تعارف:
نیٹ ورکس، آلات اور اعداد و شمار کو غیر سرکاری رسائی یا غیر قانونی استعمال سے بچانے کا فن سائبر سکیورٹی کہلاتا ہے۔ یہ معلومات کی رازداری، سالمیت اور دستیابی کو یقینی بنانے کا بھی ایک طریقہ ہے۔ پروگرام سکیورٹی سائبر سکیورٹی کا لازمی حصہ ہے کیونکہ یہ ایپلیکیشن کے اندر ڈیٹا کو محفوظ رکھتی ہے اور غیر مجاز صارفین کو اس تک رسائی سے روکتی ہے۔
ایپلیکیشن سکیورٹی ایپلیکیشنز اور پروٹوکولز کو محفوظ بنانے کے لیے ایپلیکیشن کی فعالیت اور استعمال کے طریقوں، ایپلیکیشن میں ڈیٹا کے بہاؤ، بزنس لاجک، رسائی کی پابندیوں اور اتھارائزیشن کے مسائل کی نشاندہی پر توجہ دیتی ہے۔ ایپلیکیشن کی ڈیولپمنٹ کے مرحلے کے دوران طے کی گئی محفوظ ایپلیکیشن ڈیولپمنٹ ہدایات پر عمل کرنا ایپلیکیشن سکیورٹی کا اہم حصہ ہے۔ مثال کے طور پر، اس بات کو یقینی بنانے کے لیے کہ حسبِ ضرورت بزنس ایپلیکیشنز میل ویئر کی زد میں نہ آئیں، ڈیولپرز کو محفوظ ایپلیکیشن ڈیولپمنٹ کے طریقے اپنانے چاہییں۔
ایپلیکیشن سکیورٹی کیا ہے؟
ایپلیکیشن کمپلائنس ایپلیکیشنز کو غیر قانونی رسائی اور ردوبدل جیسے خطرات سے بچانے کے لیے ان میں سکیورٹی پروٹوکولز تیار کرنے، شامل یا مربوط کرنے اور ان کا جائزہ لینے کا عمل ہے۔
ایپلیکیشن سکیورٹی کیوں اہم ہے؟
چونکہ آج کل ایپلیکیشنز عموماً متعدد نیٹ ورکس پر قابلِ رسائی اور کلاؤڈ سے منسلک ہوتی ہیں، اس لیے وہ سکیورٹی خطرات اور سمجھوتوں کا کہیں زیادہ شکار ہوتی ہیں۔ کمزوریاں تلاش کرنا اور انہیں دور کرنا سکیورٹی خطرات کم کر کے کسی ادارے کی مجموعی حملے کی سطح کو کم کرنے میں مدد دیتا ہے۔
سافٹ ویئر میں کمزوریاں عام ہیں۔ غیر اہم کمزوریاں بھی، چاہے وہ سب نمایاں نہ ہوں، حملوں کی زنجیروں میں استعمال کے لیے اکٹھی کی جا سکتی ہیں۔ سکیورٹی خامیوں اور کمزوریوں کی تعداد کم کرنے سے حملوں کا مجموعی اثر کم کرنے میں مدد ملتی ہے۔
ردِ عمل پر مبنی سکیورٹی حلوں پر انحصار کرنے کے بجائے ایپلیکیشن سکیورٹی کے لیے پیشگی اقدام والا طریقہ اپنانا بہتر ہے۔ پیشگی دفاع کرنے والے حملوں کو جلد شناخت اور ناکام بنا سکتے ہیں، بعض اوقات کسی نقصان سے پہلے ہی۔
جیسے جیسے کمپنیاں اپنا زیادہ ڈیٹا، کوڈ اور آپریشنز کلاؤڈ پر منتقل کرتی ہیں، ان اثاثوں پر حملوں کی تعداد لازماً بڑھے گی۔ ایپلیکیشن سکیورٹی میکانزم نافذ کر کے ایسے حملوں کو کم کیا جا سکتا ہے۔[1]
ایپلیکیشن سکیورٹی کیسے کام کرتی ہے؟
سافٹ ویئر ڈیولپمنٹ سائیکل کے دوران اور ایپلیکیشن کی پوری زندگی میں سکیورٹی طریقہ کار کو بہتر بنانا حفاظتی اقدامات کی مثالیں ہیں۔ ایپ سکیورٹی کی تمام سرگرمیوں کے ذریعے بدنیت عناصر کو سسٹمز، ایپلیکیشنز یا ڈیٹا تک غیر مجاز رسائی حاصل کرنے سے روکا جانا چاہیے۔ ایپلیکیشن سکیورٹی کا حتمی مقصد حملہ آوروں کو حساس یا ملکیتی ڈیٹا تک رسائی، اس میں ردوبدل یا اسے حذف کرنے سے روکنا ہے۔
