ভূমিকা:
অননুমোদিত অ্যাক্সেস বা অবৈধ ব্যবহার থেকে নেটওয়ার্ক, ডিভাইস ও পরিসংখ্যান সুরক্ষিত রাখার দক্ষতাকে বলা হয় সাইবার নিরাপত্তা। এটি তথ্যের গোপনীয়তা, অখণ্ডতা ও প্রাপ্যতা নিশ্চিত করারও একটি উপায়। প্রোগ্রাম নিরাপত্তা সাইবার নিরাপত্তার একটি অপরিহার্য অংশ, কারণ এটি অ্যাপ্লিকেশনের ভেতরের ডেটা সুরক্ষিত রাখে এবং অননুমোদিত ব্যবহারকারীদের প্রবেশ ঠেকায়।
অ্যাপ্লিকেশন নিরাপত্তা অ্যাপ্লিকেশন ও প্রোটোকল সুরক্ষিত রাখতে অ্যাপ্লিকেশনের কার্যকারিতা ও ব্যবহার পদ্ধতি, অ্যাপ্লিকেশনে ডেটা প্রবাহ, ব্যবসায়িক লজিক, অ্যাক্সেস সীমাবদ্ধতা এবং অথোরাইজেশন সমস্যা চিহ্নিত করার ওপর মনোযোগ দেয়। অ্যাপ্লিকেশনের ডেভেলপমেন্ট পর্যায়ে নির্ধারিত নিরাপদ অ্যাপ্লিকেশন ডেভেলপমেন্ট নির্দেশিকা অনুসরণ করা অ্যাপ্লিকেশন নিরাপত্তার একটি গুরুত্বপূর্ণ অংশ। উদাহরণস্বরূপ, কাস্টম ব্যবসায়িক অ্যাপ্লিকেশন যাতে ম্যালওয়্যারের কবলে না পড়ে তা নিশ্চিত করতে ডেভেলপারদের নিরাপদ অ্যাপ্লিকেশন ডেভেলপমেন্ট পদ্ধতি গ্রহণ করতে হবে।
অ্যাপ্লিকেশন নিরাপত্তা কী?
অ্যাপ্লিকেশন কমপ্লায়েন্স হলো অ্যাপ্লিকেশনকে অবৈধ অ্যাক্সেস ও পরিবর্তনের মতো হুমকি থেকে রক্ষা করতে সেগুলোতে নিরাপত্তা প্রোটোকল তৈরি, মিশ্রণ বা সমন্বিত করা এবং মূল্যায়ন করার অনুশীলন।
অ্যাপ্লিকেশন নিরাপত্তা কেন গুরুত্বপূর্ণ?
আজকাল অ্যাপ্লিকেশনগুলো সাধারণত বিভিন্ন নেটওয়ার্ক থেকে অ্যাক্সেসযোগ্য এবং ক্লাউডের সঙ্গে যুক্ত, তাই এগুলো নিরাপত্তা হুমকি ও আপস হওয়ার প্রতি অনেক বেশি ঝুঁকিপূর্ণ। দুর্বলতা খুঁজে বের করে মেরামত করলে নিরাপত্তা ঝুঁকি কমে এবং প্রতিষ্ঠানের সামগ্রিক আক্রমণ-পৃষ্ঠ ছোট হয়।
সফটওয়্যারে দুর্বলতা প্রায়ই দেখা যায়। এমনকি গুরুতর নয় এমন দুর্বলতাও একত্র করে আক্রমণ শৃঙ্খলে ব্যবহার করা যেতে পারে, যদিও সেগুলো সবই তাৎপর্যপূর্ণ নয়। নিরাপত্তা ত্রুটি ও দুর্বলতার সংখ্যা কমালে আক্রমণের সামগ্রিক প্রভাব প্রশমনে সাহায্য হয়।
প্রতিক্রিয়াশীল নিরাপত্তা সমাধানের ওপর নির্ভর করার চেয়ে অ্যাপ্লিকেশন নিরাপত্তায় সক্রিয় পদ্ধতি নেওয়া ভালো। সক্রিয় প্রতিরক্ষাকারীরা আক্রমণ আগেভাগে শনাক্ত ও নিষ্ক্রিয় করতে পারেন, কখনো কখনো কোনো ক্ষতি হওয়ার আগেই।
কোম্পানিগুলো যত বেশি ডেটা, কোড ও কার্যক্রম ক্লাউডে সরিয়ে নিচ্ছে, সেসব সম্পদের ওপর আক্রমণের সংখ্যাও নিশ্চিতভাবে বাড়বে। অ্যাপ্লিকেশন নিরাপত্তা ব্যবস্থা প্রয়োগ করে এমন আক্রমণ প্রশমন করা যায়।[1]
অ্যাপ্লিকেশন নিরাপত্তা কীভাবে কাজ করে?
