AI-এর ত্রুটিপূর্ণ পণ্য থেকে আনুষ্ঠানিক যাচাইকরণ: AI-এর আধিপত্যের সাথে সাথে বাগ বাউন্টি প্রদানের পদ্ধতিতে পরিবর্তন আসছে

আগামী মাস থেকে, Nym তার পরবর্তী বার্ষিক নিরাপত্তা নিরীক্ষার প্রস্তুতিস্বরূপ কোড ফ্রিজ শুরু করছে। আমরা নেটওয়ার্ক এবং অ্যাপস জুড়ে পোস্ট-কোয়ান্টাম ক্রিপ্টোগ্রাফি এবং নতুন কভার ট্র্যাফিক স্কিম চালু করছি, তাই একটি নতুন নিরাপত্তা নিরীক্ষা প্রয়োজন। প্রতি বছর আমরা আমাদের অ্যাপ এবং কোড একটি স্বাধীন পর্যালোচনার মধ্য দিয়ে নিয়ে যাই, যাতে নিশ্চিত করা যায় যে আমরা নেটওয়ার্ক ব্যবহারকারীদের কাছে করা গোপনীয়তা ও সুরক্ষার প্রতিশ্রুতিগুলো পূরণ করছি।

এই নিরীক্ষার পর আমরা আনুষ্ঠানিক যাচাইয়ের দিকে আরও অগ্রসর হচ্ছি। বর্তমানে, Claude Fable-এর মতো AI মডেলগুলো আক্রমণ খুঁজে বের করা সহজ করে দিচ্ছে, এবং আমরা দেখছি যে আমাদের কোডের বিরুদ্ধে এআই নিরাপত্তা নিরীক্ষা চালানোর চেষ্টার ফলে আমাদের বর্তমান বাগ বাউন্টি প্রোগ্রামটি মূলত “AI স্লপ” বা নিম্নমানের উপকরণকেই আকর্ষণ করছে।

Nym-এ আমরা আসল বাগ খুঁজে বের করার জন্য আমাদের কোডের উপর নিয়মিতভাবে Claude Fable চালানো শুরু করেছি। ZCash Ironwood আপগ্রেডের মতোই, AI দ্বারা আবিষ্কৃত হতে পারে এমন সম্ভাব্য বাগ থেকে আমাদের কোডকে সুরক্ষিত রাখার একমাত্র উপায় হলো Nym দ্বারা ব্যবহৃত প্রতিটি প্রিমিটিভ এবং প্রোটোকলকে আনুষ্ঠানিকভাবে যাচাই করা।

বাগ বাউন্টি প্রোগ্রাম: কী পরিবর্তন হচ্ছে

আমাদের পরবর্তী নিরাপত্তা নিরীক্ষা এবং আনুষ্ঠানিক যাচাইকরণের দিকে আদর্শগত পরিবর্তনের প্রস্তুতির অংশ হিসেবে, আমরা আমাদের বাগ বাউন্টি প্রোগ্রামটি তার বর্তমান রূপে বন্ধ করছি।

এর অর্থ হলো, আমরা এখন পর্যন্ত যে অর্থপ্রদান ব্যবস্থাটি চালু রেখেছিলাম, তা বন্ধ করে দেওয়া। এই ব্যবস্থায়, রিপোর্ট করা সমস্যার তীব্রতা অনুসারে একটি নির্দিষ্ট স্তরে $NYM টোকেন প্রদান করা হতো। Nym এখন থেকে শুধুমাত্র গুরুতর এবং গুরুত্বপূর্ণ অনুসন্ধানের ক্ষেত্রে বিবেচনার ভিত্তিতে অর্থ প্রদান করবে। আমরা এখনও প্রতিবেদন গ্রহণ করছি, এবং গবেষকরা তাদের প্রাপ্ত যেকোনো তথ্য আমাদের কাছে পাঠাতে পারেন ও পাঠানো উচিত। আমাদের নিরাপদ আশ্রয় নীতি এবং দায়িত্বশীল তথ্য প্রকাশের নিয়মাবলী এখনও বহাল রয়েছে।

