Android RASP
Android-এ RASP: অ্যাপের ভেতরে চলা সুরক্ষা
Android-এ রানটাইম সেল্ফ-প্রোটেকশনের অর্থ, এটি কী শনাক্ত করে এবং আসল ব্যবহারকারীদের সমস্যা না করে কীভাবে চালু করবেন।
সংক্ষিপ্ত উত্তর
RASP (রানটাইম অ্যাপ্লিকেশন সেল্ফ-প্রোটেকশন) হলো আপনার অ্যাপের ভেতরের কোড, যা অ্যাপ চলার সময় যাচাই করে ডিভাইস ও অ্যাপ নিজে বিশ্বাসযোগ্য কি না: রুট, এমুলেটর, ডিবাগার, হুকিং ফ্রেমওয়ার্ক ও পরিবর্তিত কপি। তারপর একটি পলিসি প্রতিক্রিয়া ঠিক করে, শুধু রিপোর্ট করা থেকে সেশন শেষ করা পর্যন্ত। এটি আক্রমণের খরচ বাড়ায়; অ্যাপে আক্রমণ অসম্ভব করে না।
Android অ্যাপের কেন এটি দরকার
যে কেউ একটি APK ডাউনলোড করে খুলতে, বদলাতে এবং আবার ইনস্টল করতে পারে। রুট করা ফোনে বা কোনো ইনস্ট্রুমেন্টেশন টুল যুক্ত থাকলে আক্রমণকারী মেমরি পড়তে, যাচাই এড়িয়ে যেতে এবং অ্যাপ যা পাঠায় তা বদলাতে পারে। আপনার সার্ভারের নিয়ম শুধু আসা অনুরোধ দেখে, যে ডিভাইস সেগুলো তৈরি করেছে তা নয়।
RASP কী যাচাই করে
যাচাইগুলো পরিবেশ (রুট, এমুলেটর, অনিরাপদ ডিভাইস অবস্থা), ইনস্ট্রুমেন্টেশন (Frida, Xposed, হুক করা ফাংশন), ডিবাগিং (যুক্ত ডিবাগার, প্রসেস ট্রেসিং) এবং অখণ্ডতা (স্বাক্ষর, পরিবর্তিত কোড, আবার সাইন করা কপি) দেখে। প্রতিটি সংকেত একা দুর্বল; কয়েকটি মিলে কাজের রায় দেয়।
কীভাবে নিরাপদে চালু করবেন
পর্যবেক্ষণ মোড দিয়ে শুরু করুন: অ্যাপ জানায় সে কী করত, কিন্তু কিছু ব্লক করে না। আপনার ব্যবহারকারীদের আসল ইভেন্ট দেখুন, তারপর একে একে প্রতিটি শনাক্তকরণকে সতর্কতা, ব্লক বা সেশন শেষে নিন। রানটাইম যাচাইয়ের সঙ্গে বিল্ড হার্ডেনিং (অবফাসকেশন) যুক্ত করুন, যাতে যাচাইগুলো খুঁজে বের করা ও সরানোও কঠিন হয়।
উৎসগুলো কী বলে
OWASP MASVS-RESILIENCE-1 বলে অ্যাপ যে প্ল্যাটফর্মে চলে তার অখণ্ডতা যাচাই করবে, আর MASVS-RESILIENCE-4 বলে অ্যাপ ডায়নামিক বিশ্লেষণ-বিরোধী কৌশল প্রয়োগ করবে।
উৎস · যাচাইয়ের তারিখ
চলমান অ্যাপ পরীক্ষা ও পরিবর্তনের টুল Frida নিজেকে ডায়নামিক কোড ইনস্ট্রুমেন্টেশন টুলকিট হিসেবে বর্ণনা করে।
উৎস · যাচাইয়ের তারিখ
Google-এর Play Integrity API ডিভাইস, অ্যাপ ও অ্যাকাউন্ট নিয়ে রায় দেয়, যা ব্যাকএন্ড অ্যাপের নিজস্ব সংকেতের সঙ্গে যাচাই করতে পারে।
উৎস · যাচাইয়ের তারিখ
Moatgator কী করে
Runtime অ্যাপের ভেতরে রুট, এমুলেটর, Frida, Xposed, ডিবাগার ও টেম্পারিং শনাক্ত করে।
উৎস · যাচাইয়ের তারিখ
প্রতিটি শনাক্তকরণের প্রতিক্রিয়া moatgator.yml-এ থাকে: পর্যবেক্ষণ, সতর্কতা, ব্লক বা সেশন শেষ, এবং প্রতিটি শনাক্তকরণ পর্যবেক্ষণ মোডে শুরু হয়।
উৎস · যাচাইয়ের তারিখ
Shield আপনার পাইপলাইনে কম্পাইল করা অ্যাপ অবফাসকেট করে এবং স্বাক্ষর ছাড়াই ফেরত দেয়, তাই সাইনিং কী আপনার কাছেই থাকে।
উৎস · যাচাইয়ের তারিখ
বিনামূল্যের প্ল্যানে পর্যবেক্ষণ ও সতর্কতা মোডে পাঁচটি শনাক্তকরণ রয়েছে।
উৎস · যাচাইয়ের তারিখ
এর সীমা
কোনো যাচাই একা প্রমাণ নয়, আর সময় থাকা দৃঢ় আক্রমণকারী ক্লায়েন্টের যাচাই এড়াতে পারে। RASP সংকেত ও সময় দেয়; টাকা লেনদেনের কাজের জন্য এটিকে সার্ভার-সাইড যাচাইয়ের (Attest বা Play Integrity) সঙ্গে যুক্ত করুন।
সচরাচর জিজ্ঞাসিত প্রশ্ন
RASP আর অবফাসকেশন কি একই?
না। অবফাসকেশন চলার আগে কোড পড়া কঠিন করে; RASP চলার সময় পরিবেশ যাচাই করে। দুটো একসঙ্গে ভালো কাজ করে, কারণ অবফাসকেশন RASP-এর যাচাইও লুকায়।
RASP কি আসল ব্যবহারকারীদের ব্লক করবে?
খুব আগে ব্লক চালু করলে করতে পারে। তাই শনাক্তকরণ পর্যবেক্ষণ মোডে শুরু হওয়া উচিত, যাতে কিছু ব্লক করার আগে আসল প্রভাব দেখা যায়।
আমার সোর্স কোড কি বদলাতে হবে?
Moatgator-এ না। সুরক্ষা আপনার বিল্ড পাইপলাইনে কম্পাইল করা অ্যাপে যোগ হয় এবং পলিসি থাকে moatgator.yml-এ।
এটি কি iOS-এ কাজ করে?
Moatgator Android ও iOS (বেটা) সমর্থন করে। এই গাইড Android নিয়ে।
দেখুন আপনার অ্যাপ কোথায় দাঁড়িয়ে
বিনামূল্যের Scan-এ APK, AAB বা IPA আপলোড করুন এবং অ্যাকাউন্ট ছাড়াই গ্রেড পান।