প্রকল্পের সারসংক্ষেপ
README-তে Claude Jailbreak Mpt-কে পরীক্ষণ, স্থাপন এবং অফলাইন পরিবেশের জন্য তৈরি আগে থেকেই সক্রিয়, স্বতন্ত্র Windows x64 ডেস্কটপ বিল্ড হিসেবে উপস্থাপন করা হয়েছে। এতে ডাউনলোডের আকার 2.7 GB হবে বলে অনুমান করা হয়েছে এবং বলা হয়েছে যে প্যাকেজটি দূরবর্তীভাবে ডাউনলোড করা PowerShell স্ক্রিপ্টের মাধ্যমে ইনস্টল করা হয়।
নিরাপত্তা সতর্কতা: নথিভুক্ত কমান্ডটি একটি বাহ্যিক ডোমেইন থেকে টেক্সট ডাউনলোড করে এবং সঙ্গে সঙ্গে সেটিকে PowerShell কোড হিসেবে কার্যকর করে। উৎস এবং ডাউনলোড করা প্রতিটি উপাদান স্বাধীনভাবে যাচাই না করা পর্যন্ত ব্যক্তিগত, প্রোডাকশন বা অন্য কোনো বিশ্বস্ত কম্পিউটারে এই কমান্ড চালাবেন না।
README-তে আসলে যা নথিভুক্ত রয়েছে
রিপোজিটরিতে কেবল কয়েকটি বিল্ড বৈশিষ্ট্যের কথা বলা হয়েছে:
- Windows x64 ডেস্কটপের জন্য একটি স্বতন্ত্র বিল্ড
- আগে থেকেই সক্রিয় করা কনফিগারেশনের দাবি
- প্যাকেজের আনুমানিক আকার 2.7 GB
- রিপোজিটরির বাইরে হোস্ট করা একটি স্বয়ংক্রিয় সেটআপ স্ক্রিপ্ট
- সেটআপের পর অফলাইন পরিবেশে স্থাপনের উদ্দেশ্য
README-তে সোর্স কোড, চেকসাম, ডিজিটাল-স্বাক্ষর সংক্রান্ত তথ্য, রিলিজের উৎস, স্ক্রিনশট, লাইসেন্সের বিবরণ, অ্যাপ্লিকেশনের নিয়ন্ত্রণব্যবস্থা বা ইনস্টলেশনের পর ব্যবহারের নির্দেশনা দেওয়া হয়নি। বিল্ডটি কী “jailbreak” কার্যকারিতা বাস্তবায়ন করে, তাও ব্যাখ্যা করা হয়নি।
PowerShell-এর আচরণ বুঝুন
প্রদত্ত এক লাইনের কমান্ডটি একটি দূরবর্তী URL তৈরি করে, একটি System.Net.WebClient তৈরি করে, সার্ভারের প্রতিক্রিয়া টেক্সট হিসেবে ডাউনলোড করে, সেই টেক্সটকে PowerShell স্ক্রিপ্ট ব্লকে রূপান্তর করে এবং সঙ্গে সঙ্গে কার্যকর করে। এটিকে সাধারণত ডাউনলোড-এবং-কার্যকর প্যাটার্ন বলা হয়।
প্রতিক্রিয়াটি সরাসরি কার্যকর হওয়ায় দূরবর্তী সার্ভার পরিবর্তন হলেই চালানো কোড বদলে যেতে পারে। শুধু README দেখে কোনো পর্যালোচক ইনস্টলারের সম্পূর্ণ আচরণ নির্ধারণ করতে পারবেন না।
গুরুত্বপূর্ণ সতর্কসংকেত
- কার্যকরযোগ্য সেটআপের যুক্তি রিপোজিটরিতে প্রদর্শনের পরিবর্তে একটি অসংশ্লিষ্ট বাহ্যিক ডোমেইনে হোস্ট করা হয়েছে।
- ইনস্টলার যাচাই করার জন্য README-তে কোনো SHA-256 চেকসাম দেওয়া নেই।
