প্রকল্পটি যা দেওয়ার দাবি করে
রিপোজিটরিটি একটি Aion 2 প্রি-অ্যাক্টিভেটেড লোকাল বিল্ডের জন্য স্বয়ংক্রিয় স্বতন্ত্র ইনস্টলার হিসেবে নিজেকে বর্ণনা করে। এটি Windows x64 ডেস্কটপের জন্য তৈরি, আনুমানিক ডাউনলোডের আকার 1.7 GB, এবং পরীক্ষা, ডিপ্লয়মেন্ট ও অফলাইন পরিবেশের জন্য উপযোগী বলে উপস্থাপিত।
README-তে সোর্স কোড, লাইসেন্সসংক্রান্ত তথ্য, চেকসাম, ডিজিটাল স্বাক্ষরের বিবরণ, রিলিজ নোট, বা ইনস্টলেশনের পর সফটওয়্যারটি ব্যবহারের নির্দেশনা নেই। প্যাকেজটিকে প্রি-অ্যাক্টিভেটেড হিসেবেও চিহ্নিত করা হয়েছে, যা অননুমোদিত বিতরণের ইঙ্গিত দিতে পারে। এগিয়ে যাওয়ার আগে নিশ্চিত করুন যে সফটওয়্যারটি সংগ্রহ ও ব্যবহারের অনুমতি আপনার আছে।
সরবরাহ করা সেটআপ কমান্ডটি তৃতীয় পক্ষের একটি ডোমেইন থেকে টেক্সট ডাউনলোড করে, সেই টেক্সটকে PowerShell স্ক্রিপ্টে রূপান্তর করে এবং সঙ্গে সঙ্গে মেমরিতে সেটি চালায়। এতে চালানোর আগে স্বাভাবিকভাবে পর্যালোচনা করা বাধাগ্রস্ত হয় এবং উল্লেখযোগ্য নিরাপত্তা ঝুঁকি তৈরি হয়।
প্রধান বৈশিষ্ট্য
- প্ল্যাটফর্ম: Windows x64 ডেস্কটপ।
- বিতরণ: একটি স্বতন্ত্র, কথিত প্রি-অ্যাক্টিভেটেড বিল্ড।
- আনুমানিক আকার: 1.7 GB।
- সেটআপ পদ্ধতি: দূরবর্তীভাবে ডাউনলোড করা PowerShell স্ক্রিপ্ট।
- পরিবেশ: README-তে প্যাকেজটিকে অফলাইন অবকাঠামোর জন্য একটি স্বয়ংক্রিয় কনফিগারেশন হিসেবে বর্ণনা করা হয়েছে।
- যাচাইকরণের দাবি: এতে বলা হয়েছে যে মিরর সিঙ্ক্রোনাইজেশন সর্বশেষ November 2026-এ যাচাই করা হয়েছিল, কিন্তু সেই দাবির সমর্থনে কোনো প্রমাণ দেওয়া হয়নি।
প্রকাশিত সেটআপ পদ্ধতি কেন ঝুঁকিপূর্ণ
README-তে ব্যবহারকারীদের একটি দূরবর্তী URL তৈরি করতে, System.Net.WebClient ব্যবহার করে তার বিষয়বস্তু ডাউনলোড করতে, একটি স্ক্রিপ্ট ব্লক তৈরি করতে এবং সেটি চালাতে বলা হয়েছে। গুরুত্বপূর্ণ আচরণটি এভাবে সংক্ষেপ করা যায়:
দূরবর্তী টেক্সট → মেমরিতে ডাউনলোড → কোডে রূপান্তর → সঙ্গে সঙ্গে চালানোএই পদ্ধতিতে আপনার কম্পিউটারে চলা কোডের ওপর দূরবর্তী সার্ভার নিয়ন্ত্রণ পায়। README প্রকাশের পর সার্ভারটি স্ক্রিপ্টও পরিবর্তন করতে পারে। ফলে শুধু রিপোজিটরি পর্যালোচনা করলে কমান্ডটি চালানোর সময় কী করবে তা জানা যায় না।
সমস্যা সমাধান অংশে অতিরিক্তভাবে রিয়েল-টাইম অ্যান্টিভাইরাস সুরক্ষা সাময়িকভাবে বন্ধ করার পরামর্শ দেওয়া হয়েছে। এই পরামর্শ অনুসরণ করবেন না। সফটওয়্যারটি স্বাক্ষরবিহীন, অপরিচিত কোনো মিররের মাধ্যমে বিতরিত, বা প্রি-অ্যাক্টিভেটেড হিসেবে প্রচারিত হলে নিরাপত্তা সতর্কতাগুলো বিশেষভাবে গুরুত্বপূর্ণ।
নিরাপদ ইনস্টলেশন ও যাচাইয়ের কর্মপ্রবাহ
README-তে যাচাইযোগ্য কোনো ইনস্টলেশন পদ্ধতি দেওয়া হয়নি। ইনস্টলেশনের কথা বিবেচনা করার আগে কোনো অফিসিয়াল প্রকাশক বা স্বাধীনভাবে বিশ্বস্ত অন্য কোনো উৎস থেকে প্রচলিত ডাউনলোডযোগ্য প্যাকেজ সংগ্রহ করুন। প্যাকেজে একটি ক্রিপ্টোগ্রাফিক চেকসাম এবং সম্ভব হলে একটি বৈধ Windows ডিজিটাল স্বাক্ষর থাকা উচিত।