ایپلیکیشن سکیورٹی کو یقینی بنانے کے لیے کیا جانے والا کوئی بھی قدم جوابی اقدام یا سکیورٹی کنٹرول کہلاتا ہے۔ نیشنل انسٹی ٹیوٹ آف کرائٹیریا اینڈ ٹیکنالوجی (NIST) کے مطابق: "کسی انفارمیشن سسٹم یا تنظیم کے لیے تجویز کردہ تحفظ یا جوابی اقدام، تاکہ اس کی معلومات کی رازداری، اعتبار اور دستیابی برقرار رہے اور قائم شدہ سکیورٹی معیارات کا ایک مجموعہ پورا ہو۔"
ایپلیکیشن فائر وال ایک قسم کا سافٹ ویئر جوابی اقدام ہے۔ انسٹال شدہ ایپلیکیشن کی بنیاد پر فائر والز طے کرتی ہیں کہ فائلیں کیسے چلیں اور ڈیٹا کیسے سنبھالا جائے۔ سب سے عام ہارڈ ویئر جوابی اقدام راؤٹرز ہیں۔ وہ کسی انفرادی کمپیوٹر کے انٹرنیٹ پروٹوکول (IP) ایڈریس کو انٹرنیٹ پر براہِ راست نظر آنے سے روکتے ہیں۔
مزید کچھ جوابی اقدامات درج ذیل ہیں:
- معیاری رکاوٹیں
- انکرپشن اور ڈیکرپشن کے پروگرام
- اینٹی وائرس سافٹ ویئر
- اسپائی ویئر کی شناخت اور صفائی کی ایپلیکیشنز
- بایومیٹرکس استعمال کرنے والے آتھنٹیکیشن سسٹمز
ایپلیکیشن سکیورٹی کی اقسام کیا ہیں؟
انکرپشن، آتھنٹیکیشن، لاگنگ، اتھارائزیشن اور ایپلیکیشن سکیورٹی ٹیسٹنگ، یہ سب ایپلیکیشن سکیورٹی کے ڈھانچوں کی مثالیں ہیں۔ ڈیزائنرز ایپس میں سکیورٹی کی خامیوں کو کم کرنے کے لیے کوڈ بھی استعمال کر سکتے ہیں۔
انکرپشن: آپ کے حساس ڈیٹا کو غیر مجاز افراد سے محفوظ رکھنے کے لیے۔ ڈیٹا کو انکرپٹ کیا جاتا ہے تاکہ وہ غیر مجاز یا مجرمانہ استعمال سے محفوظ رہے۔
آتھنٹیکیشن: اس سے مراد وہ ذرائع ہیں جو سافٹ ویئر ڈیولپرز پروگرام میں استعمال کرتے ہیں تاکہ یقینی بنائیں کہ صرف جائز آپریٹرز کو اس تک رسائی ہو۔ تصدیق جانچتی ہے کہ آپریٹر وہی ہے جو وہ کہتا ہے۔ یہ ایپلیکیشن میں لاگ اِن کرتے وقت صارف سے یوزر نیم اور پاس ورڈ مانگ کر کیا جا سکتا ہے۔ آتھنٹیکیشن ایسے عناصر کو ملاتی ہے جیسے کچھ ایسا جو آپ جانتے ہیں (پاس ورڈ)، کچھ ایسا جو آپ ہیں (آپ کی شناخت) (انگوٹھے کا نشان یا چہرے کی شناخت)، اور کچھ ایسا جو آپ کے پاس ہے (موبائل ڈیوائس)۔
لاگنگ: اگر کسی ایپلیکیشن کی سکیورٹی میں نقب لگ جائے تو لاگنگ یہ جاننے میں مدد دے سکتی ہے کہ ڈیٹا تک کس نے رسائی حاصل کی اور کیسے۔ پروگرام کے کون سے حصوں تک اور کس نے رسائی حاصل کی، اس کا ریکارڈ ایپلیکیشن لاگ فائلوں میں محفوظ رہتا ہے۔
اتھارائزیشن: آپریٹر کی تصدیق ہو جانے کے بعد اسے پروگرام میں داخل ہونے اور اسے چلانے کی اجازت دی جا سکتی ہے۔ سسٹم صارف کی شناخت کو منظور شدہ صارفین کی فہرست سے ملا کر یقینی بنا سکتا ہے کہ ملازم کو پروگرام تک رسائی کا اختیار حاصل ہے۔ اتھارائزیشن سے پہلے آتھنٹیکیشن ہونا ضروری ہے تاکہ پروگرام ابھی تصدیق شدہ یوزر نیم اور پاس ورڈ کو منظور شدہ صارفین کی فہرست سے ملا سکے۔
