সোর্সডিএনএ (SourceDNA), একটি কোড অ্যানালিটিক্স প্ল্যাটফর্ম যা অ্যান্ড্রয়েড এবং আইওএস অ্যাপ অডিট করে, সম্প্রতি একটি রিপোর্ট প্রকাশ করল যাতে বোঝানো হয়েছে ১,০০০ এর বেশি আইওএস অ্যাপে একটি গুরুতর সিকিউরিটি ভালনারেবিলিটি রয়েছে যা ব্যবহারকারীর ফাইন্যান্সিয়াল ডিটেইলস কমপ্রোমাইজ করতে পারে।
বাগটি অ্যাপগুলোক SSL সার্টিফিকেট সঠিকভাবে অথেন্টিকেট করতে বাধা দিচ্ছে, যা অ্যাপগুলোক অনেক ম্যান-ইন-দ-মিডল (man-in-the-middle) আট্যাকের सामने উন্মুক্ত করছে। যদিও এই বাগ আইওএস নিজের সিকিউরিটি প্রভাবিত করে না, তবে এটি প্রভাবিত অ্যাপের মাধ্যমে ট্রান্সমিট হওয়া ব্যবহারকারীর ডেটা কমপ্রোমাইজ করতে পারে...
একটি সাধারণ বাগ যা SSL ভাঙে দেয়
প্রশ্নে থাকা বাগটি AFNetworking প্যাকেজে, একটি জনপ্রিয় ওপেন-সোর্স নেটওয়ার্কিং সমাধান যা হাজার হাজার অ্যাপ স্টোর অ্যাপে ব্যবহৃত হয়। বাগটি একটি সহজ লজিক এরর (logic error) যা SSL চেক আসলে হয় না দিয়ে সব সার্টিফিকেট চেককে ভ্যালিড রিটার্ন করে। এটি হার্টব্লিড (HeartBleed) বা শেলশক (ShellShock) এর মতো বড় সিকিউরিটি ডিজাস্টার নয় — কিন্তু এটি একটি সমস্যা যদি আপনি বাগযুক্ত অ্যাপ ব্যবহার করেন। خوشক declaración, বাগটি শুধু প্রায় ছয় সপ্তাহ অস্তিত্বে ছিল, ২.৫.১ ভার্সনে যোগ হয়েছিল এবং ২.৫.২-এ ফিক্স হয়েছিল। আপনি যুক্তিসঙ্গতভাবে অনুমান করতে পারেন এটিই গল্পের শেষ।
দুর্ভাগ্য, না।
দুর্ভাগ্যবশত, অনেক ডেভেলপার সক্রিয়ভাবে তাদের অ্যাপ বাগ ফিক্সের সাথে আপ টু ডেট রাখেন না, এবং এমন অনেক অ্যাপ রয়েছে যেগুলো এখনও AFNetworking-এর ভাঙা ভার্সন ব্যবহার করছে, প্যাচ উপলব্ধ থাকা সত্ত্বেও। সোর্সডিএনএ (SourceDNA) AFNetworking প্যাকেজ ধারণকারী ২০,০০০ অ্যাপ অ্যানালাইজ করল, এবং নির্ধারণ করল প্রায় ১,০০০টি এখনও ভাঙা SSL চেক ব্যবহার করছে।
সোর্সডিএনএ এই চেকটি পারফরম করতে পারলো অ্যানালিটিক্স টুলস ব্যবহার করে যা হাজার হাজার অ্যাপের বাইনারি ফাইল অ্যানালাইজ করতে সক্ষম করে। তাদের প্রযুক্তি সেটি শনাক্ত করতে দেয় শুধু কোন লাইব্রেরি দিয়ে অ্যাপগুলো কম্পাইল করা হয়েছে না, বরং সেই লাইব্রেরির ভার্সনও। যেরূপ, এটি পরিচিত বাগ ও ভালনারেবিলিটি থেকে আক্রান্ত অ্যাপগুলো শনাক্ত করতে অবিশ্বাসনೀಯভাবে উপকারী। রিলিজ করা পেপার অনুযায়ী,
"সোর্সডিএনএ একটি ডিফারেনশিয়াল ফিংগারপ্রিন্ট তৈরি করল সেগুলো থেকে যাতে ভালনারেবিল কোড খুঁজে বের করা যায়। এটিকে সोंচুন ইউনিক ক্যারেক্টেরিস্টিক্সের একটি সেট হিসেবে যেগুলো শুধু টার্গেটেড ভার্সনে উপস্থিত বা অনুপস্থিত ছিল অন্য ভার্সনে না। এই সিগনেচার সেট দিয়ে, আমাদের অ্যানালাইসিস ইঞ্জিন আমাদের সঠিকভাবে বলত যে অ্যাপে AFNetworking-এর কোন ভার্সন ব্যবহৃত হয়েছে।"