সফটওয়্যার ডেভেলপমেন্ট চক্র জুড়ে এবং অ্যাপ্লিকেশনের পুরো জীবনকাল জুড়ে নিরাপত্তা পদ্ধতি উন্নত করা নিরাপত্তা ব্যবস্থার উদাহরণ। সব অ্যাপ সিকিউরিটি কার্যক্রমের মাধ্যমে ক্ষতিকর ব্যক্তিদের সিস্টেম, অ্যাপ্লিকেশন বা ডেটায় অননুমোদিত অ্যাক্সেস পাওয়া ঠেকাতে হবে। অ্যাপ্লিকেশন নিরাপত্তার চূড়ান্ত লক্ষ্য হলো আক্রমণকারীদের সংবেদনশীল বা মালিকানাধীন ডেটায় প্রবেশ, তা পরিবর্তন বা মুছে ফেলা ঠেকানো।
অ্যাপ্লিকেশনের নিরাপত্তা নিশ্চিত করতে নেওয়া যেকোনো পদক্ষেপকে প্রতিরোধ ব্যবস্থা বা নিরাপত্তা নিয়ন্ত্রণ বলা হয়। ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজির (NIST) মতে, এটি "একটি তথ্য ব্যবস্থা বা প্রতিষ্ঠানের জন্য সুপারিশকৃত একটি সুরক্ষা বা প্রতিরোধ ব্যবস্থা, যা তার তথ্যের গোপনীয়তা, নির্ভরযোগ্যতা ও প্রাপ্যতা রক্ষা করে এবং প্রতিষ্ঠিত নিরাপত্তা মানদণ্ডের একটি সেট পূরণ করে।"
অ্যাপ্লিকেশন ফায়ারওয়াল একটি সফটওয়্যার প্রতিরোধ ব্যবস্থা। ইনস্টল করা অ্যাপ্লিকেশনের ভিত্তিতে ফায়ারওয়াল নির্ধারণ করে ফাইল কীভাবে চলবে এবং ডেটা কীভাবে পরিচালিত হবে। সবচেয়ে প্রচলিত হার্ডওয়্যার প্রতিরোধ ব্যবস্থা হলো রাউটার। এগুলো একটি কম্পিউটারের ইন্টারনেট প্রোটোকল (IP) ঠিকানা ইন্টারনেটে সরাসরি দৃশ্যমান হওয়া ঠেকায়।
আরও কিছু প্রতিরোধ ব্যবস্থা নিচে দেওয়া হলো:
- মানসম্মত প্রতিবন্ধকতা
- এনক্রিপশন ও ডিক্রিপশনের প্রোগ্রাম
- অ্যান্টি-ভাইরাস সফটওয়্যার
- স্পাইওয়্যার শনাক্তকরণ ও পরিষ্কারের অ্যাপ্লিকেশন
- বায়োমেট্রিক ব্যবহারকারী অথেনটিকেশন সিস্টেম
অ্যাপ্লিকেশন নিরাপত্তার ধরনগুলো কী কী?