- কোনো প্রকাশক সার্টিফিকেট বা Authenticode স্বাক্ষরের উল্লেখ নেই।
- ফলব্যাক কমান্ডটি বিশ্বাসযোগ্যতার সমস্যা সমাধান না করে execution-policy সমস্যা এড়িয়ে যাওয়ার চেষ্টা করে।
- ইনস্টলার ব্লক হলে README-তে রিয়েল-টাইম অ্যান্টিভাইরাস সুরক্ষা সাময়িকভাবে বন্ধ করার পরামর্শ দেওয়া হয়েছে।
- “last verified” তারিখ একাই সত্যতা বা নিরাপত্তা প্রমাণ করতে পারে না।
Execution-policy এবং অ্যান্টিভাইরাস সতর্কতাগুলো তদন্ত করা উচিত, কেবল ইনস্টলের বাধা হিসেবে দেখা উচিত নয়। নিরাপত্তা নিয়ন্ত্রণ বন্ধ করলে এমন স্ক্রিপ্ট বা পেলোডের কারণে সিস্টেম ঝুঁকিতে পড়তে পারে, যেগুলো পরিদর্শন করা হয়নি।
আরও নিরাপদ মূল্যায়ন কর্মপ্রবাহ
README-র সেটআপ কমান্ড কার্যকর করে শুরু করবেন না। ইনস্টলেশনের কথা বিবেচনা করার আগে প্যাকেজটি মূল্যায়ন করতে নিম্নলিখিত প্রক্রিয়া অনুসরণ করুন।
- প্রকাশক নিশ্চিত করুন। রিপোজিটরির মালিক শনাক্ত করুন এবং বাহ্যিক ডাউনলোড ডোমেইনটি একই প্রকাশক আনুষ্ঠানিকভাবে নিয়ন্ত্রণ করেন কি না যাচাই করুন।
- সম্পূর্ণ ইনস্টলার চান। পরিবর্তনশীল সার্ভার-সাইড কনটেন্ট কার্যকর করে এমন নির্দেশের পরিবর্তে একটি নির্দিষ্ট রিলিজ আর্টিফ্যাক্ট সংগ্রহ করুন।
- চেকসাম চান। প্রকাশকের উচিত পৃথক, বিশ্বস্ত চ্যানেলের মাধ্যমে একটি SHA-256 মান দেওয়া।
- স্বাক্ষর পরীক্ষা করুন। প্রত্যাশিত প্রকাশকের বৈধ ডিজিটাল স্বাক্ষর আছে কি না, PowerShell স্ক্রিপ্ট এবং এক্সিকিউটেবল ফাইলগুলো পরীক্ষা করুন।
- কোড পর্যালোচনা করুন। সম্পূর্ণ সেটআপ স্ক্রিপ্ট পড়ুন এবং প্রতিটি নেটওয়ার্ক ঠিকানা, ডাউনলোড করা ফাইল, নির্ধারিত টাস্ক, পরিষেবা, রেজিস্ট্রি পরিবর্তন এবং নিরাপত্তা-সেটিং পরিবর্তন শনাক্ত করুন।
- আর্টিফ্যাক্ট স্ক্যান করুন। সুরক্ষা বন্ধ না করে হালনাগাদ নিরাপত্তা সরঞ্জাম ব্যবহার করুন। শনাক্তকরণগুলো দমন না করে তদন্ত করুন।
- বিচ্ছিন্ন পরীক্ষাগার ব্যবহার করুন। অনুমোদিত পরীক্ষা এখনও প্রয়োজন হলে ব্যক্তিগত শংসাপত্র, শেয়ার করা ফোল্ডার, ক্লিপবোর্ড ইন্টিগ্রেশন বা বিশ্বস্ত নেটওয়ার্কে প্রবেশাধিকারবিহীন একটি অস্থায়ী ভার্চুয়াল মেশিন ব্যবহার করুন।
- আচরণ পর্যবেক্ষণ করুন। পরীক্ষার সময় ফাইল, প্রক্রিয়া, রেজিস্ট্রি, স্থায়িত্ব এবং নেটওয়ার্ক কার্যকলাপ রেকর্ড করুন।
