क्राउडस्ट्राइक क्रैश करने की घटना ने सॉफ्टवेयर आपूर्ति श्रृंखलाओं के भीतर की कमजोरियों को उजागर किया है. अब इस बात पर ज़ोर दिया जाना चाहिए कि सॉफ्टवेयर कंपनियां जवाबदेह बनें. अपने परीक्षण की प्रक्रिया को और मज़बूत करें, जिससे इस तरह के व्यापक व्यवधानों को रोका जा सके.
साइबर सिक्योरिटी को लेकर आईटी कंपनियां बहुत बड़े-बड़े दावे करती हैं. अपने साइबर सिक्योरिटी सिस्टम को फुलप्रूफ बताती हैं लेकिन 19 जुलाई, 2024 को साइबरस्पेस को एक बड़ा झटका लगा. ये शायद आईटी इतिहास का अब तक का सबसे बड़ा झटका था. ये आउटेज सुरक्षा सॉफ्टवेयर फर्म "क्राउडस्ट्राइक" द्वारा एक गलत अपडेट की वज़ह से हुआ. आउटेज यानी एक ऐसी स्थिति जिस अवधि में कोई सेवा उपलब्ध न हो, या बंद हो जाए. "क्राउडस्ट्राइक" के इस गलत अपडेट ने विंडोज ऑपरेटिंग सिस्टम चलाने वाले 8.5 मिलियन से ज़्यादा उपकरणों को प्रभावित किया. हालांकि ये विंडोज के स्थापित आधार का बहुत कम (करीब 1 प्रतिशत) प्रतिशत है, लेकिन इस गड़बड़ी ने जिन क्षेत्रों पर असर डाला, वो बहुत महत्वपूर्ण थे. इसका असर एयरलाइंस और हवाई अड्डों, सार्वजनिक परिवहन, स्वास्थ्य सेवा, वित्तीय सेवाओं, मीडिया और प्रसारण और यहां तक कि पेरिस ओलंपिक खेलों के लिए वर्दी की डिलीवरी पर भी दिखा. हालांकि ये एक साइंस फिक्शन यानी वैज्ञानिक कथा वाले उपन्यास की तरह की समस्या लग सकता है, लेकिन ऐसा नहीं है. ऑटोमेटिक सॉफ्टवेयर अपडेट में पिछले कुछ वक्त से दिक्कतें आ रहीं हैं लेकिन क्राउडस्ट्राइक सिस्टम के फेल होने ने इस समस्या की गंभीरता को बड़े पैमाने पर उजागर किया. इस आउटेज से ये बात भी सामने आई कि हमारे रोज़मर्रा के जीवन में सॉफ्टवेयर सप्लाई चेन की काफ़ी व्यापक उपस्थिति है. ऐसे में जबकि इन पर हमारी निर्भरता बढ़ती जा रही है तो सॉफ्टवेयर बनाने वालों और इसका रखरखाव करने वालों की ये जिम्मेदारी है कि वो इसे सुरक्षित रखें.
क्राउडस्ट्राइक द्वारा विकसित और बड़े पैमाने पर इस्तेमाल किए जाने वाले "फाल्कन" साइबर सुरक्षा सॉफ्टवेयर में एक दोषपूर्ण स्वचालित अपडेट को इस आउटेज के लिए जिम्मेदार बताया जा रहा है. चूंकि फाल्कन का उपयोग दुनिया के कई बड़े संगठन करते हैं, इसीलिए इस गड़बड़ी का इतना ज़्यादा असर दिखा और इतने सारे क्षेत्र गंभीर रूप से प्रभावित हुए. यानी ये कहा जा सकता है कि आउटेज के लिए सीधे माइक्रोसॉफ्ट नहीं बल्कि क्राउडस्ट्राइक नाम का तृतीय-पक्ष (थर्ड पार्टी ) जिम्मेदार था, जिसने फाल्कन साइबर सिक्योरिटी सिस्टम बनाया और उसका अपडेट भी करता है. इसने लाखों विंडोज सिस्टम को नाकाम कर दिया, जो तथाकथित "ब्लू स्क्रीन ऑफ डेथ (बीएसओडी) दिखा रहे थे.