ایپلیکیشن سکیورٹی ٹیسٹنگ: ٹیسٹنگ اس بات کی ضمانت دینے کا ایک اہم قدم ہے کہ یہ تمام سکیورٹی پالیسیاں موجود ہیں اور مؤثر طریقے سے کام کر رہی ہیں۔[2]
ایپلیکیشن سکیورٹی کنٹرولز کیا ہیں؟
ایپ سکیورٹی کنٹرولز وہ تکنیکیں ہیں جو صارف کے کمپائل شدہ کوڈ کی حفاظت بہتر بناتی اور حملہ آوروں کے سامنے اس کی کمزوری کم کرتی ہیں۔ ان میں سے بہت سے اختیارات اس بات سے متعلق ہیں کہ پروگرام غیر معمولی ان پٹس پر کیسے ردِ عمل دیتا ہے جن سے ہیکر فائدہ اٹھانے کی کوشش کر سکتا ہے۔ پروگرامر ایپ کے لیے ایسا کوڈ بنا سکتا ہے جو غیر متوقع ان پٹس سے نمٹنے پر انہیں زیادہ کنٹرول دے۔ فزنگ ایپلیکیشن سکیورٹی ٹیسٹنگ کی ایک قسم ہے جس میں ڈیولپرز غیر متوقع قدروں یا ان پٹس کے نتائج کا جائزہ لیتے ہیں تاکہ دیکھیں کون سی پروگرام کو غیر متوقع انداز میں برتاؤ کرنے پر مجبور کرتی ہیں، جس سے ممکنہ طور پر کسی حفاظتی خامی کا پتا چل سکتا ہے۔
ایپلیکیشن سکیورٹی کے فوائد کیا ہیں؟
- دونوں ممکنہ خطرات کا امکان کم کرتا ہے۔
- یہ ظاہر کر کے برانڈ کی ساکھ کو فروغ دیتی ہے کہ وہ خبروں سے باہر رہتا ہے۔
- صارفین کا ڈیٹا محفوظ رہتا ہے اور صارفین کی وفاداری بڑھتی ہے۔
- حساس معلومات کو افشا ہونے سے بچاتی ہے۔
- اہم سرمایہ کاروں اور قرض دہندگان کا اعتماد بہتر بناتی ہے۔
- Loshin, P. application security۔ دستیاب ہے: https://searchsoftwarequality.techtarget.com/definition/application-security۔
- ایپلیکیشن سکیورٹی کیا ہے؟؛ دستیاب ہے: https://www.vmware.com/topics/glossary/content/application-security.html۔
ایپلیکیشنز کی عام کمزوریاں
- انجیکشن (SQL، کمانڈ): ناقابلِ اعتبار ان پٹ کوئری کا مطلب بدل دیتا ہے۔
- ٹوٹی ہوئی آتھنٹیکیشن: کمزور پاس ورڈز یا سیشن ہینڈلنگ۔
- ٹوٹا ہوا رسائی کنٹرول: صارفین ایسے ڈیٹا تک پہنچ سکتے ہیں جو ان کا نہیں۔
- کراس سائٹ اسکرپٹنگ (XSS): بدنیت اسکرپٹس وزیٹر کے براؤزر میں چلتی ہیں۔
- سکیورٹی کی غلط کنفیگریشن اور پرانے اجزاء۔
OWASP Top 10 سب سے اہم ویب ایپلیکیشن خطرات کی معیاری فہرست ہے۔
بہترین طریقے
- ان پٹ کی توثیق کریں اور پیرامیٹرائزڈ کوئریز استعمال کریں۔
- پاس ورڈز کو درست طریقے سے ہیش کریں اور ملٹی فیکٹر آتھنٹیکیشن فراہم کریں۔
- رسائی کا کم از کم استحقاق (least-privilege) والا کنٹرول سرور پر لگائیں، صرف انٹرفیس پر نہیں۔
- لائبریریوں اور فریم ورکس کو اپ ڈیٹ رکھیں۔
- ٹیسٹ: کوڈ ریویو، خودکار اسکیننگ اور وقتاً فوقتاً پینیٹریشن ٹیسٹس۔
- لاگ کریں اور نگرانی کریں۔
ہم پہلی سطرِ کوڈ سے ہی ان طریقوں کے ساتھ محفوظ ویب اور موبائل ایپلیکیشنز بناتے ہیں۔
More about application security
Want to go further with application security? These Netstech guides and services are a good next step:
