डाइनैमिक कोड लोड हो रहा है

OWASP कैटगरी: MASVS-CODE: कोड क्वालिटी

खास जानकारी

ऐप्लिकेशन में डाइनैमिक रूप से कोड लोड करने से जोखिम का एक लेवल जुड़ जाता है. इसे कम करना ज़रूरी है. हमलावर, संवेदनशील डेटा ऐक्सेस करने या नुकसान पहुंचाने वाली कार्रवाइयां करने ��े लिए, कोड में बदलाव कर सकते हैं या उसे बदल सकते हैं.

डाइनैमिक कोड लोड करने के कई तरीके हैं. इनमें से खास तौर पर, रिमोट सोर्स का इस्तेमाल करने वाले तरीके Google Play की नीतियों का उल्लंघन करते हैं. इनकी वजह से, आपके ऐप्लिकेशन को Google Play से निलंबित किया जा सकता है.

असर

अगर हमलावर, ऐप्लिकेशन में लोड किए जाने वाले कोड का ऐक्सेस हासिल कर लेते हैं, तो वे अपने लक्ष्यों को पूरा करने के लिए उसमें बदलाव कर सकते हैं. इससे डेटा एक्सफ़्लोरेशन और कोड एक्सीक्यूशन एक्सप्लॉइट हो सकते हैं. भले ही, हमलावर अपनी पसंद के मुताबिक कार्रवाइयां करने के लिए कोड में बदलाव न कर पाएं, फिर भी यह मुमकिन है कि वे कोड को खराब कर दें या हटा दें. इससे ऐप्लिकेशन की उपलब्धता पर असर पड़ सकता है.

जोखिम कम करने के तरीके

डाइनैमिक कोड लोड करने की सुविधा का इस्तेमाल न करना

जब तक कारोबार को ज़रूरत न हो, तब तक डाइनैमिक कोड लोड करने से बचें. जब भी हो सके, सीधे ऐप्लिकेशन में सभी फ़ंक्शन शामिल करें.

भरोसेमंद सोर्स का इस्तेमाल करना

ऐप्लिकेशन में लोड किए जाने वाले कोड को भरोसेमंद जगहों पर सेव किया जाना चाहिए. लोकल स्टोरेज के लिए, ऐप्लिकेशन का इंटरनल स्टोरेज या Android 10 और उसके बाद के वर्शन के लिए स्कोप वाला स्टोरेज इस्तेमाल करने का सुझाव दिया जाता है. इन जगहों पर, दूसरे ऐप्लिकेशन और उपयोगकर्ताओं के सीधे ऐक्सेस को रोकने के लिए, कुछ उपाय किए गए हैं.

यूआरएल जैसी रिमोट जगहों से कोड लोड करते समय, जहां तक हो सके तीसरे पक्षों का इस्तेमाल करने से बचें. साथ ही, सुरक्षा के सबसे सही तरीकों का पालन करके, कोड को अपने इन्फ़्रास्ट्रक्चर में सेव करें. अगर आपको तीसरे पक्ष का कोड लोड करना है, तो पक्का करें कि सेवा देने ��ाली कंपनी भरोसेमंद हो.

इंटिग्रिटी जांच करना

हमारा सुझाव है कि इंटिग्रिटी जांच करें, ताकि यह पक्का किया जा सके कि कोड में बदलाव नहीं किया गया है. ऐप्लिकेशन में कोड लोड करने से पहले, ये जांच करनी चाहिए.

रिमोट रिसॉर्स लोड करते समय, सब-रिसॉर्स इंटेग्रिटी का इस्तेमाल करके, ऐक्सेस किए गए रिसॉर्स की इंटेग्रिटी की पुष्टि की जा सकती है.

बाहरी स्टोरेज से संसाधन लोड करते समय, पुष्टि करने के लिए पूरी सुरक्षा की जांच का इस्तेमाल करें कि किसी दूसरे ऐप्लिकेशन ने इस डेटा या कोड में छेड़छाड़ न की हो. फ़ाइलों के हैश को सुरक्षित तरीके से सेव किया जाना चाहिए. इसके लिए, उन्हें एन्क्रिप्ट करके डिवाइस के इंटरनल स्टोरेज में सेव करना सबसे सही होता है.

