Google-এর ChromeOS, প্রথম দৃষ্টিতে, অপারেটিং সিস্টেম নিরাপত্তার জন্য একটি টাচডাউন মনে হয়। এটি সম্ভবত বিশ্বের সবচেয়ে নিরাপদ অপারেটিং সিস্টেম (কিছু সীমিত ফাংশনালিটির কিনিমতে)। দুর্ভাগ্যক্রমে, ChromeOS একটি প্যানেসিয়া নয়, এবং প্ল্যাটফর্ম সম্পর্কে গুরুত্বপূর্ণ নিরাপত্তা চিন্তা রয়েছে।
প্রথমে, ভালো খবরগুলো:
ChromeOS (সস্তা Chrome-ব্র্যান্ডেড নেটবুকে চলমান স্ট্রিপড-ডাউন লিনাক্স অপারেটিং সিস্টেম) নিরাপত্তা-সচেতন ব্যবহারকারীদের জন্য বেশ কিছু চমৎকার ফিচার রয়েছে। বুটলোডিং কোড রিড-ওনли মেমরিতে সংরক্ষিত, এবং বুট-আপের আগে OS কernel-এর ডিজিটাল সিগ্নেচার চেক করে ("ভেরিফাইড বুট" ফিচার)। বুটলোডার ROM-এ থাকায়, হ্যাকাররা ফিজিক্যালি চিপে টেম্পার না করলে সেটি মডিফাই করতে পারবে না। সিস্টেম ফাইলগুলো চেক ফেল করলে, বুটলোডার সিম্পlemente পুরো মেশিনকে ফ্যাক্টরি সেটিংসে রিসেট করে দেবে, যেকোনো ম্যালিশিয়াস কোড যা ইনসার্ট করা থাকতে পারে সেটি ধ্বংস করে দিয়ে।
প্ল্যাটফর্মের নিরাপত্তা আরও শক্তিশালী হয়েছে কারণ এটি ওয়েব অ্যাপ বেসড, যা স্যান্ডবক্সে রান করে: তাদের থ্রেড এবং মেমরি আলাদা রাখা হয়, সiddhান্তত একটি ম্যালিশিয়াস ওয়েব অ্যাপ অন্য অ্যাপ থেকে ইনফরমেশন এক্সেস করতে বা কন্ট্রোল নেওয়া থেকে বাধা দেয়। সিকিউরিটি ফিক্স সহ সিস্টেম আপডেট কম্পিউটার নেটওয়ার্কের সাথে কানেক্টেড থাকলে অটোমেটিক্যালি এবং ইনভিজিবলি প্রয়োগ হয়, যাতে Chromebooks সবসময় আপ-টু-ডেট থাকে। এমনকি কিছু সিকিউরিটি অপশন রয়েছে যেগুলো আপনি ইনেবল করতে পারেন ডিভাইসকে ফিজিক্যাল অ্যাক্সেস 가진 আক্রমণকারীদের থেকে রক্ষা করার জন্য। ChromeOS মেশিনে ম্যালওয়্যার ঢুকানো একটি ইর্ষণীয় কাজ। ChromeOS প্ল্যাটফর্মের নিরাপত্তা সম্পর্কে আরও জানতে এখানে ক্লিক করুন।
তাহলে সমস্যা কোথায়?