- পরিবেশ বাতিল করুন। মূল্যায়নের পর ভার্চুয়াল মেশিনটিকে বিশ্বস্ত হিসেবে বিবেচনা না করে পুনরুদ্ধার বা মুছে ফেলুন।
চালু না করে ডাউনলোড করা ফাইল যাচাই করুন
যাচাইকৃত উৎস থেকে Setup.ps1 সাধারণ ফাইল হিসেবে পেলে সেটি খোলা বা কার্যকর করার আগে এর SHA-256 ডাইজেস্ট গণনা করুন:
Get-FileHash .\Setup.ps1 -Algorithm SHA256ফলাফল পাওয়া হ্যাশটি স্বাধীন কোনো চ্যানেলের মাধ্যমে যাচাইকৃত ডেভেলপার প্রকাশিত মানের সঙ্গে তুলনা করুন। হ্যাশ মিলে গেলে ফাইলের সামঞ্জস্যতা প্রতিষ্ঠিত হয়, কিন্তু ফাইলটি নিরাপদ তা প্রমাণ হয় না।
আপনি এর Authenticode অবস্থাও পরীক্ষা করতে পারেন:
Get-AuthenticodeSignature .\Setup.ps1 | Format-Listঅনুপস্থিত বা অবৈধ স্বাক্ষর ম্যালওয়্যারের স্বয়ংক্রিয় প্রমাণ নয়, তবে এটি প্রকাশক যাচাইয়ের একটি গুরুত্বপূর্ণ উৎস সরিয়ে দেয়। বৈধ স্বাক্ষরটিও প্রত্যাশিত প্রতিষ্ঠানের হওয়া আবশ্যক।
স্ক্রিপ্টটি টেক্সট হিসেবে পরিদর্শন করুন
স্ক্রিপ্টটি PowerShell-এ লোড না করে একটি টেক্সট এডিটরে খুলুন। দূরবর্তী ডাউনলোড, এনকোড করা কনটেন্ট, প্রক্রিয়া তৈরি, নির্ধারিত টাস্ক, পরিষেবা, রেজিস্ট্রি রান কী, Defender ব্যতিক্রম, শংসাপত্রে প্রবেশাধিকার এবং execution-policy পরিবর্তন সম্পর্কিত কমান্ড খুঁজুন।
ফাইলটি শুধু পরিদর্শনের জন্য dot-sourcing, Invoke-Expression বা স্ক্রিপ্ট-ব্লক কার্যকর করা ব্যবহার করবেন না। এসব পদ্ধতি এর কনটেন্ট কার্যকর করতে পারে।
ইনস্টলেশন ও সেটআপের সিদ্ধান্ত
README-তে নথিভুক্ত সেটআপ পদ্ধতিকে নিরাপদ ইনস্টলেশন পদ্ধতি হিসেবে সুপারিশ করা যায় না, কারণ এটি পর্যালোচনা না করা দূরবর্তী কোড কার্যকর করে এবং অখণ্ডতা বা প্রকাশক যাচাইয়ের কোনো তথ্য দেয় না। অ্যান্টিভাইরাস বন্ধ করার পরামর্শ অনুসরণ করা উচিত নয়।
একটি নির্ভরযোগ্য ইনস্টলেশন পদ্ধতির জন্য অন্তত একটি নির্দিষ্ট ও পরিদর্শনযোগ্য রিলিজ আর্টিফ্যাক্ট, বিশ্বস্ত প্রকাশক পরিচয়, বৈধ স্বাক্ষর বা স্বাধীনভাবে যাচাইকৃত চেকসাম, স্পষ্ট লাইসেন্সের শর্তাবলি এবং সিস্টেমে করা প্রতিটি পরিবর্তনের বিবরণ প্রয়োজন। README-তে এগুলোর কোনোটিই দেওয়া নেই।
মৌলিক ব্যবহারের সীমাবদ্ধতা
