A01: ব্রোকেন অ্যাক্সেস কন্ট্রোল

১ · Broken Access Control আসলে কী

অ্যাক্সেস কন্ট্রোলAccess Controlএকটি সিস্টেমের নিয়ম যা নির্ধারণ করে কোন অথেন্টিকেটেড ইউজার কোন রিসোর্স দেখতে বা কোন কাজ করতে পারবে। হলো এমন নিয়মকানুন যা ঠিক করে দেয় — একজন লগইন করা ইউজার ঠিক কী দেখতে বা করতে পারবে। যখন এই নিয়ম সঠিকভাবে প্রয়োগ হয় না (অর্থাৎ যাচাই বাদ পড়ে যায়, বা ভুলভাবে করা হয়), তখন সেটাই Broken Access Control — ২০২১ OWASP Top 10-এর সবচেয়ে সাধারণভাবে পাওয়া ক্যাটাগরি।

গুরুত্বপূর্ণ বিষয় — অথেন্টিকেশন (আপনি কে, সেটা যাচাই) এবং অথরাইজেশন (আপনি কী করতে পারবেন, সেটা যাচাই) দুটি সম্পূর্ণ আলাদা জিনিস। একজন ইউজার সফলভাবে লগইন করতে পারলেও (অথেন্টিকেশন ঠিক আছে), সার্ভার যদি প্রতিটি রিকোয়েস্টে অথরাইজেশন যাচাই না করে, তাহলেও Broken Access Control ঘটতে পারে।

২ · IDOR — Insecure Direct Object Reference

সবচেয়ে ক্লাসিক উদাহরণ হলো IDORIDORInsecure Direct Object Reference — একটি ইন্টারনাল ID (যেমন order_id) সরাসরি URL/API-তে expose করা হয়, এবং সার্ভার সেই ID-র মালিকানা যাচাই না করেই ডেটা ফেরত দেয়।। ধরুন আপনি লগইন করে আপনার নিজের অর্ডার দেখছেন এমন একটি URL-এ:

একই মূল সমস্যার আরও দুটি সাধারণ রূপ সংক্ষেপে —

৩ · প্রতিরক্ষা — সার্ভার-সাইড চেক ও deny-by-default

মূল ফিক্স সবসময় একই নীতি অনুসরণ করে: প্রতিটি রিকোয়েস্টে সার্ভার নিজে যাচাই করবে — এই নির্দিষ্ট রিসোর্সটি কি এই নির্দিষ্ট অনুরোধকারী ইউজারের প্রাপ্য? — এবং ডিফল্ট আচরণ হবে deny (প্রত্যাখ্যান), শুধুমাত্র স্পষ্টভাবে অনুমোদিত হলেই access দেওয়া হবে। নিচের কোড সেলে একই orders ডেটার উপর একটি insecure ও একটি secure ভার্সন পাশাপাশি দেখা যাক।

# ভুয়া, ইন-মেমরি "orders" ডেটাবেস — প্রতিটি অর্ডারের একজন owner আছে
orders = {
    101: {"item": "Laptop Bag", "owner": "rina"},
    102: {"item": "Mechanical Keyboard", "owner": "hasan"},
    103: {"item": "Noise Cancelling Headphones", "owner": "rina"},
}

def get_order_insecure(order_id):
    # ইনসিকিউর: মালিকানা যাচাই ছাড়াই যেকোনো অর্ডার ফেরত দেয় (classic IDOR)
    return orders.get(order_id)

def get_order_safe(order_id, requesting_user):
    # সিকিউর: সার্ভার-সাইডে যাচাই করে — এই অর্ডারের মালিক কি অনুরোধকারী ইউজার-ই?
    order = orders.get(order_id)
    if order is None:
        return None
    if order["owner"] != requesting_user:
        return None  # deny-by-default — ভুল মালিক হলে কিছুই ফেরত দেওয়া হয় না
    return order

# "rina" লগইন করা, কিন্তু order_id=102 আসলে "hasan"-এর
print("=== ইনসিকিউর ভার্সন (IDOR) ===")
result = get_order_insecure(102)
print("rina-কে ফেরত দেওয়া হলো:", result, "  <- hasan-এর অর্ডার ফাঁস হয়ে গেল!")

print()
print("=== সিকিউর ভার্সন (owner চেকসহ) ===")
result_safe = get_order_safe(102, requesting_user="rina")
print("rina-কে ফেরত দেওয়া হলো:", result_safe, "  <- সঠিকভাবে প্রত্যাখ্যাত")

print()
print("rina নিজের অর্ডার (103) ঠিকই দেখতে পারছে:")
print(get_order_safe(103, requesting_user="rina"))