Table of Contents
Software and Data Integrity Failures এমন একটি গুরুতর নিরাপত্তা দুর্বলতা, যেখানে কোনো ওয়েব এপ্লিকেশন বা সফটওয়্যার সিস্টেম নিশ্চিত করতে ব্যর্থ হয় যে তার ব্যবহার করা কোড, সফটওয়্যার আপডেট, লাইব্রেরি বা ডেটা আদৌ বিশ্বাসযোগ্য উৎস (trusted source) থেকে এসেছে কি না এবং মাঝপথে তা পরিবর্তিত হয়েছে কি না।
আধুনিক সফটওয়্যার ডেভেলপমেন্টে একটি অ্যাপ্লিকেশন কেবল নিজের কোডের উপর নির্ভর করে না। এর সঙ্গে যুক্ত থাকে অসংখ্য থার্ড-পার্টি লাইব্রেরি, ওপেন-সোর্স প্যাকেজ, প্লাগইন, API এবং স্বয়ংক্রিয় আপডেট সিস্টেম। যদি এই উপাদানগুলোর অখণ্ডতা (integrity) যাচাই করা না হয়, তাহলে আক্রমণকারী খুব সহজেই সেই বিশ্বাসের সুযোগ নিয়ে ক্ষতিকর কোড ঢুকিয়ে দিতে পারে। Third-party package ব্যবহার করা হলে তা Vulnerable and Outdated Components ঝুঁকি বাড়ায়।
এই দুর্বলতার মূল সমস্যা হলো: সিস্টেম ধরে নেয় সবকিছুই নিরাপদ, কিন্তু যাচাই করে না।
ফলে আক্রমণকারী পারে:
- সফটওয়্যারের ভেতরে গোপনে malicious code ঢুকিয়ে দিতে
- আপডেট প্রক্রিয়া হাইজ্যাক করতে
- সম্পূর্ণ supply chain attack চালাতে
Software Integrity ও Data Integrity কেন এত গুরুত্বপূর্ণ?
একটি অ্যাপ্লিকেশনের নিরাপত্তা শুধু লগইন বা ফায়ারওয়ালের উপর নির্ভর করে না। বরং অ্যাপ্লিকেশন যেসব কোড ও ডেটার উপর দাঁড়িয়ে আছে, সেগুলোর বিশ্বাসযোগ্যতাই হলো ভিত্তি। যদি:
- আপডেট ফাইল পরিবর্তন করা যায়
- লাইব্রেরির ভেতরে ব্যাকডোর ঢুকিয়ে দেওয়া যায়
- ডেটা ট্রান্সমিশনের সময় পরিবর্তন করা যায়
তাহলে নিরাপত্তার সব স্তর অর্থহীন হয়ে যায়। ডিজাইন পর্যায়ে validation না থাকলে তা Insecure Design সমস্যার উদাহরণ।
কীভাবে Software and Data Integrity Failures তৈরি হয়?