প্রভাবিত অনেক অ্যাপ ব্যবহারকারীর ক্রেডিট কার্ড ডেটা স্টোর ও ট্রান্সমিট করে, যার মধ্যে রয়েছে Alibaba.com মোবাইল অ্যাপ, KYBankAgent ৩.০, এবং Revo Restaurant Point of Sale। কয়েক মিলিয়ন ব্যবহারকারীর কাছে একটি আক্রান্ত অ্যাপ ইনস্টল করা আছে — এত крат্য বাগ থেকে এতটা এক্সপোজার চমৎকার।
"৫% বা প্রায় ১,০০০ অ্যাপে ত্রুটি ছিল। কি এই অ্যাপগুলো গুরুত্বপূর্ণ? আমরা সেগুলো আমাদের র্যাঙ্ক ডেটার সাথে তুলনা করলাম এবং কিছু বড় প্লেয়ার পেলাম: Yahoo!, Microsoft, Uber, Citrix, ইত্যাদি। আমাদের বিস্ময়ের বিষয়, একটি ওপেন-সোর্স লাইব্রেরি যেটি শুধু ৬ সপ্তাহ সিকিউরিটি ফ্ল অড করে দিয়েছিল, মিলিয়ন মিলিয়ন ব্যবহারকারীকে আক্রমণের সামনে আনিয়েছিল।"
AFNetworking বাগের প্রভাব মূল্যায়ন
এই ভালনারেবিলিটি কতটুকু খারাপ? বাগটি আক্রমণকারীদের অ্যাপগুলোক বোঝাতে দেয় যে সেগুলো একটি নিরাপদ সংযোগে একটি বিশ্বস্ত সার্ভারের সাথে কমিউনিকেশন করছে। আপনি যদি একটি আক্রান্ত অ্যাপ ব্যবহার করেন, তবে আপনার সাথে একই ওয়াইফাই নেটওয়ার্কে থাকা কেউ একটি ম্যান-ইন-দ-মিডল আট্যাক সেট আপ করে অ্যাপ থেকে ইনফো ইন্টারসেপ্ট করতে পারে, সংবেদনশীল ডেটা যেমন ক্রেডিট কার্ড ইনফোর্মেশন সহ। এই ইনফোর্মেশন後ে আইডেন্টিটি থেফট (identity theft) এবং অন্যান্য ফ্রড সুবিধা করতে পারে। সম্ভবত, এই ধরনের আক্রমণ পপুলার অ্যাপের 상대로 অটোমেট করা যেতে পারে।
খবর ছড়াও হওয়ার পর অনেক কোম্পানি দ্রুত আপডেট এবং ফিক্স রিলিজ করেছে, যার মধ্যে মাইক্রোসফট এবং ইয়াহু। অধিকাংশ অ্যাপ though, এখনও আনপ্যাচড (unpatched)। আপনার ব্যবহার করা অ্যাপগুলো আক্রান্ত কিনা জানতে, আপনি সোর্সডিএনএ সার্চ টুল (SourceDNA search tool) ব্যবহার করতে পারেন। আপনি যদি খুঁজে পান যে আপনার একটি অ্যাপ এখনও আক্রান্ত, সবচেয়ে নিরাপদ কৌশল হলো এটি সাময়িকভাবে ডিলিট করা, এবং ডেভেলপারদের মেসেজ দিয়ে যত দ্রুত সম্ভব প্যাচ রিলিজ করার অনুরোধ করা।
সোর্সডিএনএ (SourceDNA) একটি চতুর টুল, এবং এটি প্রমাণ করে তাদের প্রযুক্তি আসলেই উপকারী। কম্পিউটার সিকিউরিটি কঠিন, এবং একটি টুল যা ডেভেলপার সহযোগিতা সাপেক্ষে বা নিরপেক্ষে আনপ্যাচড বাগ খুঁজে বের করার প্রসেস অটোমেট করতে পারে, সেটি ব্যবহারকারীর সিকিউরিটির জন্য একটি বিশাল জয়। এই ধরনের চেকিং ছাড়া, এই ব্যাপক বাগ דיর্ঘকাল ধরে থাকত, সম্ভবত বেশ দীর্ঘ সময়। এই ধরনের অ্যানালাইসিস ম্যাস পাবলিক শেমিং (mass public shaming) সক্ষম করে যা ডেভেলপারদের অনেক বেশি একাউন্টেবল (accountable) করে তোলে, এবং লগতে পারে সোর্সডিএনএ ভবিষ্যতে আরও অনাবিষ্কৃত ও অসমাধান করা সমস্যা আনকভার করবে।
আপনার আইওএস ডিভাইস AFNetworking বাগ سے আক্রান্ত কিনা? এই নতুন অ্যানালিটিক্স টুলস নিয়ে আপনি কি উত্তেজিত? কমেন্টে জানান!
ছবির ক্রেডিট: "US Navy Cyberwarfare," "iPhone front," "iPhone camera", by Wikimedia