এনক্রিপশন, অথেনটিকেশন, লগিং, অথোরাইজেশন এবং অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষা সবই অ্যাপ্লিকেশন নিরাপত্তা কাঠামোর উদাহরণ। ডিজাইনাররা অ্যাপের নিরাপত্তা ত্রুটি প্রশমনে কোডও ব্যবহার করতে পারেন।
এনক্রিপশন: অননুমোদিত ব্যক্তির হাত থেকে আপনার সংবেদনশীল ডেটা সুরক্ষিত রাখতে। ডেটা এনক্রিপ্ট করা হয় যাতে তা অননুমোদিত বা অপরাধমূলক ব্যবহার থেকে নিরাপদ থাকে।
অথেনটিকেশন: এটি সেইসব কৌশলের কথা বলে, যা সফটওয়্যার ডেভেলপাররা প্রোগ্রামে ব্যবহার করেন যাতে শুধু বৈধ অপারেটররাই তাতে প্রবেশ করতে পারেন। যাচাইকরণ নিশ্চিত করে যে অপারেটর আসলেই সে-ই যা সে দাবি করে। অ্যাপ্লিকেশনে লগইন করার সময় ব্যবহারকারীর কাছে ইউজারনেম ও পাসওয়ার্ড চেয়ে এটি করা যেতে পারে। অথেনটিকেশন কয়েকটি উপাদান মিলিয়ে কাজ করে: আপনি যা জানেন (পাসওয়ার্ড), আপনি যে (আপনার পরিচয়) (আঙুলের ছাপ বা মুখ শনাক্তকরণ) এবং আপনার কাছে যা আছে (মোবাইল ডিভাইস)।
লগিং: কোনো অ্যাপ্লিকেশনের নিরাপত্তা ভেঙে গেলে, লগিং নিয়ন্ত্রণে সাহায্য করতে পারে কে ডেটায় অ্যাক্সেস বাড়িয়েছে এবং কীভাবে। প্রোগ্রামের কোন অংশগুলোতে কে প্রবেশ করেছে তার পথ অ্যাপ্লিকেশন লগ ফাইলে রাখা হয়।
অথোরাইজেশন: একজন অপারেটরকে যাচাই করার পর তাকে প্রোগ্রামে প্রবেশ ও পরিচালনার অনুমতি দেওয়া যেতে পারে। ব্যবহারকারীর পরিচয়কে অনুমোদিত ব্যবহারকারীদের তালিকার সঙ্গে মিলিয়ে সিস্টেম নিশ্চিত করতে পারে যে কর্মীর প্রোগ্রামে প্রবেশের অধিকার আছে। অথোরাইজেশনের আগে অথেনটিকেশন সম্পন্ন হতে হবে, যাতে প্রোগ্রাম সদ্য যাচাই হওয়া ইউজারনেম ও পাসওয়ার্ড অনুমোদিত ব্যবহারকারীর তালিকার সঙ্গে মেলাতে পারে।
অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষা: পরীক্ষা হলো একটি অত্যাবশ্যক ধাপ, যা নিশ্চিত করে এসব নিরাপত্তা নীতি যথাস্থানে আছে এবং কার্যকরভাবে কাজ করছে।[2]
অ্যাপ্লিকেশন নিরাপত্তা নিয়ন্ত্রণ কী কী?