আপনি স্যান্ডবক্সে আস্থা রাখতে পারবেন না
দুর্ভাগ্যক্রমে, ওয়েব স্যান্ডবক্সিং দিয়ে প্রদত্ত নিরাপত্তা মূলত অনौপচারিক এবং অপ্রমাণিত। অনেক স্যান্ডবক্স, Java সহ, বাগ থাকা খুঁজে পাওয়া গেছে যা অ্যাপ্লিকেশনগুলাকে স্যান্ডবক্স থেকে বের হয়ে মেশিনে আربিট্রারি ইনস্ট্রাকশন এক্সিকিউট করতে দেয়। Chrome-ও ব্ল্যাক-হ্যাট হ্যাকারদের দ্বারা স্যান্ডবক্স-ব্রেকিং আটাক Демোстран্ট করা হয়েছে। সেস্পেসিফিক এক্সপ্লয়েটগুলো এখন ফিক্সড, কিন্তু আরও নেই সেটির কোনো গ্যারান্টি নেই। Rik Ferguson, একটি সিকিউরিটি রিসার্চার, এটিকে এইভাবে বোঝান:
"স্যান্ডবক্সিং থেকে বের হওয়ার এক্সপ্লয়েট Internet Explorer, Java, Google Android এবং অবশ্যই Chrome ব্রাউজার (নাম মাত্র কয়েকটি) এর জন্য ইতিমধ্যে ডেমোন্স্ট্রেট করা হয়েছে, যদিও Google স্যান্ডবক্স কার্যকর, এটি অপ্রবেশ্য নয় এবং ১০০ শতাংশ নিরাপত্তার জন্য এটিতে নির্ভর করা দূরদর্শী নয়।"
সबচেয়ে বড় অপরাধী এখানে ইন্টারঅ্যাক্টিভ ওয়েব, বিশেষ করে WebGL, OpenGL-এর একটি ইমপ্লিমেন্টেশন (একটি সাধারণ গ্রাফিক্স লাইব্রেরি) যেটি ওয়েব ব্রাউজারে ব্যবহারের জন্য ইন্টেন্ডেড। WebGL আপনাকে আপনার ব্রাউজার থেকে গ্রাফিক্যালি ইম্প্রেসিভ ৩D ডেমো চালাতে দেয়, যা খুব কুল (যেমন এই উদাহরণগুলো), কিন্তু, দুর্ভাগ্যক্রমে, এটি নিরাপত্তার জন্য একটি নাইটমেয়ারও। WebGL ওয়েব অ্যাপকে আপনার মেশিনের ভিডিও কার্ডে আربিট্রারি শেডার ইনস্ট্রাকশন পাঠাতে দেয়, যা সম্ভাব্য স্যান্ডবক্স-ব্রেকিং এক্সপ্লয়েটের একটি পুরো ইম্যাজিনেটিভ রেইনবো অনুমতি দেয়। Microsoft-এর অফিসিয়াল পজিশন [ব্রোকেন URL সরানো হয়েছে] হলো WebGL ইন্টারনাল ব্যবহারের জন্য খুব ইনসিকিউর:
"WebGL-এর সামগ্রিক নিরাপত্তা সিস্টেমের নিচের লেভেলগুলোর ওপর নির্ভর করে, যার মধ্যে OEM ড্রাইভার, নিরাপত্তা গ্যারান্টি যেগুলো সেগুলো কখনো সত্যিকারের চিন্তা করেননি। আক্রমণ যা পূর্বে শুধু লোকাল প্রিভিলেজ এলিভেশন আনার জন্য দায়ী হতো, এখন রিমোট কমপ্রোমাইজ আনার পারে। যদিও এই রিস্কগুলো কিছুটা মিটিগেট করা সম্ভব, WebGL দ্বারা এক্সপোজড বড় আটাক সারফেস একটি চিন্তায়নীয় বিষয়। আমরা নির্দিষ্ট প্ল্যাটফর্ম বা নির্দিষ্ট ভিডিও কার্ডে কেবল বিদ্যমান বাগ देखने আশা করি, যা সম্ভবত টার্গেটেড আক্রমণ সুবিধা করবে।"