ইনস্টল করা অ্যাপ্লিকেশন চালু করা, মডেল নির্বাচন, অফলাইন পরিবেশ কনফিগার করা, প্রম্পট জমা দেওয়া, ডেটা পরিচালনা বা সফটওয়্যার আনইনস্টল করার কোনো নির্দেশনা README-তে নেই। তাই এটি একটি নির্ভুল মৌলিক-ব্যবহার উদাহরণ দিতে পারে না।
একটি বৈধ ব্যবহার নির্দেশিকায় এক্সিকিউটেবলটির নাম, ইনস্টলেশন ডিরেক্টরি, ইন্টারফেস, নেটওয়ার্ক আচরণ, কনফিগারেশন ফাইল, ডেটা সংরক্ষণের স্থান, আপডেট প্রক্রিয়া এবং অপসারণের পদ্ধতি নথিভুক্ত করা উচিত। প্রকাশক এগুলো নথিভুক্ত না করা পর্যন্ত এই প্যাকেজের ক্ষেত্রে এসব তথ্য প্রযোজ্য বলে ধরে নেওয়া এড়িয়ে চলুন।
উন্নত নিরাপত্তা টিপস
- প্রমাণ সংরক্ষণ করুন। রিপোজিটরির রিভিশন, আর্টিফ্যাক্টের হ্যাশ, ডাউনলোডের সময়, সার্টিফিকেটের বিবরণ এবং পর্যবেক্ষিত নেটওয়ার্ক গন্তব্য নথিভুক্ত করুন।
- ন্যূনতম বিশেষাধিকার ব্যবহার করুন। নথিভুক্ত ইনস্টলেশন পরিবর্তনের জন্য সত্যিই প্রয়োজন না হলে প্রশাসকের অ্যাক্সেস দেবেন না।
- সংবেদনশীল রিসোর্সে অ্যাক্সেস বন্ধ রাখুন। পরীক্ষামূলক সিস্টেমকে পাসওয়ার্ড ম্যানেজার, ব্রাউজার প্রোফাইল, API কী, SSH কী, ক্লাউড ক্রেডেনশিয়াল এবং কর্পোরেট নেটওয়ার্ক থেকে দূরে রাখুন।
- স্থায়িত্বের ব্যবস্থা পরিদর্শন করুন। নিয়ন্ত্রিত পরীক্ষার পর নির্ধারিত কাজ, স্টার্টআপ এন্ট্রি, সার্ভিস, ব্রাউজার এক্সটেনশন এবং PowerShell প্রোফাইল পরীক্ষা করুন।
- অপসারণ যাচাই করুন। একটি আনইনস্টলার যেন অজানা কোনো সার্ভিস বা কাজ রেখে না গিয়ে ইনস্টল করা ফাইল ও স্থায়িত্বের ব্যবস্থাগুলো সরিয়ে ফেলে।
- অনুমোদন ও প্ল্যাটফর্মের নিয়ম মেনে চলুন। কেবল সেই পরিবেশেই AI নিরাপত্তা নিয়ন্ত্রণ পরীক্ষা করুন যেখানে আপনার স্পষ্ট অনুমতি আছে, এবং প্রযোজ্য শর্তাবলি ও নীতিমালা অনুসরণ করুন।
উপসংহার
README-তে একটি স্বতন্ত্র Windows বিল্ড দেওয়ার দাবি করা হলেও, বিশ্বস্ত ইনস্টলেশন বা ব্যবহার নির্দেশিকা তৈরির জন্য এতে যথেষ্ট যাচাইযোগ্য তথ্য নেই। ডাউনলোড করে PowerShell-এর মাধ্যমে চালানোর ধরন, অখণ্ডতা যাচাইয়ের তথ্যের অনুপস্থিতি, বাহ্যিক হোস্টিং এবং অ্যান্টিভাইরাস নিষ্ক্রিয় করার পরামর্শ উল্লেখযোগ্য ঝুঁকি তৈরি করে। একটি নির্দিষ্ট আর্টিফ্যাক্ট, সোর্স পর্যালোচনা, প্রকাশক যাচাই এবং বিচ্ছিন্ন নিরাপত্তা মূল্যায়নের মাধ্যমে বিপরীত প্রমাণিত না হওয়া পর্যন্ত প্যাকেজটিকে অবিশ্বস্ত হিসেবে বিবেচনা করুন।