সুরক্ষিত পুশ বিজ্ঞপ্তি: তত্ত্ব থেকে অনুশীলন পর্যন্ত

হে হাবর!

আজ আমি আপনাকে বলব যে আমার সহকর্মীরা এবং আমি এখন বেশ কয়েক মাস ধরে কী করছি: মোবাইল মেসেঞ্জারদের জন্য পুশ বিজ্ঞপ্তিগুলি সম্পর্কে। আমি যেমন বলেছি, আমাদের আবেদনে, নিরাপত্তার উপর প্রধান জোর দেওয়া হয়েছে। অতএব, আমরা খুঁজে পেয়েছি যে পুশ বিজ্ঞপ্তিগুলিতে "দুর্বল পয়েন্ট" আছে কিনা এবং যদি তাই হয়, তাহলে আমাদের পরিষেবাতে এই দরকারী বিকল্পটি যুক্ত করার জন্য আমরা কীভাবে সেগুলিকে সমতল করতে পারি।

আমি আমাদের একটি অনুবাদ প্রকাশ মধ্যম থেকে নিবন্ধ আমার থেকে কিছু সংযোজন সহ। এতে "তদন্ত" এর ফলাফল এবং সমস্যাটি কীভাবে সমাধান করা হয়েছিল সে সম্পর্কে একটি গল্প রয়েছে।

উপাদান অন্বেষণ

ক্লাসিক মডেলে, পুশ নোটিফিকেশন মেসেঞ্জারদের MITM (ম্যান-ইন-দ্য-মিডল) আক্রমণের জন্য ঝুঁকিপূর্ণ করে তোলে। উদাহরণস্বরূপ, Google, Microsoft, এবং iMessage-এর পুরানো সংস্করণে, অ্যাপ্লিকেশনটি অ্যাপল সার্ভারে এনক্রিপশন কী পাঠায় - ব্যবহারকারীরা সার্ভারে প্রমাণীকৃত হয় এবং বার্তা শিরোনাম (বা এর বিষয়বস্তু) ডিক্রিপ্ট করা হয়।

ফলস্বরূপ, পুশ নোটিফিকেশন সার্ভারে অ্যাক্সেস পেয়ে চিঠিপত্র পড়ার সুযোগ রয়েছে। এবং এর অর্থ হল চিঠিপত্রের যে কোনও এনক্রিপশন অকেজো: পুশ বিজ্ঞপ্তিগুলি এখনও তৃতীয় পক্ষের দ্বারা পড়ার সম্ভাবনা ছেড়ে দেবে। এই সম্ভাবনাটি নিবন্ধের লেখকদের দ্বারা আরও বিশদে আলোচনা করা হয়েছিল। "চতুরভাবে এনক্রিপ্ট করুন" Xaker.ru-এ, বার্তা এনক্রিপশন পদ্ধতিতে নিবেদিত।

যদি আপনার কাছে মনে হয় যে Apple এবং Google সার্ভার 100% ব্যবহারকারীদের এনক্রিপশন কীগুলি ফাঁস হতে বাধা দেবে, তাহলে বিবেচনা করুন যে তাদের কর্মীদের সেগুলিতে অ্যাক্সেস রয়েছে৷ আর কর্মচারীরা মানুষ।
পুশ বিজ্ঞপ্তিগুলির সমস্ত দুর্বলতার সাথে, সিগন্যাল এবং টেলিগ্রাম সহ অনেক "নিরাপদ" মেসেঞ্জার সেগুলি ব্যবহার করে৷ সব পরে, অন্যথায় ব্যবহারকারীদের ক্রমাগত অ্যাপ্লিকেশন প্রবেশ করে, নতুন বার্তা "ম্যানুয়ালি" নিরীক্ষণ করতে হবে। যা খুবই অসুবিধাজনক, এবং প্রতিযোগী মেসেঞ্জাররা একটি সুবিধা পাবেন।

প্যারানিয়া এবং সাধারণ জ্ঞান

আমাদের প্রকল্পে, আমরা কয়েক মাস আগে এই সমস্যাটি নিয়ে এসেছিলাম। প্রতিযোগিতামূলক হওয়ার জন্য আমাদের একটি পুশ বিজ্ঞপ্তি বিকল্পের প্রয়োজন ছিল। কিন্তু এটি একটি নিরাপত্তা গর্ত খুলতে পারে না, কারণ কোনো তথ্য ফাঁস প্রকল্পের বিশ্বাসযোগ্যতা ক্ষুন্ন করবে।

