OWASP Top 10 ব্যবহারিক উদাহরণসহ ব্যাখ্যা

আপনি একটি ওয়েব অ্যাপ্লিকেশন তৈরি করেছেন, এবং এখন নিরাপত্তা নিয়ে চিন্তিত। OWASP Top 10 হলো গুরুত্বপূর্ণ ওয়েব অ্যাপ্লিকেশন নিরাপত্তা ঝুঁকিগুলির একটি তালিকা। কিন্তু তালিকা পড়া এক জিনিস; এই ঝুঁকিগুলি কীভাবে বাস্তব কোডে প্রকাশ পায় তা বোঝা অন্য জিনিস। এই নিবন্ধে প্রতিটি OWASP Top 10 বিভাগের ব্যবহারিক উদাহরণ এবং সেগুলি প্রশমিত করার সুনির্দিষ্ট পদক্ষেপগুলি আলোচনা করা হয়েছে।

১. ভাঙা অ্যাক্সেস কন্ট্রোল

ভাঙা অ্যাক্সেস কন্ট্রোল ঘটে যখন ব্যবহারকারীরা তাদের উদ্দেশ্যমূলক অনুমতির বাইরে কাজ করতে পারে। উদাহরণস্বরূপ, একটি URL প্যারামিটার পরিবর্তন করে একজন ব্যবহারকারী অন্য ব্যবহারকারীর অ্যাকাউন্ট অ্যাক্সেস করতে পারে।

// Vulnerable: No check if the requested user ID belongs to the authenticated user
app.get('/api/user/:id', (req, res) => {
  const user = getUserById(req.params.id);
  res.json(user);
});

প্রশমন: সার্ভার সাইডে অ্যাক্সেস কন্ট্রোল চেক প্রয়োগ করুন। ভূমিকা-ভিত্তিক বা বৈশিষ্ট্য-ভিত্তিক অ্যাক্সেস কন্ট্রোল ব্যবহার করুন এবং ডিফল্টভাবে অস্বীকার করুন।

২. ক্রিপ্টোগ্রাফিক ব্যর্থতা

পাসওয়ার্ড এবং ক্রেডিট কার্ড নম্বরের মতো সংবেদনশীল ডেটা ট্রানজিট এবং বিশ্রামে এনক্রিপ্ট করা আবশ্যক। দুর্বল অ্যালগরিদম ব্যবহার বা গোপনীয়তা হার্ডকোড করা সাধারণ ভুল।

# Vulnerable: Using MD5 for password hashing
import hashlib
hash = hashlib.md5(password.encode()).hexdigest()

প্রশমন: bcrypt বা Argon2-এর মতো শক্তিশালী, সল্টেড হ্যাশিং অ্যালগরিদম ব্যবহার করুন। ট্রানজিটে ডেটার জন্য সর্বদা HTTPS (TLS) ব্যবহার করুন।

৩. ইনজেকশন

ইনজেকশন ত্রুটি, যেমন SQL ইনজেকশন, ঘটে যখন অবিশ্বস্ত ডেটা একটি কমান্ড বা কোয়েরির অংশ হিসেবে একটি ইন্টারপ্রেটারে পাঠানো হয়।

// Vulnerable: String concatenation in SQL query
$sql = "SELECT * FROM users WHERE username = '" . $_GET['username'] . "'";

প্রশমন: প্যারামিটারাইজড কোয়েরি বা প্রস্তুত স্টেটমেন্ট ব্যবহার করুন। কখনও সরাসরি কোয়েরিতে ব্যবহারকারীর ইনপুট সংযুক্ত করবেন না।

৪. অনিরাপদ ডিজাইন

অনিরাপদ ডিজাইন বলতে বোঝায় অনুপস্থিত বা অকার্যকর নিয়ন্ত্রণ ডিজাইন। উদাহরণস্বরূপ, একটি পাসওয়ার্ড পুনরুদ্ধার সিস্টেম যা প্রকাশ করে যে একটি ইমেল বিদ্যমান কিনা তা আক্রমণকারীদের সহায়তা করতে পারে।

প্রশমন: ডিজাইনের সময় থ্রেট মডেলিং, নিরাপদ ডিজাইন প্যাটার্ন ব্যবহার করুন এবং রেট লিমিটিং এবং অন্যান্য নিয়ন্ত্রণ প্রয়োগ করুন।

৫. নিরাপত্তা ভুল কনফিগারেশন

এর মধ্যে ডিফল্ট অ্যাকাউন্ট সক্রিয় রাখা, ব্যবহারকারীদের কাছে স্ট্যাক ট্রেস প্রদর্শন বা ক্লাউড স্টোরেজ অনুমতি ভুল কনফিগার করা অন্তর্ভুক্ত।

# Vulnerable: Debug mode enabled in production
DEBUG = True

প্রশমন: কনফিগারেশন শক্তিশালী করুন, অব্যবহৃত বৈশিষ্ট্য সরান এবং কনফিগারেশন চেক স্বয়ংক্রিয় করুন।