Kotlin

package com.example.myapplication

import java.io.BufferedInputStream
import java.io.FileInputStream
import java.io.IOException
import java.security.MessageDigest
import java.security.NoSuchAlgorithmException

object FileIntegrityChecker {
    @Throws(IOException::class, NoSuchAlgorithmException::class)
    fun getIntegrityHash(filePath: String?): String {
        val md = MessageDigest.getInstance("SHA-256") // You can choose other algorithms as needed
        val buffer = ByteArray(8192)
        var bytesRead: Int
        BufferedInputStream(FileInputStream(filePath)).use { fis ->
            while (fis.read(buffer).also { bytesRead = it } != -1) {
                md.update(buffer, 0, bytesRead)
            }

    }

    private fun bytesToHex(bytes: ByteArray): String {
        val sb = StringBuilder(bytes.length * 2)
        for (b in bytes) {
            sb.append(String.format("%02x", b))
        }
        return sb.toString()
    }

    @Throws(IOException::class, NoSuchAlgorithmException::class)
    fun verifyIntegrity(filePath: String?, expectedHash: String): Boolean {
        val actualHash = getIntegrityHash(filePath)
        return actualHash == expectedHash
    }

    @Throws(Exception::class)
    @JvmStatic
    fun main(args: Array<String>) {
        val filePath = "/path/to/your/file"
        val expectedHash = "your_expected_hash_value"
        if (verifyIntegrity(filePath, expectedHash)) {
            println("File integrity is valid!")
        } else {
            println("File integrity is compromised!")
        }
    }
}

Java

package com.example.myapplication;

import java.io.BufferedInputStream;
import java.io.FileInputStream;
import java.io.IOException;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class FileIntegrityChecker {

    public static String getIntegrityHash(String filePath) throws IOException, NoSuchAlgorithmException {
        MessageDigest md = MessageDigest.getInstance("SHA-256"); // You can choose other algorithms as needed
        byte[] buffer = new byte[8192];
        int bytesRead;

        try (BufferedInputStream fis = new BufferedInputStream(new FileInputStream(filePath))) {
            while ((bytesRead = fis.read(buffer)) != -1) {
                md.update(buffer, 0, bytesRead);
            }
        }

        byte[] digest = md.digest();
        return bytesToHex(digest);
    }

    private static String bytesToHex(byte[] bytes) {
        StringBuilder sb = new StringBuilder(bytes.length * 2);
        for (byte b : bytes) {
            sb.append(String.format("%02x", b));
        }
        return sb.toString();
    }

    public static boolean verifyIntegrity(String filePath, String expectedHash) throws IOException, NoSuchAlgorithmException {
        String actualHash = getIntegrityHash(filePath);
        return actualHash.equals(expectedHash);
    }

    public static void main(String[] args) throws Exception {
        String filePath = "/path/to/your/file";
        String expectedHash = "your_expected_hash_value";

        if (verifyIntegrity(filePath, expectedHash)) {
            System.out.println("File integrity is valid!");
        } else {
            System.out.println("File integrity is compromised!");
        }
    }
}

कोड पर हस्ताक्षर करना

डेटा की पूरी सुरक्षा के लिए, कोड पर हस्ताक्षर करने और उसे लोड करने से पहले, उसके हस्ताक्षर की पुष्टि करने का विकल्प भी है. इस तरीके का फ़ायदा यह है कि इससे सिर्फ़ कोड ही नहीं, बल्कि हैश कोड की पूरी सुरक्षा भी मिलती है. इससे, डेटा में छेड़छाड़ को रोकने के लिए अतिरिक्त सुरक्षा मिलती है.

कोड साइनिंग से सुरक्षा की अतिरिक्त लेयर मिलती हैं. हालांकि, यह एक ज़्यादा जटिल प्रोसेस है. इसे लागू करने के लिए, ज़्यादा मेहनत और संसाधनों की ज़रूरत पड़ सकती है.

कोड साइन करने के कुछ उदाहरण, इस दस्तावेज़ के संसाधन सेक्शन में देखे जा सकते हैं.

संसाधन