- অনুমোদন নিশ্চিত করুন। প্রকাশকের পরিচয় যাচাই করুন এবং নিশ্চিত করুন যে লাইসেন্সে বিল্ডটি বিতরণ ও ব্যবহারের অনুমতি রয়েছে।
- একটি স্থির ফাইল সংগ্রহ করুন। এক ধাপে পরিবর্তনশীল দূরবর্তী কনটেন্ট ডাউনলোড ও চালানো হয় এমন কমান্ড এড়িয়ে চলুন।
- নিরাপত্তা নিয়ন্ত্রণ চালু রাখুন। Microsoft Defender, SmartScreen বা তৃতীয় পক্ষের অ্যান্টিভাইরাস সফটওয়্যার বন্ধ করবেন না।
- হ্যাশ যাচাই করুন। ফাইলটির SHA-256 ডাইজেস্ট আলাদা কোনো বিশ্বস্ত চ্যানেলে প্রকাশিত চেকসামের সঙ্গে তুলনা করুন।
- ডিজিটাল স্বাক্ষর পরীক্ষা করুন। স্বাক্ষরকারী প্রত্যাশিত প্রকাশক কি না এবং Windows স্বাক্ষরটিকে বৈধ বলে জানাচ্ছে কি না নিশ্চিত করুন।
- প্যাকেজ স্ক্যান করুন। হালনাগাদ এন্ডপয়েন্ট সুরক্ষা ব্যবহার করুন এবং সাংগঠনিক নীতি অনুমোদন করলে একটি সুনামসম্পন্ন মাল্টি-ইঞ্জিন বিশ্লেষণ সেবা ব্যবহার করুন।
- বিচ্ছিন্ন পরিবেশে পরীক্ষা করুন। ব্যক্তিগত ফাইল, সংরক্ষিত পরিচয়পত্র, শেয়ার করা ফোল্ডার বা সংবেদনশীল নেটওয়ার্কে প্রবেশাধিকারহীন একটি অস্থায়ী ভার্চুয়াল মেশিন ব্যবহার করুন।
- কার্যকলাপ পর্যালোচনা করুন। বিস্তৃত ডিপ্লয়মেন্ট অনুমোদনের আগে নেটওয়ার্ক সংযোগ, তৈরি হওয়া ফাইল, নির্ধারিত কাজ, সার্ভিস এবং রেজিস্ট্রি পরিবর্তন পর্যবেক্ষণ করুন।
SHA-256 হ্যাশ গণনা করুন
বিশ্বস্ত উৎস থেকে একটি স্থির ফাইল সংগ্রহের পর PowerShell দিয়ে তার হ্যাশ গণনা করুন। উদাহরণে দেওয়া পথটি প্রকৃত স্থানীয় ফাইলের পথ দিয়ে প্রতিস্থাপন করুন:
Get-FileHash -Algorithm SHA256 -Path 'C:\Path\To\Installer.exe'ফলাফল পাওয়া হ্যাশটি তখনই কার্যকর, যখন তা বৈধ সফটওয়্যার বিক্রেতার স্বাধীনভাবে প্রকাশিত চেকসামের সঙ্গে তুলনা করতে পারবেন। একই অবিশ্বস্ত মিরর থেকে সরবরাহ করা হ্যাশ সত্যতা প্রমাণ করে না।
ডিজিটাল স্বাক্ষর পরীক্ষা করুন
কোনো এক্সিকিউটেবল বা স্ক্রিপ্টের Authenticode স্বাক্ষর পরীক্ষা করতে PowerShell ব্যবহার করুন:
Get-AuthenticodeSignature -FilePath 'C:\Path\To\Installer.exe' | Format-List *বৈধ স্ট্যাটাস খুঁজুন এবং স্বাক্ষরকারী প্রত্যাশিত প্রকাশকের সঙ্গে মেলে কি না যাচাই করুন। বৈধ স্বাক্ষর নিশ্চিত করে কে ফাইলটিতে স্বাক্ষর করেছে এবং স্বাক্ষরের পর থেকে ফাইলটি পরিবর্তিত হয়েছে কি না; তবে শুধু এর ভিত্তিতে প্রোগ্রামটি নিরাপদ বলে নিশ্চিত হওয়া যায় না।
চালানো ছাড়া PowerShell স্ক্রিপ্ট পর্যালোচনা করুন
অনুমোদিত কোনো উৎস স্ক্রিপ্ট ফাইল হিসেবে সরবরাহ করলে সেটি টেক্সট হিসেবে খুলুন অথবা কোনো এক্সিকিউশনবিহীন কমান্ড দিয়ে পড়ুন:
Get-Content -LiteralPath 'C:\Path\To\Setup.ps1'অতিরিক্ত ডাউনলোড, এনকোড করা কমান্ড, পরিচয়পত্রে প্রবেশাধিকার, নিরাপত্তা সেটিং পরিবর্তন, পারসিস্টেন্স ব্যবস্থা, নির্ধারিত কাজ, এক্সক্লুশন এবং অপ্রত্যাশিত বহির্মুখী সংযোগের জন্য এটি পরীক্ষা করুন। পর্যালোচনার সময় ফাইলটিতে ডট-সোর্স করবেন না বা এর বিষয়বস্তু Invoke-Expression-এ পাঠাবেন না।
মৌলিক ব্যবহার ও সীমাবদ্ধতা
README-তে অ্যাপ্লিকেশন চালুর নির্দেশনা, কমান্ড-লাইন অপশন, অ্যাকাউন্ট সেটআপের বিবরণ, কনফিগারেশনের উদাহরণ বা আনইনস্টল করার পদ্ধতি নেই। তাই ইনস্টলেশনের পর নির্ভরযোগ্য টিউটোরিয়াল হিসেবে এটি যথেষ্ট নয়। বৈধ কোনো বিল্ড সংগ্রহ করলে সেটি চালু, কনফিগার, আপডেট ও অপসারণের জন্য অফিসিয়াল প্রকাশকের ডকুমেন্টেশন ব্যবহার করুন।
নিয়ন্ত্রিত মূল্যায়নের জন্য, ইনস্টলেশনের আগে পরীক্ষামেশিনের অবস্থা নথিবদ্ধ করুন, স্পষ্টভাবে প্রশাসকের অনুমতি প্রয়োজন না হলে প্রশাসনিক সুবিধা ছাড়াই যাচাইকৃত ইনস্টলার চালান এবং প্রতিটি প্রম্পট রেকর্ড করুন। ইনস্টলার আপনাকে নিরাপত্তা বৈশিষ্ট্য নিষ্ক্রিয় করতে, অ্যান্টিভাইরাসে ব্যতিক্রম যোগ করতে, অজানা সার্টিফিকেট ইনস্টল করতে বা অসংশ্লিষ্ট পরিচয়পত্র দিতে বললে থেমে যান।
উন্নত নিরাপত্তা পরামর্শ
- স্ন্যাপশট ব্যবহার করুন: পরীক্ষার আগে একটি ভার্চুয়াল মেশিনের স্ন্যাপশট তৈরি করুন, যাতে পরে পরিবেশটি বাতিল করা যায়।
- নেটওয়ার্ক সীমিত করুন: নেটওয়ার্ক নিষ্ক্রিয় অথবা কঠোরভাবে ফিল্টার করা অবস্থায় শুরু করুন। প্রয়োজনীয় বলে প্রমাণিত গন্তব্যগুলোই কেবল সক্রিয় করুন।
- সংবেদনশীল অ্যাকাউন্ট এড়িয়ে চলুন: মূল্যায়নের সময় ব্যক্তিগত, গেমিং, ইমেইল, ক্লাউড বা প্রশাসকের পরিচয়পত্র দিয়ে সাইন ইন করবেন না।
- স্থায়িত্ব পর্যবেক্ষণ করুন: ইনস্টলেশনের পরে স্টার্টআপ এন্ট্রি, সেবা, নির্ধারিত কাজ, ব্রাউজার এক্সটেনশন এবং Windows Defender-এর ব্যতিক্রমগুলো পরীক্ষা করুন।
- পুনরুৎপাদনযোগ্যতা নিশ্চিত করুন: সাংগঠনিক স্থাপনার জন্য সঠিকভাবে অনুমোদিত প্যাকেজ, এর হ্যাশ, স্বাক্ষরের তথ্য, স্ক্যানের ফলাফল এবং পরীক্ষার প্রতিবেদন সংরক্ষণ করুন।
- ব্যাখ্যাহীন শনাক্তকরণ প্রত্যাখ্যান করুন: README-তে স্বয়ংক্রিয় ইনস্টলার শনাক্ত হতে পারে বলা আছে বলে অ্যান্টিভাইরাস সতর্কতাকে মিথ্যা ইতিবাচক ধরে নেবেন না।
উপসংহার
রিপোজিটরিটি 1.7 GB-এর একটি স্বতন্ত্র Windows বিল্ড দেওয়ার দাবি করলেও, এর README দূরবর্তীভাবে ডাউনলোড করা PowerShell কোড তাৎক্ষণিকভাবে চালানোর ওপর নির্ভর করে এবং অ্যান্টিভাইরাস সুরক্ষা দুর্বল করার পরামর্শ দেয়। এতে কোনো সোর্স, চেকসাম, স্বাক্ষর, লাইসেন্সিংয়ের প্রমাণ বা ইনস্টলেশনের পরের নথিপত্র নেই। তাই সরবরাহ করা কমান্ডটিকে নিরাপদ সেটআপ পদ্ধতি হিসেবে বিবেচনা করা উচিত নয়। যাচাইযোগ্য প্রকাশকের কাছ থেকে অনুমোদিত প্যাকেজ সংগ্রহ করুন, স্বাধীনভাবে তা যাচাই করুন এবং কেবল বিচ্ছিন্ন পরিবেশে পরীক্ষা করুন।