আপনি ক্লাউডে আস্থা রাখতে পারবেন না
স্যান্ডবক্সের বিরুদ্ধে সম্ভাব্য হুমকির চেয়ে আরও খারাপ, হলো প্ল্যাটফর্মের প্রকৃতির টা। ক্রোমবুক, ডিজাইনে, ক্লাউডের ওপর ভাড়াটে নির্ভরশীল। আপনি যদি অকস্মাত আপনার ক্রোমবুক ধ্বংস করেন (যেমন, এতে পা দিয়ে বা গলিত চট্টানের ঝরনায় ফেলে), আপনার ডেটা গেলো নয়। আপনি শুধু একটি নতুন কিনুন, লগ ইন করুন, এবং আপনার সকল ডেটা এবং সেটিংস ফিরে পান।
দুর্ভাগ্যক্রমে, এটি ব্যবহারকারীদের ক্লাউড দিক থেকেかなり রিস্কে ফেলে। Ars Technica-এর Sean Gallagher তার এডিটোরিয়াল "Why the NSA Loves Google's Chromebook"-এ ইঙ্গিত দিয়েছেন, আমরা জানি NSA-র (এবং এখনও হতে পারে) গুগলের ক্লাউড স্টোরেজে আক্রমণকারী ব্যাকডোর রয়েছে, এবং সেটি ব্যবহার করে Drive ব্যবহারকারীদের সকল ফাইল শপি করতে পারে, যার মধ্যে ক্রোমবুক ব্যবহারকারীরাও। Gallagher বলে,
"এই কোনোটা আবশ্যকভাবে গুগলের দোষ নয়। কিন্তু এটি ব্রাউজার-এজ-প্ল্যাটফর্মের একটি দুর্বলতা - প্রায় সকল কম্পিউটিং রিসোর্স অ্যাপ্লিকেশনের জন্য, প্রেজেন্টেশন বাদে, ক্লাউডে পেছনে পুশ করে, ক্রোমবুক মডেল আক্রমণকারী বা পর্যবেক্ষকদের জন্য আপনার কম্পিউটিং বিশ্বে নিজেদের ইনজেক্ট করার জন্য একটি वन-স্টপ শপ তৈরি করে।"
শুধু NSA নয়। যদিও বিশ্বস্ত বুটলোডার আপনাকে পেরসিস্টেন্ট, ম্যালিশিয়াস OS মডিফিকেশন থেকে রক্ষা করতে পারে যা আপনার কার্যকলাপ রিপোর্ট করে, এমনকি একটি ওয়েব অ্যাপ দ্বারা একক সিকিউরিটি ব্রিচ আপনার কি এবং অথেন্টিকেশন ডিটেইলস চুরি করার জন্য পর্যাপ্ত হতে পারে, যা একজন আক্রমণকারী ব্যবহার করতে পারে আপনার ক্লাউড ডেটা অ্যাক্সেস করতে এবং তাদের সুবিধা অনুযায়ী ব্রাউজ করতে।
নেটিভ অ্যাপ আসছে
বিষয়টি আরও খারাপ করতে, ChromeOS-এর স্যান্ডবক্স একটি নির্দিষ্টভাবে পিউর প্যারাডাইম নয়: ওয়েব পেজের ওপর চলা ব্রাউজার এক্সটেনশন, যেমন Adblock Plus এবং Google Translate নেটিভ কোড যা মেশিনে চলে, এবং সেগুলো সব ধরনের খারাপ কাজ করতে পারে (অ্যাডওয়্যার ডিসপ্লে করা এবং আপনার পাসওয়ার্ড শপি করা সহ)। এমন এক্সটেনশনও রয়েছে যা আপনি ডাউনলোড করতে পারেন যা অন্যান্য ম্যালিশিয়াস এক্সটেনশন ডিটেক্ট এবং রিমুভ করে - একরকম অ্যান্টি-ভাইরাস সফটওয়্যার যা ChromeOS-এর প্রয়োজন নয় বলে কথা। গুগলের ক্রেডিট যাবে, ChromeOS শুধু Chrome এক্সটেনশন স্টোর থেকে অ্যাপ ইনস্টল করবে যেগুলো ইতিমধ্যে গুগলের আপ্রুভাল প্রসেস পেরিয়ে এসেছে। দুর্ভাগ্যক্রমে, ভেটিং প্রসেসটি মানব বিচারের ওপর নির্ভরশীল, এবং সেটি দ্বারা প্রদত্ত গ্যারান্টি ভালো স্যান্ডবক্সিং দ্বারা প্রদত্ত গ্যারান্টির চেয়ে অনেক কমজোর।