এই ধরনের দুর্বলতা সাধারণত কোনো একক ভুলের কারণে হয় না; বরং একাধিক অবহেলা একসাথে কাজ করে।
1.Integrity Check না থাকা
অনেক সিস্টেমে সফটওয়্যার আপডেট বা কোড ডাউনলোড করার সময় digital signature, checksum বা hash validation করা হয় না। ফলে সিস্টেম বুঝতেই পারে না যে ফাইলটি আসল নাকি পরিবর্তিত। এক্ষেত্রে আক্রমণকারী খুব সহজেই আসল ফাইলের জায়গায় ভুয়া বা পরিবর্তিত ফাইল বসিয়ে দিতে পারে।
2.Unsigned Updates ব্যবহার করা
যখন কোনো সফটওয়্যার আপডেট digitally signed নয়, তখন সেটার উৎস যাচাই করার কোনো উপায় থাকে না। বিশেষ করে থার্ড-পার্টি সার্ভার বা CDN থেকে আপডেট নিলে এই ঝুঁকি আরও বেড়ে যায়।
সিস্টেম ধরে নেয়: “আপডেট এসেছে মানেই নিরাপদ”, কিন্তু বাস্তবে সেটি আক্রমণকারীর নিয়ন্ত্রিত ফাইলও হতে পারে। Update বা change properly monitor না করলে তা Security Logging and Monitoring Failures সৃষ্টি করে।
3.CI/CD Pipeline Insecure হওয়া
আধুনিক সফটওয়্যার ডেভেলপমেন্টে CI/CD pipeline ব্যবহার করে স্বয়ংক্রিয়ভাবে কোড build ও deploy করা হয়। যদি এই pipeline যথেষ্ট সুরক্ষিত না হয়, তাহলে আক্রমণকারী বিল্ড প্রসেসেই ম্যালিসিয়াস কোড ঢুকিয়ে দিতে পারে।
সবচেয়ে বিপজ্জনক দিক হলো: এই কোডটি তখন “official build” হিসেবেই production এ চলে যায়।
4.Deserialization Control না থাকা
অনেক অ্যাপ্লিকেশন serialized object (JSON, XML, binary object) গ্রহণ করে এবং সেগুলো deserialize করে ব্যবহার করে। যদি এই ডেটা যাচাই করা না হয় এবং trusted source ধরে নেওয়া হয়, তাহলে আক্রমণকারী crafted payload পাঠিয়ে server-side code execution ঘটাতে পারে। এটি সরাসরি system compromise পর্যন্ত নিয়ে যেতে পারে।
Attack Scenario (আরও বিস্তারিতভাবে)
Scenario 1: Malicious Software Update (Supply Chain Attack)
ধরা যাক, একটি জনপ্রিয় মোবাইল অ্যাপ নিয়মিত backend API থেকে আপডেট চেক করে এবং ব্যবহারকারীদের কাছে নতুন ভার্সন পাঠায়।
দুর্বলতা:
- Update ফাইল digitally signed নয়
- কোনো hash বা integrity verification নেই
আক্রমণকারী কী করল?
আক্রমণকারী প্রথমে নেটওয়ার্ক ট্রাফিক বিশ্লেষণ করে বুঝে নিল, আপডেট ফাইল কোথা থেকে আসছে। এরপর সে Man-in-the-Middle আক্রমণের মাধ্যমে আসল আপডেট ফাইলটি প্রতিস্থাপন করল একটি modified ফাইল দিয়ে, যার ভেতরে ছিল ম্যালিসিয়াস কোড। ব্যবহারকারীরা যখন স্বাভাবিকভাবে “আপডেট” বাটনে ক্লিক করল, তখন তারা না জেনেই সেই ক্ষতিকর কোড ইনস্টল করে ফেলল।
ফলাফল:
- হাজার হাজার ব্যবহারকারীর ডিভাইস compromise
- User data চুরি
- Backdoor স্থায়ীভাবে বসে যাওয়া
Scenario 2: Insecure Deserialization Leading to Server Takeover
একটি ওয়েব অ্যাপ্লিকেশন API request এর মাধ্যমে serialized JSON object গ্রহণ করে এবং সেটিকে deserialize করে প্রসেস করে।
দুর্বলতা:
- Input validation নেই
- Serialized data কে trusted ধরে নেওয়া হয়েছে
আক্রমণকারী কী করল?
আক্রমণকারী একটি বিশেষভাবে তৈরি serialized payload পাঠাল, যার ভেতরে ছিল executable command। সার্ভার সেটি deserialize করার সাথে সাথেই সেই কোড execute হয়ে গেল।
ফলাফল:
- Server-side remote code execution
- Database access
- Full system takeover সম্ভব
কেন Software and Data Integrity Failures এতটা মারাত্মক?