বর্তমান নির্দেশিকাগুলো nym.com/vdp-bbp-এ সর্বদা হালনাগাদ করা থাকে।

কেন আমরা এটা করছি

Nym-এর কোড হলো ওপেন সোর্স এবং এটি বিশ্বাসের উপর ভিত্তি করে গ্রহণ না করে, প্রতি বছর স্বাধীনভাবে পর্যালোচনা করা হয়।

এবারের ভিন্নতাটা হলো পদ্ধতিতে। একটি বহিরাগত নিরাপত্তা সংস্থার মাধ্যমে পরিচালিত এই আসন্ন অডিটটি শুরু করার জন্য আমাদের কোড-বেসটি ফ্রিজ করতে হবে, যে কারণে আমরা এখন বাউন্টি পুরস্কার প্রদান স্থগিত রাখছি। শেষ পর্যন্ত, একটি বাগ বাউন্টি প্রোগ্রাম এবং একটি গভীর নিরীক্ষা একই ধরনের কাজ করে, এবং চলমান কোনো নিরীক্ষায় ইতিমধ্যে ধরা পড়া রিপোর্টগুলো খুব বেশি কিছু যোগ করে না। আমাদের নিরাপত্তা প্রচেষ্টাকে প্রথমে নিরীক্ষা এবং তারপর আনুষ্ঠানিক যাচাইকরণের উপর কেন্দ্রীভূত করাই সম্পদের উত্তম ব্যবহার।

পরবর্তী ধাপ: আনুষ্ঠানিক যাচাইকরণ

এই নিরীক্ষার পর, আমরা আমাদের অংশীদার Cryspen-এর সাথে আনুষ্ঠানিক যাচাইকরণের দিকে অগ্রসর হচ্ছি। যেখানে বাগ বাউন্টি এবং প্রচলিত অডিট পরীক্ষা ও পর্যালোচনার মাধ্যমে ত্রুটি খুঁজে বের করে, সেখানে ফরমাল ভেরিফিকেশন কোডের আচরণের গাণিতিক প্রমাণ তৈরি করে দেখায় যে, সিস্টেমের গুরুত্বপূর্ণ অংশগুলো ঠিক উদ্দেশ্য অনুযায়ীই কাজ করে এবং নির্দিষ্ট কিছু কাজ একেবারেই করতে পারে না। এটি নিরাপত্তা প্রকৌশলের সর্বোচ্চ মানের নিশ্চয়তা, এবং আমাদের মতো গোপনীয়তা পরিকাঠামোর এই দিকেই অগ্রসর হওয়া উচিত।

অবশ্যই, সম্প্রতি পর্যন্ত Nym-এর মতো একটি বৃহৎ কোডবেসের ক্ষেত্রে এই কাজটি করা অত্যন্ত সময়সাপেক্ষ ছিল, কিন্তু এখন AI টুলগুলো Nym-এর মূল ক্রিপ্টোগ্রাফিক প্রিমিটিভ এবং প্রোটোকলগুলোর জন্য বৃহৎ পরিসরে আনুষ্ঠানিক যাচাইকরণ সম্ভব করে তুলেছে।

ফর্মাল ভেরিফিকেশন সম্পর্কে আরও জানতে, আমাদের CEO হ্যারি হ্যালপিনের লেখা A Roadmap for High Assurance Cryptography পড়ুন। হ্যারি হ্যালপিন ২০১৭ সালে ইনরিয়া দে প্যারিসে থাকাকালীন Karthik Bhargavan-এর সাথে কাজ করেছিলেন, যিনি এমন সব প্রোটোকলের (যেমন TLS 1.3 এবং Signal) ফর্মাল ভেরিফিকেশনের নেতৃত্ব দিয়েছিলেন, যার উপর সমগ্র ইন্টারনেট নির্ভরশীল। Karthik Bhargavan এখন Cryspen-এ যোগ দেওয়ায়, আমরা তার দলের সাথে Nym-এর মূল ক্রিপ্টোগ্রাফি ও প্রোটোকলগুলো আনুষ্ঠানিকভাবে যাচাই করার জন্য কাজ করব।

