অ্যান্ড্রয়েডে নিরাপত্তা অবস্থা লাইব্রেরির সম্পূর্ণ নির্দেশিকা

ইনফরমটেক ডিজিটাল » নিরাপত্তা » অ্যান্ড্রয়েডে নিরাপত্তা অবস্থা লাইব্রেরির সম্পূর্ণ নির্দেশিকা

সত্যি বলতে, আজকাল একটি অ্যান্ড্রয়েড স্মার্টফোন সুরক্ষিত রাখা বেশ ঝামেলার কাজ। ইকোসিস্টেমটি এতটাই জটিল হয়ে উঠেছে যে, ডেভেলপাররা আগে সিকিউরিটি প্যাচ লেভেল (SPL) নামক একটি খুব সাধারণ মেট্রিকের উপর নির্ভর করত। এটি অনেকটা এমন ছিল যেন, বাড়ির পেছনের দরজার লকটি এখনও ভাঙা আছে কি না, সে সম্পর্কে কোনো ধারণা না রেখেই শুধুমাত্র শেষ বড় সংস্কারের তারিখ দেখে বাড়িটি সুরক্ষিত কি না তা নির্ধারণ করার চেষ্টা করা হচ্ছে।

এই তথ্যের ঘাটতি পূরণের জন্য AndroidX Security State এবং Security State Provider লাইব্রেরিগুলো এসেছে । এই টুলগুলো যুগান্তকারী, যা সিস্টেমের প্রতিটি কোণায় বিস্তারিত দৃশ্যমানতা প্রদান করে, সফটওয়্যারকে আক্রমণের বিরুদ্ধে সত্যিকারের প্রতিরোধ ক্ষমতা দেয় এবং অ্যাপগুলোকে নিছক অনুমানের উপর ভিত্তি করে নয়, বরং প্রকৃত প্রমাণের উপর ভিত্তি করে বুদ্ধিদীপ্ত সিদ্ধান্ত নিতে সক্ষম করে, যার ফলে একটি জিরো-ট্রাস্ট মডেল প্রতিষ্ঠিত হয় ।

একক প্যাচকে বিদায়: গ্র্যানুলারিটির যুগ

একটিমাত্র এসপিএল (SPL)-এর উপর নির্ভর করার প্রধান সমস্যা হলো, প্রজেক্ট মেইনলাইন এবং গুগল প্লে সিস্টেম আপডেটের কারণে অ্যান্ড্রয়েড এখন খণ্ড খণ্ডভাবে আপডেট করা হয়। এই বিশৃঙ্খলায় শৃঙ্খলা আনতে, নতুন লাইব্রেরিগুলো নিরাপত্তাকে তিনটি স্তম্ভে বিভক্ত করেছে: মূল অপারেটিং সিস্টেম (যা ওভার-দ্য-এয়ার আপডেট করা হয়), সিস্টেম মডিউল (যা গুগল প্লে-এর মাধ্যমে সরবরাহ করা হয়), এবং লিনাক্স কার্নেল , যা সবকিছুর ভিত্তি এবং যার পরিমাপ মাসিক রিলিজ ডেটের পরিবর্তে এলটিএস (LTS) ভার্সন দিয়ে করা হয়।

এই উপাদানগুলোর প্রতিটির জন্য তিনটি ভিন্ন রাজ্যের মতামত নেওয়া যেতে পারে, যা পরিস্থিতির একটি পূর্ণাঙ্গ চিত্র তুলে ধরে:

• ডিভাইস এসপিএল (ডিএসপিএল): এর মাধ্যমে ইন্টারনেট সংযোগ ছাড়াই জানা যায় যে, ঠিক সেই মুহূর্তে ডিভাইসটিতে কী ইনস্টল করা আছে এবং চলছে।
• প্রকাশিত এসপিএল (পিএসপিএল): এটি অ্যান্ড্রয়েড নিরাপত্তা বুলেটিনে আনুষ্ঠানিকভাবে প্রকাশিত সর্বশেষ সংস্করণ।
• উপলব্ধ এসপিএল (এএসপিএল): এটি একটি আন্তঃপ্রক্রিয়া যোগাযোগ (IPC) পদ্ধতির মাধ্যমে প্রকাশ করে যে, কোনো আপডেট ইতিমধ্যেই ডাউনলোড করা হয়েছে বা ইনস্টল করার জন্য প্রস্তুত আছে কিনা।

দুর্বলতা নিয়ন্ত্রণ এবং CVE নিরীক্ষা

এর অন্যতম সেরা বৈশিষ্ট্য হলো ওপেন সোর্স ভালনারেবিলিটিজ (OSV) ডেটাবেসের সাথে এর ইন্টিগ্রেশন। কোনো নির্দিষ্ট মাসের প্যাচ একটি বিশেষ ভালনারেবিলিটি সমাধান করে কিনা, তা নির্ধারণ করতে এখন আর কোনো অনুমানের প্রয়োজন নেই; এখন প্রোগ্রামিংয়ের মাধ্যমে নির্দিষ্ট CVE-গুলো ট্র্যাক করা সম্ভব ।

এটি ফিনটেক, ব্যাংকিং বা স্বাস্থ্যসেবা অ্যাপ্লিকেশনগুলির জন্য অত্যন্ত মূল্যবান, কারণ যদি তারা শনাক্ত করে যে ডিভাইসটিতে এখনও কোনো গুরুতর ব্লুটুথ বা এনএফসি দুর্বলতা সক্রিয় রয়েছে, তবে তারা উচ্চ-মূল্যের লেনদেন বা সংবেদনশীল ডেটাতে প্রবেশাধিকার সীমাবদ্ধ করতে পারে। উদাহরণস্বরূপ, libimagecodec.quram.so-তে সীমার বাইরে লেখার মতো ত্রুটি দূরবর্তী আক্রমণকারীদের যথেচ্ছ কোড কার্যকর করার সুযোগ দিতে পারে, যা একটি পুরোনো ডিভাইসকে কর্পোরেট নেটওয়ার্কে প্রবেশের একটি ব্যাকডোরে পরিণত করে ।

ফ্লুজো ডি ট্র্যাবাজোর প্রযুক্তি বাস্তবায়ন

এটি চালু করার জন্য, ডেভেলপারকে অবশ্যই ডিপেন্ডেন্সিটি যোগ করতে হবে। androidx.security:security-state:1.1.0 আপনার গ্রেডল ফাইলে। ইনিশিয়ালাইজেশন সহজ এবং এর জন্য একটি অ্যান্ড্রয়েড কনটেক্সট প্রয়োজন, যদিও সরাসরি কনস্ট্রাক্টরে JSON ফরম্যাটে একটি ভালনারেবিলিটি রিপোর্ট পাস করে গতি বাড়ানো যেতে পারে। নিরাপত্তা প্যাচ অবস্থা.

কার্যপ্রবাহটি সাধারণত তিন ধরনের যাচাইকরণে বিভক্ত:

• একযোগে যাচাইকরণ: অ্যাপটি চালু হওয়ার সময় ডিএসপিএল (DSPL) যাচাই করতে এবং সেটিকে একটি বাধ্যতামূলক ভিত্তি তারিখের সাথে তুলনা করতে এগুলো ব্যবহৃত হয়।
• অ্যাসিঙ্ক্রোনাস কোয়েরি: এর মাধ্যমে fetchAvailableSecurityPatchLevelঅ্যাপটি ব্যবহারকারীকে একটি অপেক্ষমান আপডেট সম্পর্কে অবহিত করতে এবং তাকে সেটিংসে পাঠিয়ে দিতে পারে।
• গভীর নিরীক্ষা: বিরূদ্ধে queryAllAvailableUpdates আপনি ডেটার সতেজতা বিশ্লেষণ করে খুঁজে বের করতে পারেন কোন আপডেট প্রদানকারী সাড়া দিচ্ছে।

এটা মনে রাখা গুরুত্বপূর্ণ যে সিস্টেম ভার্সনের উপর নির্ভর করে সাপোর্টের তারতম্য ঘটে। যেখানে অ্যান্ড্রয়েড ১১ এবং এর পরবর্তী ভার্সনগুলো সম্পূর্ণ সাপোর্ট দেয়, সেখানে অ্যান্ড্রয়েড ১০-এর কোনো অফিশিয়াল কার্নেল সাপোর্ট নেই, এবং ভার্সন ৯ ও তার আগের ভার্সনগুলোতে, যেখানে প্রজেক্ট মেইনলাইন মডিউলগুলো বিদ্যমান ছিল না, সিস্টেম ডিফল্টভাবে ইউনিক্স ডেট (১৯৭০-০১-০১) রিটার্ন করে।