যাইহোক, আমাদের ইতিমধ্যে একটি গুরুত্বপূর্ণ সুবিধা রয়েছে: আমাদের মেসেঞ্জার বিকেন্দ্রীভূত (ডাটা ব্লকচেইনে সংরক্ষণ করা হয়), যখন কর্মচারীদের অ্যাকাউন্টে অ্যাক্সেস নেই। শুধুমাত্র ব্যবহারকারীদের কাছে এনক্রিপশন কী রয়েছে, যখন ইন্টারলোকিউটারদের পাবলিক কীগুলি MITM আক্রমণ থেকে রক্ষা করার জন্য ব্লকচেইনে উপলব্ধ।

পুশ বিজ্ঞপ্তিগুলির প্রথম সংস্করণে, আমরা এটিকে যতটা সম্ভব নিরাপদে চালানোর সিদ্ধান্ত নিয়েছি এবং বার্তাটির পাঠ্য মোটেও পাঠাব না। নোড থেকে প্রাপ্ত পুশ পরিষেবাটি বার্তার পাঠ্য নয়, তবে এটির প্রাপ্তির সত্যতা সম্পর্কে কেবল একটি সংকেত। অতএব, ব্যবহারকারী বিজ্ঞপ্তি দেখেছেন "একটি নতুন বার্তা এসেছে।" এটি শুধুমাত্র মেসেঞ্জারেই পড়া সম্ভব ছিল।

এটি কিভাবে কাজ করে: ভিডিও.

এর পরে, আমরা শিখেছি যে অ্যাপলের বিজ্ঞপ্তিগুলির সর্বশেষ সংস্করণে নতুন সুরক্ষা বৈশিষ্ট্য রয়েছে। তারা মুক্তি পেয়েছে UNNotificationServiceExtension যা ডেভেলপারদের APNS এর মাধ্যমে সম্পূর্ণ এনক্রিপ্ট করা বিজ্ঞপ্তি ডেটা পাঠাতে দেয়। শেষ ব্যবহারকারীর ডিভাইসে থাকা অ্যাপ্লিকেশনটি তারপর ডিক্রিপশন সম্পাদন করে (বা অতিরিক্ত ডেটা ডাউনলোড করে) এবং একটি বিজ্ঞপ্তি প্রদর্শন করে। আমরা এটিকে পুশ বিজ্ঞপ্তিগুলির দ্বিতীয় সংস্করণের ভিত্তি হিসাবে নিয়েছি।

আমরা এখন iOS-এর জন্য পুশ বিজ্ঞপ্তিগুলির দ্বিতীয় সংস্করণ তৈরি করেছি, যা আপনাকে নিরাপত্তা ঝুঁকি ছাড়াই বার্তাটির পাঠ্য প্রদর্শন করতে দেয়৷ নতুন ধারণায়, যুক্তিটি এইরকম দেখায়:

• পুশ পরিষেবা লেনদেন নম্বর সহ একটি পুশ বিজ্ঞপ্তি পাঠায় (এনক্রিপ্ট করা বার্তা খুব বড় হতে পারে এবং বিজ্ঞপ্তিগুলির আকার খুব সীমিত)
• যখন একটি ডিভাইস একটি বিজ্ঞপ্তি পায়, তখন এটি আমাদের NotificationServiceExtension চালু করে - একটি মাইক্রো-অ্যাপ্লিকেশন যা আইডি দ্বারা নোড থেকে একটি লেনদেনের অনুরোধ করে, সংরক্ষিত পাসফ্রেজ ব্যবহার করে এটি ডিক্রিপ্ট করে এবং সিস্টেমে একটি নতুন বিজ্ঞপ্তি পাঠায়। পাসফ্রেজ নিরাপদ সঞ্চয়স্থানে সংরক্ষিত হয়।
• সিস্টেমটি ডিকোডেড বার্তা বা অনুবাদ সহ একটি বিজ্ঞপ্তি দেখায়।
• চাবিগুলি কোথাও যায় না, একটি সাধারণ পাঠ্য বার্তার মতো। বার্তাটি ডিক্রিপ্ট করার জন্য পুশ পরিষেবার কোন উপায় নেই।

আমরা এই সংস্করণটিকে একটি কার্যকরী সংস্করণ হিসাবে নিয়েছি এবং এটি iOS অ্যাপের সর্বশেষ আপডেটে প্রয়োগ করেছি।
যারা প্রযুক্তিগত দিকে আগ্রহী তারা সোর্স কোডটি দেখতে পারেন: github.com/adamant-im/adamant-notificationService.

উত্স: www.habr.com