এখন পর্যন্ত আমাদের নিরীক্ষা

নেটওয়ার্কটির শুরুর দিনগুলো থেকেই Nym এবং NymVPN শীর্ষস্থানীয় প্রতিষ্ঠান ও ক্রিপ্টোগ্রাফারদের দ্বারা স্বাধীনভাবে নিরীক্ষিত ও পর্যালোচিত হয়ে আসছে। এই নথিটি আমাদের ট্রাস্ট সেন্টারে সর্বজনীনভাবে উপলব্ধ আছে:

• Cure53 (জুলাই ২০২৪)। ড. ড্যানিয়েল ব্লাইশেনবাখের সহ একটি দল দ্বারা পরিচালিত Nym-এর মোবাইল ও ডেস্কটপ অ্যাপ, VPN, নেটওয়ার্ক পরিকাঠামো এবং ক্রিপ্টোগ্রাফির একটি ব্যাপক নিরীক্ষা। Cure53 অডিট দেখুন।

• Oak Security (জানুয়ারি ২০২৩)। দুটি অডিট: একটি Nym মিক্সনেট এবং ভেটিং কন্ট্রাক্ট-এর, এবং অন্যটি Nym ওয়ালেট-এর।

• ডঃ জেপি ওমাসন (সেপ্টেম্বর ২০২১)। এই ক্ষেত্রের অন্যতম সুপরিচিত ক্রিপ্টোগ্রাফার কর্তৃক নেটওয়ার্কটির একটি প্রাথমিক নিরাপত্তা পর্যালোচনা।

• Cryspen প্রযুক্তিগত পর্যালোচনা (২০২৩–২০২৪)। Dr. Karthikeyan Bhargavan ও তাঁর সহকর্মীদের নেতৃত্বে ফর্মাল মেথড ব্যবহার করে Nym-এর ডিস্ট্রিবিউটেড কী জেনারেশন এবং Outfox প্যাকেট ফরম্যাটের ক্রিপ্টোগ্রাফিক পর্যালোচনা।

শেষের বিষয়টি এখানে গুরুত্বপূর্ণ: আনুষ্ঠানিক, গাণিতিক পর্যালোচনা Nym-এর জন্য নতুন কিছু নয়। এই পরবর্তী নিরীক্ষাটি সিস্টেমের আরও বেশি অংশে সেই পদ্ধতিটি প্রসারিত করে।

What this means for you

ব্যবহারকারীদের জন্য কোনো পরিবর্তন হচ্ছে না, বরং আমাদের নিরাপত্তা ব্যবস্থা আরও শক্তিশালী হচ্ছে। আপনার NymVPN এবং নেটওয়ার্ক স্বাভাবিকভাবে চলতে থাকে।

নিরাপত্তা গবেষকদের জন্য দরজা খোলা থাকবে। আপনি কোনো দুর্বলতা খুঁজে পেলে, সেটি security@nym.com -এ জানান। সম্ভব হলে, আমাদের PGP কী দিয়ে এনক্রিপ্ট করে এবং সমস্যাটি পুনরায় ঘটানোর সুস্পষ্ট ধাপসহ ইমেলটি পাঠান।

পুরস্কার এখন বিবেচনামূলক এবং শুধুমাত্র গুরুতর ও গুরুত্বপূর্ণ অনুসন্ধানের জন্য সংরক্ষিত, কিন্তু প্রতিটি বিশ্বাসযোগ্য প্রতিবেদন এখনও স্বীকৃতি পায়, এখনও সংশোধন করা হয় এবং এখনও Nym ব্যবহারকারী প্রত্যেককে সুরক্ষিত রাখতে সাহায্য করে। সম্পূর্ণ নির্দেশাবলী দুর্বলতা প্রকাশ পৃষ্ঠায় রয়েছে।