Android RASP
Android पर RASP: ऐप के अंदर चलने वाली सुरक्षा
Android पर रनटाइम सेल्फ़-प्रोटेक्शन का मतलब, यह क्या पहचानता है और असली उपयोगकर्ताओं को परेशान किए बिना इसे कैसे अपनाएँ।
संक्षिप्त जवाब
RASP (रनटाइम एप्लिकेशन सेल्फ़-प्रोटेक्शन) आपके ऐप के अंदर का कोड है जो ऐप के चलते समय जाँचता है कि डिवाइस और ऐप ख़ुद भरोसेमंद हैं या नहीं: रूट, एम्युलेटर, डीबगर, हुकिंग फ़्रेमवर्क और बदली हुई प्रतियाँ। फिर एक पॉलिसी प्रतिक्रिया तय करती है, केवल रिपोर्ट करने से लेकर सत्र समाप्त करने तक। यह हमले की लागत बढ़ाता है; ऐप पर हमला असंभव नहीं बनाता।
Android ऐप्स को इसकी ज़रूरत क्यों है
कोई भी APK डाउनलोड करके खोल सकता है, बदल सकता है और फिर से इंस्टॉल कर सकता है। रूट किए गए फ़ोन पर या किसी इंस्ट्रुमेंटेशन टूल के जुड़े होने पर हमलावर मेमोरी पढ़ सकता है, जाँचें छोड़ सकता है और ऐप जो भेजता है उसे बदल सकता है। आपके सर्वर के नियम केवल आने वाले अनुरोध देखते हैं, उन्हें बनाने वाला डिवाइस नहीं।
RASP क्या जाँचता है
जाँचें माहौल (रूट, एम्युलेटर, असुरक्षित डिवाइस स्थिति), इंस्ट्रुमेंटेशन (Frida, Xposed, हुक किए गए फ़ंक्शन), डीबगिंग (जुड़ा हुआ डीबगर, प्रोसेस ट्रेसिंग) और अखंडता (हस्ताक्षर, बदला हुआ कोड, फिर से साइन की गई प्रतियाँ) देखती हैं। हर संकेत अकेले कमज़ोर है; कई साथ मिलकर काम का निर्णय देते हैं।
इसे सुरक्षित तरीक़े से कैसे लागू करें
निगरानी मोड से शुरू करें: ऐप बताता है कि वह क्या करता, लेकिन कुछ ब्लॉक नहीं करता। अपने उपयोगकर्ताओं से आए असली इवेंट देखें, फिर हर पहचान को एक-एक करके चेतावनी, ब्लॉक या सत्र समाप्त पर ले जाएँ। रनटाइम जाँचों को बिल्ड हार्डनिंग (ऑब्फ़स्केशन) के साथ जोड़ें, ताकि जाँचों को ढूँढना और हटाना भी कठिन हो।
स्रोत क्या कहते हैं
OWASP MASVS-RESILIENCE-1 कहता है कि ऐप जिस प्लेटफ़ॉर्म पर चलता है उसकी अखंडता जाँचे, और MASVS-RESILIENCE-4 कहता है कि वह डायनेमिक विश्लेषण के ख़िलाफ़ तकनीकें लागू करे।
स्रोत · जाँच की तारीख
Frida, जो चलते हुए ऐप्स को जाँचने और बदलने का टूल है, ख़ुद को डायनेमिक कोड इंस्ट्रुमेंटेशन टूलकिट बताता है।
स्रोत · जाँच की तारीख
Google की Play Integrity API डिवाइस, ऐप और खाते के बारे में निर्णय देती है, जिन्हें बैकएंड ऐप के अपने संकेतों के साथ जाँच सकता है।
स्रोत · जाँच की तारीख
Moatgator क्या करता है
Runtime ऐप के अंदर रूट, एम्युलेटर, Frida, Xposed, डीबगर और छेड़छाड़ का पता लगाता है।
स्रोत · जाँच की तारीख
हर पहचान की प्रतिक्रिया moatgator.yml में तय होती है: निगरानी, चेतावनी, ब्लॉक या सत्र समाप्त, और हर पहचान निगरानी मोड में शुरू होती है।
स्रोत · जाँच की तारीख
Shield आपकी पाइपलाइन में कंपाइल किए गए ऐप को ऑब्फ़स्केट करता है और बिना हस्ताक्षर के लौटाता है, इसलिए साइनिंग कुंजियाँ आपके पास रहती हैं।
स्रोत · जाँच की तारीख
मुफ़्त प्लान में निगरानी और चेतावनी मोड में पाँच पहचानें शामिल हैं।
स्रोत · जाँच की तारीख
इसकी सीमाएँ
कोई भी जाँच अकेले सबूत नहीं है, और समय वाला दृढ़ हमलावर क्लाइंट की जाँचों को पार कर सकता है। RASP संकेत और समय देता है; पैसे वाली कार्रवाइयों के लिए इसे सर्वर-साइड सत्यापन (Attest या Play Integrity) के साथ जोड़ें।
अक्सर पूछे जाने वाले प्रश्न
क्या RASP और ऑब्फ़स्केशन एक ही हैं?
नहीं। ऑब्फ़स्केशन चलने से पहले कोड को पढ़ना कठिन बनाता है; RASP चलते समय माहौल जाँचता है। दोनों साथ बेहतर काम करते हैं, क्योंकि ऑब्फ़स्केशन RASP की जाँचों को भी छिपाता है।
क्या RASP असली उपयोगकर्ताओं को ब्लॉक करेगा?
अगर आप बहुत जल्दी ब्लॉक करें तो कर सकता है। इसलिए पहचानें निगरानी मोड में शुरू होनी चाहिए, ताकि ब्लॉक करने से पहले असली असर दिखे।
क्या मुझे अपना सोर्स कोड बदलना होगा?
Moatgator के साथ नहीं। सुरक्षा आपकी बिल्ड पाइपलाइन में कंपाइल किए गए ऐप में जुड़ती है और पॉलिसी moatgator.yml में रहती है।
क्या यह iOS पर काम करता है?
Moatgator Android और iOS (बीटा) को सपोर्ट करता है। यह गाइड Android के बारे में है।
देखें आपका ऐप कहाँ खड़ा है
मुफ़्त Scan पर APK, AAB या IPA अपलोड करें और बिना खाते के ग्रेड पाएँ।