এটি আরও খারাপ: গুগল নেটিভ অ্যাপ ইমপ্লিমেন্ট করার পরিকল্পনা করছে অ্যান্ড্রয়েড অ্যাপের রূপে, ChromeOS-এ একটি ইন্টারফেস লেয়ারের মাধ্যমে চলমান। এগুলো নেটিভ অ্যাপ হবে যা ChromeOS-এ এক সম্পূর্ণ ব্রেডথ এবং ডেপথ সিকিউরিটি চিন্তা আনার, এবং সেসিকিউরিটি চিন্তা ক্লাউডের কি চুরির সাপেক্ষতা দিয়ে আরও সিরিয়াস হয়ে যায়। ব্রিচগুলো আরও সিরিয়াস যখন সেগুলো ইনভিজিবল এবং পেরসিস্টেন্ট।
এখন, অবশ্যই, ChromeOS-এ যেসব অ্যান্ড্রয়েড অ্যাপ অনুমোদিত হবে সেগুলো সম্ভবত গুগলের টিম দ্বারা সতর্কতার সাথে ম্যালিশিয়াস কোডের জন্য ভেট করা হবে, কিন্তু সেটি শুধু মেশিনের নিরাপত্তার ওপর ঝুলিয়ে রাখার জন্য যথেষ্ট.STRONG গ্যারান্টি নয়। এমনকি কোড ম্যালিশিয়াস না হলেও, সেগুলো تقريباً নিশ্চিতভাবেই তাদের নিজস্ব এক্সপ্লয়েট এবং ভালনারেবিলিটি নিয়ে আসবে যেগুলো অপারেটিং সিস্টেমে অ্যাক্সেস পাওয়ার জন্য ব্যবহার করা যাবে। নেটিভ কোড খতরনাক, এবং ChromeOS নিরাপদ রাখার উদ্দেশ্যে নিরাপত্তা নীতিমালা লঙ্ঘন করে।
ChromeOS: নিরাপদ, কিন্তু চিন্তা রয়েছে
এখানে একটু সময় নেওয়া উচিত পুনরাবৃত্তি করার জন্য যে ChromeOS খুব নিরাপদ। আপনি যদি Windows, Linux, বা OSX ব্যবহার করেন, ChromeOS লংস এন্ড বাউন্ডস আরও নিরাপদ। আসলে, সেটি বেসিক্যালি প্রতিটি অপারেটিং সিস্টেমের চেয়ে সত্য, Plan 9 ছাড়া, একটি হাইপার-সিকিউর অপারেটিং সিস্টেম যা এত অদ্ভুত যে এটি ম্যালওয়্যার থেকে কমপক্ষে আংশিকভাবে বাঁচে থাকে কোনো 'ওয়্যার' না থাকার কারণে। তবে, সেটিকে অলস হওয়ার बहানা না করুন: ChromeOS সম্পর্কে গুরুত্বপূর্ণ নিরাপত্তা চিন্তা রয়েছে, এবং সেগুলো মেনে চলা উচিত যখন আপনি আপনার কম্পিউটারকে সংবেদনশীল তথ্যের সাথে বিশ্বাস করেন।
Image credits: Hacker with a Laptop Via Shutterstock, "Chrome Lapel Pin" by Stephen Shankland, "Chromebook", by slgckgc, "Chromebook foto test", by ?? ?, "Kryha-Chiffriermaschine, Kryha-Encryption Device", by Ryan Somma