এই দুর্বলতাকে OWASP আলাদা করে গুরুত্ব দিয়েছে কারণ এর প্রভাব খুবই বিস্তৃত ও গভীর।
1.Supply Chain Attack সম্ভব
একটি মাত্র দুর্বল আপডেট মেকানিজম ব্যবহার করে হাজার হাজার বা লক্ষ লক্ষ ব্যবহারকারীকে একসাথে আক্রান্ত করা যায়।
2.Trusted Channel Exploit হয়
User নিজেই বিশ্বাস করে malicious code চালায়, কারণ সেটি “official update”।
3.Detection অত্যন্ত কঠিন
সবকিছু স্বাভাবিক আপডেট বা স্বাভাবিক ডেটা হিসেবে দেখা যায়, তাই অনেক সময় দীর্ঘদিন ধরে আক্রমণ ধরা পড়ে না।
4.Long-term Damage
একবার backdoor ঢুকে গেলে তা দীর্ঘ সময় ধরে থেকে যেতে পারে এবং ভবিষ্যতে আরও বড় আক্রমণের পথ তৈরি করে।
সাধারণ জিজ্ঞাসা / FAQ (Frequently Asked Questions)
1. Software and Data Integrity Failures কী?
Software and Data Integrity Failures হলো নিরাপত্তা ত্রুটি যেখানে সফটওয়্যার বা ডেটার অখণ্ডতা বজায় থাকে না। এর ফলে কোড, ডেটা বা আপডেট অননুমোদিতভাবে পরিবর্তন বা হ্যাক হতে পারে।
2. কেন Software and Data Integrity Failures গুরুত্বপূর্ণ?
Integrity Failure থাকলে আক্রমণকারী সফটওয়্যার বা ডেটা পরিবর্তন করতে পারে, যার ফলে ভুল ফলাফল, ডেটা চুরি বা রিমোট কোড এক্সিকিউশন সম্ভব হয়।
3. Software and Data Integrity Failures এর সাধারণ উদাহরণ কী?
- Unverified Software Updates বা Patches
- Downloaded Package বা Library এর Integrity চেক না করা
- Unauthorized Code Injection
- Source Code বা Configuration ফাইল ম্যানিপুলেশন
4. আক্রমণকারী Software and Data Integrity Failures আক্রমণ ব্যবহার করে কী করতে পারে?
- Malicious কোড ইনজেকশন
- Data Tampering
- Supply Chain Attack
- Unauthorized System Control
5. Software Integrity কীভাবে যাচাই করা যায়?
- Digital Signatures ব্যবহার করে Software/Update verify করা
- Checksums বা Hash ব্যবহার করে File Validation
- Trusted Repositories থেকে Software Download করা
6. Data Integrity Failure কিভাবে ঘটে?
- Database বা Storage এ Unauthorized Modification
- Transmission সময় Data Tampering
- Backup বা Replica তে corruption বা unauthorized access
7. Integrity Failure শনাক্ত করার উপায় কী?
- Cryptographic Hash বা Digital Signatures যাচাই
- Audit Logs এবং Monitoring করা
- Penetration Testing এবং Code Review করা
8. Supply Chain Attack কীভাবে সম্পর্কিত?
Attackers তৃতীয় পক্ষের vulnerable package বা update compromise করে software বা data integrity নষ্ট করতে পারে।
9. প্রতিরোধের জন্য কি করা উচিত?
- Software Updates করা। শুধুমাত্র Trusted Source থেকে গ্রহণ করা
- Digital Signature ও Hash Validation করা
- Access Control এবং Version Control সঠিকভাবে ব্যবহার করা
- Security Audit এবং Code Review নিয়মিত করা
10. Data-in-Transit Integrity কীভাবে নিশ্চিত করা যায়?
- TLS/SSL প্রোটোকল ব্যবহার
- Message Authentication Codes (MAC) বা HMAC ব্যবহার
- End-to-End Encryption
11. Data-at-Rest Integrity কীভাবে নিশ্চিত করা যায়?
- Database বা File Storage এ Hashing বা Checksums করা
- Immutable Backup এবং Versioning করা
- Access Control এবং Encryption করা
12. বেস্ট প্র্যাকটিস কী?
- Software ও Data Integrity জন্য Cryptography ব্যবহার
- Trusted Repositories এবং Signed Packages ব্যবহার
- Regular Integrity Checks এবং Monitoring করা
- Supply Chain Attack থেকে রক্ষা করা