क्राउडस्ट्राइक ने 19 जुलाई को फाल्कन प्लेटफॉर्म के लिए एक सेंसर कॉन्फ़िगरेशन अपडेट जारी किया. इन कॉन्फ़िगरेशन फ़ाइलों को "चैनल फ़ाइलें" भी कहा जाता है. क्राउडस्ट्राइक द्वारा इस्तेमाल ये एक अनूठा तरीका है, जिसके तहत साइबर सुरक्षा ख़तरों के रूप में मानी जाने वाली रणनीति, प्रौद्योगिकियों और प्रक्रियाओं का मुकाबला करने के लिए इस सॉफ्टवेयर को रोज़ अपडेट किया जाता है. इस मामले में सवालों के घेरे में एक प्रभावित फ़ाइल, चैनल फ़ाइल 291 थी, जिसके अपडेट ने एक तर्क त्रुटि को ट्रिगर किया. इसका नतीजा ये हुआ कि बाद में सारा सिस्टम ही क्रैश कर गया. सिर्फ विंडोज डिवाइस ही इस विशेष फ़ाइल का इस्तेमाल करती हैं, यही वजह है कि लिनक्स और मैक सिस्टम इस आउटेज से प्रभावित नहीं हुए. हालात तब और भी जटिल हो गए, जब ये पता चला कि माइक्रोसॉफ्ट के अपने क्लाउड प्लेटफ़ॉर्म अज़्य़ूर ने भी एक रात पहले व्यापक तकनीकी गड़बड़ी का अनुभव किया था. हालांकि इन दोनों विफलताओं का एक-दूसरे से कोई लेना देना नहीं था.
फाल्कन सॉफ्टवेयर में आउटेज की वज़ह से वैश्विक स्तर पर कई महत्वपूर्ण क्षेत्र और प्लेटफॉर्म प्रभावित हुए. इसे सामान्य बनाने में काफ़ी वक्त लगा, क्योंकि सिस्टम को मैन्युअल तरीके से ठीक करना पड़ा. रीबूटिंग समेत कई और सुधारात्मक कदम उठाए गए. इस आउटेज की वज़ह से एयरलाइंस और हवाई अड्डों को सबसे ज़्यादा परेशानियों का सामना करना पड़ा. कुछ उड़ानों में देरी हुई. कुछ को रद्द कर दिया गया, जिससे दुनिया भर के हवाई अड्डों पर लंबी कतारें लग गईं। डेल्टा, यूनाइटेड और अमेरिकन एयरलाइंस जैसी प्रमुख अमेरिकी हवाई कंपनियों को अपनी फ्लाइट्स ग्राउंड करनी पड़ी. उनका संचालन रोकने के लिए मजबूर होना पड़ा. दिल्ली, मुंबई, चेन्नई और बेंगलुरु समेत भारत के कुछ सबसे व्यस्त हवाई अड्डे भी इससे काफ़ी प्रभावित हुए. कुछ एयरलाइनों को तो हाथ से लिखे बोर्डिंग पास जारी करने के लिए भी मजबूर होना पड़ा.
ब्रिटेन, इज़राइल और जर्मनी में हेल्थ केयर सिस्टम प्रभावित हुआ. अस्पतालों को अपने रोगियों के साथ संवाद करने में मुश्किलों का सामना करना पड़ा. ऑस्ट्रेलिया के साथ-साथ ब्रिटेन में भी टेलीविजन और स्काई न्यूज़ जैसे समाचार नेटवर्क प्रभावित हुए. ऑनलाइन बैंकिंग सिस्टम और वीजा जैसी वित्तीय प्रणालियों पर भी इसका असर दिखा. अमेरिका में कई राज्यों ने इमरजेंसी नंबर 911 का इस्तेमाल कर आपातकालीन सेवाओं के साथ समस्याओं की सूचना दी. हैकर्स भी फ़िशिंग ईमेल और नकली फोन कॉल के ज़रिए इस गड़बड़ी का फायदा उठाने की जल्दी में थे क्योंकि क्राउडस्ट्राइक का फाल्कन काम नहीं कर रहा था.
क्राउडस्ट्राइक 79 मिनट के भीतर एक फिक्स की पहचान करने और तैनात करने में सक्षम था, जबकि व्यक्तिगत रूप से लाखों सिस्टम को भौतिक रूप से ठीक करना एक समय लेने वाली प्रक्रिया है. हालांकि क्राउडस्ट्राइक के सीईओ ने घोषणा की है 29 जुलाई 2024 तक करीब 99 प्रतिशत विंडोज सेंसर ऑनलाइन वापस आ गए थे, लेकिन कुछ मामलों में समस्या को ठीक होने में महीनों लगने की आशंका है. इसका नतीजा ये हुआ कि आउटेज के बाद क्राउडस्ट्राइक के शेयरों में 20 बिलियन डॉलर से अधिक की गिरावट आई. इसे देखते हुए शेयरधारकों और डेल्टा एयरलाइंस जैसी कंपनियों ने क्राउडस्ट्राइक के साथ-साथ माइक्रोसॉफ्ट पर मुकदमा करने की धमकी दी है.