অ্যাপ নিরাপত্তা নিয়ন্ত্রণ হলো ব্যবহারকারীর কম্পাইল করা কোডের নিরাপত্তা উন্নত করা এবং আক্রমণকারীদের কাছে তার উন্মুক্ততা কমানোর কৌশল। এই বিকল্পগুলোর অনেকগুলোই নির্ভর করে হ্যাকার যেসব অস্বাভাবিক ইনপুট কাজে লাগানোর চেষ্টা করতে পারে সেগুলোর প্রতি প্রোগ্রাম কীভাবে সাড়া দেয় তার ওপর। একজন প্রোগ্রামার অ্যাপের জন্য এমন কোড তৈরি করতে পারেন যা অপ্রত্যাশিত ইনপুট কীভাবে সামলানো হবে তার ওপর তাকে আরও নিয়ন্ত্রণ দেয়। ফাজিং একধরনের অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষা, যেখানে নির্মাতারা অপ্রত্যাশিত মান বা ইনপুটের ফলাফল পরীক্ষা করে দেখেন কোনগুলো প্রোগ্রামকে অপ্রত্যাশিত আচরণ করায়, যা হয়তো কোনো নিরাপত্তা ত্রুটি প্রকাশ করে দেয়।
অ্যাপ্লিকেশন নিরাপত্তার সুবিধাগুলো কী কী?
- উভয় সম্ভাব্য হুমকির ঝুঁকি কমায়।
- সংবাদের বাইরে থাকার মাধ্যমে ব্র্যান্ডের ভাবমূর্তি তুলে ধরে।
- গ্রাহকের ডেটা নিরাপদ থাকে এবং গ্রাহকের আনুগত্য বাড়ে।
- সংবেদনশীল তথ্য ফাঁস হওয়া থেকে রক্ষা করে।
- প্রধান বিনিয়োগকারী ও ঋণদাতাদের আস্থা বাড়ায়।
- Loshin, P. application security। সূত্র: https://searchsoftwarequality.techtarget.com/definition/application-security।
- অ্যাপ্লিকেশন নিরাপত্তা কী?; সূত্র: https://www.vmware.com/topics/glossary/content/application-security.html।
সাধারণ অ্যাপ্লিকেশন দুর্বলতা
- ইনজেকশন (SQL, কমান্ড): অবিশ্বস্ত ইনপুট একটি কোয়েরির অর্থ বদলে দেয়।
- ভাঙা অথেনটিকেশন: দুর্বল পাসওয়ার্ড বা সেশন পরিচালনা।
- ভাঙা অ্যাক্সেস নিয়ন্ত্রণ: ব্যবহারকারীরা এমন ডেটায় পৌঁছাতে পারে যা তাদের নয়।
- ক্রস-সাইট স্ক্রিপ্টিং (XSS): ক্ষতিকর স্ক্রিপ্ট দর্শকের ব্রাউজারে চলে।
- নিরাপত্তা ভুল কনফিগারেশন এবং পুরনো কম্পোনেন্ট।
OWASP Top 10 হলো সবচেয়ে গুরুত্বপূর্ণ ওয়েব অ্যাপ্লিকেশন ঝুঁকির মানসম্মত তালিকা।
সেরা অনুশীলন
- ইনপুট যাচাই করুন এবং প্যারামিটারাইজড কোয়েরি ব্যবহার করুন।
- পাসওয়ার্ড সঠিকভাবে হ্যাশ করুন এবং মাল্টি-ফ্যাক্টর অথেনটিকেশন দিন।
- শুধু ইন্টারফেসে নয়, সার্ভারেও ন্যূনতম-সুবিধা (least-privilege) অ্যাক্সেস নিয়ন্ত্রণ প্রয়োগ করুন।
- লাইব্রেরি ও ফ্রেমওয়ার্ক হালনাগাদ রাখুন।
- পরীক্ষা: কোড রিভিউ, স্বয়ংক্রিয় স্ক্যানিং এবং নিয়মিত পেনিট্রেশন টেস্ট।
- লগ রাখুন ও পর্যবেক্ষণ করুন।
আমরা কোডের প্রথম লাইন থেকেই এই অনুশীলনগুলো মেনে নিরাপদ ওয়েব ও মোবাইল অ্যাপ্লিকেশন তৈরি করি।
More about application security
Want to go further with application security? These Netstech guides and services are a good next step:
