মোবাইল অ্যাপ সিকিউরিটি — Android/iOS বেসিকস

১ · মোবাইল অ্যাপ সিকিউরিটি কেন ওয়েব থেকে আলাদা

এতদিন আমরা M5-এ ওয়েব অ্যাপ্লিকেশনের ঝুঁকি (OWASP Top 10) নিয়ে কাজ করেছি — যেখানে আক্রমণকারীর মূল লক্ষ্য থাকে সার্ভার ও নেটওয়ার্কে। মোবাইল অ্যাপে আক্রমণের পৃষ্ঠতল ভিন্ন, কারণ কোডটি এখন সরাসরি ব্যবহারকারীর ডিভাইসে চলে — একজন আক্রমণকারী যদি ডিভাইসেই অ্যাক্সেস পায় (হারানো ফোন, রুটেড/জেইলব্রোকেন ডিভাইস, বা ইনস্টল করা ম্যালওয়্যার), তাহলে অ্যাপের নিজস্ব দুর্বলতাগুলো সরাসরি কাজে লাগানো যায়।

২ · ইনসিকিউর লোকাল স্টোরেজ ও ইন্টার-প্রসেস কমিউনিকেশন (IPC)

অনেক অ্যাপ পারফরম্যান্সের জন্য ডেটা লোকালি ক্যাশ করে — সমস্যা তখন হয় যখন সেই ক্যাশে সংবেদনশীল তথ্য (যেমন login token, ব্যক্তিগত মেসেজ, ক্রেডিট কার্ডের আংশিক তথ্য) প্লেইনটেক্সটে সংরক্ষিত থাকে। একটি রুটেড Android বা জেইলব্রোকেন iOS ডিভাইসে (বা ব্যাকআপ ফাইল অ্যাক্সেসের মাধ্যমে), এই ফাইলগুলো সরাসরি পড়া সম্ভব হতে পারে।

IPC (Inter-Process Communication)IPCএকই ডিভাইসে চলা দুটি ভিন্ন প্রসেস/অ্যাপের মধ্যে ডেটা আদান-প্রদানের প্রক্রিয়া। Android-এ Activity, Service, Broadcast Receiver, Content Provider — এই চারটি কম্পোনেন্ট যদি ভুলবশত exported=true হিসেবে চিহ্নিত থাকে, তাহলে ডিভাইসের যেকোনো অ্যাপ সেগুলো সরাসরি কল করতে পারে। হলো একই ডিভাইসে থাকা দুটি অ্যাপের মধ্যে যোগাযোগের প্রক্রিয়া। যদি একটি অ্যাপের সংবেদনশীল কম্পোনেন্ট (যেমন "ব্যালেন্স ট্রান্সফার" করার একটি সার্ভিস) ভুলবশত অন্য যেকোনো অ্যাপ থেকে কল করার জন্য উন্মুক্ত (exported) রেখে দেওয়া হয়, তাহলে ডিভাইসে ইনস্টল করা একটি ক্ষতিকর অ্যাপ সরাসরি সেই কম্পোনেন্ট কল করে অনিচ্ছাকৃত কাজ ঘটাতে পারে — ব্যবহারকারীর কোনো ইন্টারঅ্যাকশন ছাড়াই।

৩ · সার্টিফিকেট পিনিং — TLS ট্রাস্টের উপর একটি অতিরিক্ত স্তর

L37-এ আমরা দেখেছি একটি ব্রাউজার/OS কীভাবে একটি সার্টিফিকেটের ট্রাস্ট চেইন যাচাই করে — ডিভাইসে বিল্ট-ইন থাকা যেকোনো রুট CA-এর মাধ্যমে সাইন করা সার্টিফিকেটকে বিশ্বাস করা হয়। সমস্যা হলো: যদি ডিভাইসে একটি রোগ (rogue) CA সার্টিফিকেট ইনস্টল করা থাকে (যেমন একটি ক্ষতিকর VPN প্রোফাইল বা corporate MITM প্রক্সির মাধ্যমে), তাহলে ডিভাইসটি সেই রোগ CA-কেও বিশ্বাস করবে — এবং একটি আক্রমণকারী বৈধ-দেখতে একটি সার্টিফিকেট দিয়ে HTTPS ট্রাফিক পড়তে/পরিবর্তন করতে পারবে, যদিও সংযোগটি "এনক্রিপ্টেড" দেখাচ্ছে।

সার্টিফিকেট পিনিংCertificate Pinningঅ্যাপ নিজেই একটি নির্দিষ্ট সার্টিফিকেট বা পাবলিক কী "পিন" করে রাখে তার নিজস্ব ব্যাকএন্ডের জন্য — ডিভাইসের সাধারণ CA ট্রাস্ট স্টোরের উপর নির্ভর না করে। ফলে ডিভাইসে যত বিশ্বস্ত (বা রোগ) CA-ই থাকুক না কেন, অ্যাপ শুধু সেই নির্দিষ্ট সার্টিফিকেট/কী-কেই গ্রহণ করবে। হলো এই সমস্যার সমাধান — অ্যাপ ডিভাইসের সাধারণ CA তালিকা উপেক্ষা করে শুধুমাত্র তার নিজের ব্যাকএন্ডের জন্য নির্দিষ্ট, প্রত্যাশিত সার্টিফিকেট/পাবলিক-কী গ্রহণ করে — অন্য যেকোনো সার্টিফিকেট প্রত্যাখ্যাত হয়, এমনকি যদি সেটি ডিভাইসের কাছে "বৈধ" মনে হয়।

৪ · প্ল্যাটফর্ম স্যান্ডবক্সিং মডেল ও পারমিশন গেট

Android ও iOS উভয়েই ডিফল্টভাবে একটি স্যান্ডবক্সিংApp Sandboxingপ্রতিটি অ্যাপকে তার নিজস্ব বিচ্ছিন্ন প্রসেস, ফাইল স্টোরেজ ও মেমরিতে সীমাবদ্ধ রাখা — একটি অ্যাপ অন্য অ্যাপের ডেটা বা সিস্টেম রিসোর্স সরাসরি অ্যাক্সেস করতে পারে না, যদি না OS স্পষ্টভাবে অনুমতি দেয়। মডেল অনুসরণ করে — একটি অ্যাপ কখনোই সরাসরি আরেকটি অ্যাপের ডেটা পড়তে পারে না। ক্যামেরা, লোকেশন, কন্ট্যাক্টসের মতো সংবেদনশীল রিসোর্স অ্যাক্সেস করার একমাত্র বৈধ পথ হলো পারমিশন সিস্টেম — এই নিয়ন্ত্রিত ব্যতিক্রম মডেলটি বিস্তারিতভাবে পরের পাঠ (L43) কভার করবে।

৫ · অতিরিক্ত পারমিশন শনাক্তকরণ — একটি সাধারণ অডিটর

একটি অ্যাপ যে পারমিশন চায় তা তার ঘোষিত কাজের সাথে সামঞ্জস্যপূর্ণ কি না — এটি একটি সহজ কিন্তু কার্যকর প্রাথমিক নিরাপত্তা/প্রাইভেসি যাচাই। নিচের কোড সেলটি প্রতিটি অ্যাপের ঘোষিত উদ্দেশ্যের জন্য "প্রত্যাশিত" পারমিশনের একটি বেসলাইনের সাথে তুলনা করে অতিরিক্ত পারমিশন ফ্ল্যাগ করে — সম্পূর্ণ ইন-মেমরি সিমুলেশন, কোনো বাস্তব ডিভাইস বা অ্যাপ স্টোর ডেটার সাথে সংযুক্ত নয়।

apps = {
    "SimpleFlashlight": {"purpose": "flashlight",
                          "permissions": {"CAMERA_FLASH", "CONTACTS", "LOCATION"}},
    "WeatherNow":        {"purpose": "weather",
                          "permissions": {"LOCATION", "INTERNET"}},
    "SecureNotes":       {"purpose": "notes",
                          "permissions": {"STORAGE", "INTERNET"}},
}

# প্রতিটি ব্যবহারের-উদ্দেশ্যের জন্য যুক্তিসঙ্গত ("প্রত্যাশিত") পারমিশনের বেসলাইন
expected_permissions = {
    "flashlight": {"CAMERA_FLASH"},
    "weather":    {"LOCATION", "INTERNET"},
    "notes":      {"STORAGE", "INTERNET"},
}

def audit_permissions(app_name, app_data, expected_map):
    purpose = app_data["purpose"]
    requested = app_data["permissions"]
    expected = expected_map.get(purpose, set())
    excessive = requested - expected
    return excessive

print("অতিরিক্ত-পারমিশন অডিট রিপোর্ট")
print("-" * 40)
for name, data in apps.items():
    excessive = audit_permissions(name, data, expected_permissions)
    if excessive:
        print(f"[সতর্কতা] {name} ({data['purpose']}) — অতিরিক্ত পারমিশন: {sorted(excessive)}")
    else:
        print(f"[ঠিক আছে]  {name} ({data['purpose']}) — কোনো অতিরিক্ত পারমিশন নেই")