ফেসবুক ওপেন সোর্স মারিয়ানা ট্রেঞ্চ স্ট্যাটিক অ্যানালাইজার

ফেসবুক একটি নতুন ওপেন সোর্স স্ট্যাটিক বিশ্লেষক, মারিয়ানা ট্রেঞ্চ চালু করেছে, যার লক্ষ্য অ্যান্ড্রয়েড অ্যাপ্লিকেশন এবং জাভা প্রোগ্রামগুলির দুর্বলতাগুলি চিহ্নিত করা। সোর্স কোড ছাড়াই প্রোজেক্ট বিশ্লেষণ করা সম্ভব, যার জন্য শুধুমাত্র ডালভিক ভার্চুয়াল মেশিনের বাইটকোড পাওয়া যায়। আরেকটি সুবিধা হল এটির খুব উচ্চ এক্সিকিউশন স্পিড (কোডের কয়েক মিলিয়ন লাইনের বিশ্লেষণে প্রায় 10 সেকেন্ড সময় লাগে), যা আপনাকে মারিয়ানা ট্রেঞ্চ ব্যবহার করে সমস্ত প্রস্তাবিত পরিবর্তনগুলি আসার সাথে সাথে চেক করতে দেয়। প্রকল্প কোডটি C++ এ লেখা এবং MIT লাইসেন্সের অধীনে বিতরণ করা হয়।

বিশ্লেষকটি ফেসবুক, ইনস্টাগ্রাম এবং হোয়াটসঅ্যাপের জন্য মোবাইল অ্যাপ্লিকেশনগুলির উত্স পাঠগুলি পর্যালোচনা করার প্রক্রিয়াটিকে স্বয়ংক্রিয় করার জন্য একটি প্রকল্পের অংশ হিসাবে তৈরি করা হয়েছিল। 2021 সালের প্রথমার্ধে, Facebook মোবাইল অ্যাপ্লিকেশনগুলির সমস্ত দুর্বলতার অর্ধেক স্বয়ংক্রিয় বিশ্লেষণ সরঞ্জাম ব্যবহার করে চিহ্নিত করা হয়েছিল। মারিয়ানা ট্রেঞ্চ কোড অন্যান্য Facebook প্রকল্পগুলির সাথে ঘনিষ্ঠভাবে জড়িত; উদাহরণস্বরূপ, বাইটকোড পার্স করার জন্য রেডেক্স বাইটকোড অপ্টিমাইজার ব্যবহার করা হয়েছিল, এবং স্ট্যাটিক বিশ্লেষণের ফলাফলগুলি দৃশ্যমানভাবে ব্যাখ্যা করতে এবং অধ্যয়ন করতে SPARTA লাইব্রেরি ব্যবহার করা হয়েছিল।

সম্ভাব্য দুর্বলতা এবং গোপনীয়তা সমস্যাগুলি সনাক্ত করা হয় অ্যাপ্লিকেশন কার্যকর করার সময় ডেটা প্রবাহ বিশ্লেষণ করে এমন পরিস্থিতি সনাক্ত করতে যেখানে কাঁচা বাহ্যিক ডেটা বিপজ্জনক গঠনগুলিতে প্রক্রিয়া করা হয়, যেমন SQL কোয়েরি, ফাইল অপারেশন এবং কল যা বহিরাগত প্রোগ্রামগুলিকে ট্রিগার করে।

বিশ্লেষকের কাজটি ডেটার উত্স এবং বিপজ্জনক কলগুলি সনাক্ত করার জন্য নেমে আসে যেখানে উত্স ডেটা ব্যবহার করা উচিত নয় - বিশ্লেষক ফাংশন কলগুলির চেইনের মাধ্যমে ডেটার উত্তরণ ট্র্যাক করে এবং কোডের সম্ভাব্য বিপজ্জনক স্থানগুলির সাথে উত্স ডেটা সংযোগ করে . উদাহরণ স্বরূপ, Intent.getData-এ কলের মাধ্যমে প্রাপ্ত ডেটার জন্য সোর্স ট্র্যাকিং প্রয়োজন বলে মনে করা হয় এবং Log.w এবং Runtime.exec-এ কল করা বিপজ্জনক ব্যবহার হিসেবে বিবেচিত হয়।

উত্স: opennet.ru