দরকার, এবং শনাক্ত না হয়ে ব্যাপক মাত্রায় তা চালানো কঠিন।

ব্যবহারকারীদের কী করা উচিত?

বেশির ভাগ ভোক্তার জন্য এখনই কোনো পদক্ষেপ নেওয়ার প্রয়োজন নেই। পরিষেবা প্রদানকারী ও কার্ড ইস্যুকারীরা সন্দেহজনক কার্যক্রম পর্যবেক্ষণ করছে এবং কোনো পদক্ষেপ দরকার হলে ব্যবহারকারীদের জানাবে। আপনি যদি ২০১৭ সালের আগে ইস্যু করা কোনো বাস্তব FeliCa কার্ড ব্যবহার করেন, তবে বৃহত্তর নিরাপত্তা উন্নয়নের অংশ হিসেবে ভবিষ্যতে সেটি বদলে নিতে বলা হতে পারে। মোবাইল ওয়ালেট পরিষেবার ব্যবহারকারী এবং নতুন কার্ডধারীরা আক্রান্ত নন।

নিরাপত্তা বিশেষজ্ঞদের পরামর্শ

সাইবার নিরাপত্তা পেশাজীবীরা নিচের ভালো অভ্যাসগুলো মেনে চলার পরামর্শ দেন:

• আপনার কার্ড ইস্যুকারী বা পরিষেবা প্রদানকারীর আনুষ্ঠানিক ঘোষণা অনুসরণ করুন
• সন্দেহজনক কার্যক্রম বা অননুমোদিত লেনদেন হলে দ্রুত জানান
• পরিষেবা প্রদানকারী পরামর্শ দিলে পুরোনো কার্ড বদলে নিন

একজন সাইবার নিরাপত্তা বিশ্লেষক Mainichi-কে বলেন:

এটি অত্যন্ত গুরুতর একটি সমস্যা, যা অবকাঠামোর ওপর আস্থাকে দুর্বল করে। তবে যথাযথ পর্যবেক্ষণ ও প্রতিক্রিয়া থাকলে দৈনন্দিন ব্যবহারকারীদের জন্য ঝুঁকি কম থাকে।

জাপানের নগদবিহীন সমাজের জন্য বৃহত্তর তাৎপর্য

FeliCa-র দুর্বলতা বড় পরিসরের, দীর্ঘদিন ধরে ব্যবহৃত অবকাঠামো ব্যবস্থার নিরাপত্তা বজায় রাখার চ্যালেঞ্জগুলো তুলে ধরেছে। জাপান ও অন্যান্য দেশ নগদবিহীন সমাজের দিকে এগোতে থাকায় পেমেন্ট ও পরিচয় শনাক্তকরণ ব্যবস্থার নিরাপত্তা আরও গুরুত্বপূর্ণ হয়ে উঠছে। এ ঘটনা তুলে ধরেছে যে প্রয়োজন:

• পুরোনো ব্যবস্থার নিয়মিত নিরাপত্তা নিরীক্ষা ও হালনাগাদ
• প্রযুক্তি সরবরাহকারী, পরিষেবা পরিচালনাকারী ও জনগণের মধ্যে স্বচ্ছ যোগাযোগ
• পরবর্তী প্রজন্মের নিরাপদ হার্ডওয়্যার ও সফটওয়্যারে বিনিয়োগ

এ ঘটনাও মনে করিয়ে দেয়, কোনো ব্যবস্থাই দুর্বলতার ঊর্ধ্বে নয়। স্থিতিস্থাপকতার জন্য হার্ডওয়্যার, সফটওয়্যার ও ব্যাকএন্ড পর্যবেক্ষণের সমন্বয়ে বহুস্তরীয় নিরাপত্তা অপরিহার্য।

সংক্ষেপে

• সনি ২০১৭ সালের আগে সরবরাহ করা FeliCa আইসি চিপে গুরুতর দুর্বলতার কথা নিশ্চিত করেছে। এতে জাপানে পরিবহন, পেমেন্ট ও পরিচয় শনাক্তকরণে ব্যবহৃত বাস্তব কার্ডগুলো আক্রান্ত।
• ত্রুটির কারণে আক্রমণকারীরা এনক্রিপশন এড়িয়ে সংরক্ষিত তথ্যে পরিবর্তন আনতে পারে, তবে বাস্তবে অপব্যবহারের কোনো ঘটনা এখনো শনাক্ত হয়নি।
• Mobile FeliCa ডিভাইস ও নতুন কার্ড আক্রান্ত নয়।
• পরিষেবা প্রদানকারীদের শক্তিশালী পর্যবেক্ষণ ব্যবস্থা রয়েছে এবং সিস্টেম পর্যায়ে আক্রান্ত কার্ড আটকে দিতে পারে।
• সনি ও তার অংশীদারেরা কর্তৃপক্ষের সঙ্গে সহযোগিতা করছে। নির্দিষ্ট প্রতিরোধমূলক ব্যবস্থা এখনো ঘোষণা করা হয়নি, তবে পুরোনো কার্ড বদলানোর প্রয়োজন হতে পারে।
• গুরুত্বপূর্ণ অবকাঠামো ব্যবস্থায় চলমান নিরাপত্তা হালনাগাদ ও স্বচ্ছ যোগাযোগের গুরুত্ব এ ঘটনা তুলে ধরেছে।