हालांकि अतीत में स्टक्सनेट और नोटपेट्या जैसे वॉर्म्स और वायरस आउटेज का कारण बने हैं, लेकिन ये पहला उदाहरण था जब एक सॉफ्टवेयर अपडेट इतने बड़े पैमाने पर आउटेज के लिए जिम्मेदार था. कैसपर्सकी और विंडोज के अपने इन बिल्ट एंटीवायरस, विंडोज सॉफ्टवेयर डिफेंडर जैसी प्रसिद्ध कंपनियों के अपडेट ने भी अतीत में बीएसओडी क्रैश की घटनाओं का सामना करने में अगुवाई की है. यहां हमें एप्पल जैसी कंपनियों के सॉफ्टवेयर अपडेट को नहीं भूलना चाहिए. हालांकि इनकी भी अपनी कुछ कमियां हैं, लेकिन क्राउडस्ट्राइक आउटेज की व्यापकता ने हमें ये दिखाया कि एकीकृत सॉफ्टवेयर आपूर्ति श्रृंखलाएं किस तरह हमारे दैनिक जीवन का हिस्सा बन गई हैं.
हालांकि "कर्नेल ड्राइवर अपडेट" जैसे जो महत्वपूर्ण अपडेट होते हैं, उनकी जांच और परीक्षण खुद माइक्रोसॉफ्ट द्वारा किया जाता है. चैनल 291 जैसे कॉन्फ़िगरेशन अपडेट क्राउडस्ट्राइक की तरह के थर्ड पार्टी विक्रेताओं के लिए छोड़ दिए गए हैं, जैसा कि इस मामले में दिखा.
पिछले कुछ समय से सॉफ्टवेयर अपडेट प्रदर्शन और कम्पेटिबिलिटी की समस्याओं का सामना कर रहे हैं. हालांकि ये क्राउडस्ट्राइक जैसे बड़े पैमाने पर आउटेज का कारण नहीं बने, लेकिन ये एक तथ्य है कि ये समस्या बनी हुई. उदाहरण के लिए, विंडोज 11, शुरू से ही कॉम्टेबिलिटी और डिज़ाइन के कई मुद्दों से प्रभावित था. माइक्रोसॉफ्ट की तरफ से उपयोगकर्ताओं को पिछले संस्करणों से लगातार अपडेट करने के लिए परेशान किया गया जब तक कि वो हार मानकर आखिरकार ऐसा करने पर मज़बूर नहीं हुए. अब जबकि रोजमर्रा के काम करने के लिए सॉफ्टवेयर सप्लाई चेन्स पर दुनिया की निर्भरता लगातार बढ़ती जा रही है, ऐसे में दिग्गज सॉफ्टवेयर कंपनियों, खासकर माइक्रोसॉफ्ट, एप्पल और गूगल जैसी बड़ी तकनीकी कंपनियों की ये जिम्मेदारी है कि वो सॉफ्टवेयर अपडेट को ज़्यादा सुरक्षित बनाएं. सॉफ्टवेयर अपडेट में इन कंपनियों की हिस्सेदारी अधिक है. ऐसे में इनकी ये जिम्मेदारी है कि किसी भी सॉफ्टवेयर को अपडेट करने और तैनात करने से पहले उसका ठीक से परीक्षण किया जाए, जिससे क्राउडस्ट्राइक जैसी समस्या पैदा ना हो और वैश्विक स्तर पर उसका प्रभाव ना पड़े. नए और उभरते साइबर ख़तरों का मुकाबला करने के लिए अक्सर लगातार अपडेट की ज़रूरत होती है, लेकिन लगातार अपडेट का मतलब ये नहीं है कि साइबर सुरक्षा प्रणालियों की गुणवत्ता से समझौता किया जाए.
प्रतीक त्रिपाठी ऑब्ज़र्वर रिसर्च फाउंडेशन में रिसर्च असिस्टेंट हैं
The views expressed above belong to the author(s). ORF research and analyses now available on Telegram! Click here to access our curated content — blogs, longforms and interviews.
Prateek Tripathi is a Junior Fellow at the Centre for Security, Strategy and Technology. His work focuses on emerging technologies and deep tech including quantum technology ...
Read More +
PREV