৬. দুর্বল এবং পুরানো উপাদান

পরিচিত দুর্বলতা সহ লাইব্রেরি ব্যবহার করা একটি দরজা খোলা রাখার মতো। উদাহরণস্বরূপ, একটি জনপ্রিয় লাইব্রেরির একটি পুরানো সংস্করণে রিমোট কোড এক্সিকিউশন ত্রুটি থাকতে পারে।

প্রশমন: নিয়মিত নির্ভরতা আপডেট করুন, OWASP Dependency-Check-এর মতো সরঞ্জাম ব্যবহার করুন এবং CVE-এর জন্য মনিটর করুন।

৭. সনাক্তকরণ এবং প্রমাণীকরণ ব্যর্থতা

দুর্বল প্রমাণীকরণ আক্রমণকারীদের পাসওয়ার্ড অনুমান করতে বা সেশন হাইজ্যাক করতে দেয়।

// Vulnerable: No account lockout after failed attempts
if (passwordMatches) {
  loginUser();
} else {
  // just show error, no rate limiting
}

প্রশমন: মাল্টি-ফ্যাক্টর প্রমাণীকরণ প্রয়োগ করুন, শক্তিশালী পাসওয়ার্ড নীতি প্রয়োগ করুন এবং নিরাপদ সেশন ম্যানেজমেন্ট ব্যবহার করুন।

৮. সফটওয়্যার এবং ডেটা অখণ্ডতা ব্যর্থতা

এই বিভাগে সফটওয়্যার আপডেটের জন্য অবিশ্বস্ত উত্স ব্যবহার বা অবিশ্বস্ত ডেটা ডিসেরিয়ালাইজ করা অন্তর্ভুক্ত।

// Vulnerable: Deserializing untrusted data
$data = unserialize($_POST['data']);

প্রশমন: ডিজিটাল স্বাক্ষর যাচাই করুন, অখণ্ডতা চেক ব্যবহার করুন এবং অবিশ্বস্ত ডেটা ডিসেরিয়ালাইজ করা এড়িয়ে চলুন।

৯. নিরাপত্তা লগিং এবং মনিটরিং ব্যর্থতা

সঠিক লগিং ছাড়া, লঙ্ঘন সনাক্ত করা যায় না। উদাহরণস্বরূপ, ব্যর্থ লগইন প্রচেষ্টা লগ করতে ব্যর্থ হওয়া।

প্রশমন: নিরাপত্তা-সংশ্লিষ্ট ইভেন্ট লগ করুন, সতর্কতা সেট আপ করুন এবং একটি ঘটনা প্রতিক্রিয়া পরিকল্পনা রাখুন।

১০. সার্ভার-সাইড রিকোয়েস্ট ফরজারি (SSRF)

SSRF ঘটে যখন একজন আক্রমণকারী সার্ভারকে অনিচ্ছাকৃত অবস্থানে অনুরোধ পাঠাতে পারে।

// Vulnerable: Fetching URL from user input without validation
fetch(req.query.url).then(...)

প্রশমন: URL যাচাই এবং স্যানিটাইজ করুন, অ্যালাউলিস্ট ব্যবহার করুন এবং সার্ভার অনুমতি সীমাবদ্ধ করুন।

তুলনা সারণী

সচরাচর জিজ্ঞাসা

OWASP Top 10 কী?

OWASP Top 10 হলো সবচেয়ে গুরুত্বপূর্ণ ওয়েব অ্যাপ্লিকেশন নিরাপত্তা ঝুঁকির একটি নিয়মিত আপডেট করা তালিকা, যা ওপেন ওয়েব অ্যাপ্লিকেশন সিকিউরিটি প্রজেক্ট (OWASP) দ্বারা প্রকাশিত।

OWASP Top 10 কতবার আপডেট হয়?

উদীয়মান হুমকি এবং প্রযুক্তির পরিবর্তন প্রতিফলিত করতে এটি পর্যায়ক্রমে আপডেট করা হয়। সর্বশেষ প্রধান আপডেট ছিল ২০২১ সালে।

নিরাপত্তার জন্য OWASP Top 10 কি যথেষ্ট?

না, এটি একটি সূচনা বিন্দু। একটি বিস্তৃত নিরাপত্তা কর্মসূচিতে নিরাপদ কোডিং অনুশীলন, নিয়মিত পরীক্ষা এবং ক্রমাগত মনিটরিং অন্তর্ভুক্ত।

আপনার অ্যাপ্লিকেশনগুলিকে আরও সুরক্ষিত করতে, Nginx Log Analyzer এর মতো সরঞ্জামগুলি ব্যবহার করে আপনার সার্ভার লগে সন্দেহজনক কার্যকলাপ মনিটর এবং সনাক্ত করার কথা বিবেচনা করুন।