সিকিউরিটি স্টেট প্রোভাইডারের ভূমিকা এবং অ্যান্ড্রয়েড ১৭-এর নতুন ফিচারসমূহ

এই পুরো সিস্টেমটি কাজ করার জন্য, কাউকে আপডেট উপলব্ধ হওয়ার ঘোষণা দিতে হয়। এখানেই সিকিউরিটি স্টেট প্রোভাইডার (Security State Provider)-এর ভূমিকা শুরু হয় , যা আপডেট ক্লায়েন্টরা কীভাবে ASPL-কে রিপোর্ট করবে, তার একটি মান নির্ধারণ করে দেয়। আগে, প্রতিটি প্রস্তুতকারকের OTA তথ্য নিজস্ব সুরক্ষিত ভান্ডারে আবদ্ধ থাকত; এখন, ফোনের ব্র্যান্ড নির্বিশেষে যেকোনো অনুমোদিত অ্যাপ সেই ডেটা অ্যাক্সেস করতে পারে।

এছাড়াও, অ্যান্ড্রয়েড ১৭ একটি সাপ্লিমেন্টাল প্যাচেস এক্সএমএল ফাইলের (Supplemental Patches XML file) মাধ্যমে প্রস্তুতকারকদের (OEMs) জন্য একটি শক্তিশালী উন্নতি নিয়ে এসেছে । এটি তাদেরকে গ্লোবাল এসপিএল (SPL) রিলিজের জন্য অপেক্ষা না করেই নিজস্বভাবে প্রয়োগ করা নিরাপত্তা সমাধানগুলো ঘোষণা করার সুযোগ দেয়। এর ফলে চলমান প্যাচিং প্রচেষ্টাগুলো তাৎক্ষণিকভাবে স্বীকৃত হয় এবং ডিভাইসটি সুরক্ষিত হওয়ার পরেও ঝুঁকিপূর্ণ বলে মনে হয় না।

AndroidX নিরাপত্তা ইকোসিস্টেমের অন্যান্য টুল

সিস্টেম স্টেট ছাড়াও অন্যান্য গুরুত্বপূর্ণ উপাদান রয়েছে। কী (key) পরিচালনা এবং ফাইল বা শেয়ারডপ্রেফারেন্স (SharedPreferences) এনক্রিপ্ট করার জন্য সিকিউরিটি-ক্রিপ্টো (security-crypto) লাইব্রেরিটি অপরিহার্য। যদিও জেটসেক (JetSec)-এর কিছু সংস্করণ এখন অপ্রচলিত, সংবেদনশীল ডেটা সংরক্ষণের ক্ষেত্রে এর অতিরিক্ত ব্যবহার না করাই ভালো, কারণ অ্যান্ড্রয়েডের স্যান্ডবক্স মডেল এবং ফাইল-ভিত্তিক এনক্রিপশন ইতিমধ্যেই বেশ শক্তিশালী।

এছাড়াও উল্লেখযোগ্য হলো security-app-authenticator , যা কোনো অ্যাপ্লিকেশনের সাইনিং আইডেন্টিটির উপর ভিত্তি করে তার বিশ্বাসযোগ্যতা যাচাই করাকে সহজ করে তোলে। প্যাকেজ নেম এবং আইডেন্টিটি সহ XML ব্যবহার করে, এই লাইব্রেরিটি নিশ্চিত করে যে শুধুমাত্র বৈধ অ্যাপ্লিকেশনগুলোই সিস্টেমের গুরুত্বপূর্ণ উপাদানগুলোর সাথে ইন্টারঅ্যাক্ট করতে পারবে।

বিশদ কম্পোনেন্ট-স্তরের পরিদর্শনে রূপান্তর, OSV-এর মাধ্যমে CVE নিরীক্ষা করার ক্ষমতা এবং OTA আপডেটের মানকীকরণ AndroidX Security State-কে উন্নত মোবাইল নিরাপত্তার জন্য স্বর্ণমানে পরিণত করেছে। এই টুলগুলিকে একীভূত করার মাধ্যমে, গুরুত্বপূর্ণ ওয়ার্কফ্লো স্থিতিস্থাপক হয়ে ওঠে এবং ব্যবহারকারীরা ডিজিটাল জগতের সর্বশেষ হুমকি থেকে সর্বদা সুরক্ষিত থাকেন।