এই উদাহরণটির বিভিন্ন দিক রয়েছে। আমি কয়েকটি বিষয় উল্লেখ করব যা আমি মনে করি না যে স্পষ্টভাবে অন্যত্র .াকা পড়েছে।
ট্রানজিটে গোপনীয়তা রক্ষা করা
প্রথমে লক্ষ্য করার বিষয়টি হ'ল ড্রপবক্স এপিআইয়ের অ্যাপ্লিকেশন প্রমাণীকরণ প্রক্রিয়াটি ব্যবহার করে আপনার কী এবং গোপনীয়তা প্রেরণ করা প্রয়োজন। সংযোগটি এইচটিটিপিএস যার অর্থ টিএলএস শংসাপত্র না জেনে আপনি ট্র্যাফিককে আটকাতে পারবেন না। এটি কোনও ব্যক্তি মোবাইল ডিভাইস থেকে সার্ভারে যাত্রার সময় প্যাকেটগুলি হস্তক্ষেপ এবং পড়া আটকাতে পারে। সাধারণ ব্যবহারকারীর পক্ষে এটি তাদের ট্র্যাফিকের গোপনীয়তা নিশ্চিত করার একটি দুর্দান্ত উপায়।
এটি যা ভাল নয় তা হ'ল কোনও দূষিত ব্যক্তিকে অ্যাপ ডাউনলোড করা এবং ট্র্যাফিক পরিদর্শন করা বাধা দেওয়া। একটি মোবাইল ডিভাইস এবং এর বাইরে সমস্ত ট্র্যাফিকের জন্য ম্যান-ইন-মিডল প্রক্সিটি ব্যবহার করা সত্যিই সহজ। ড্রপবক্স এপিআইয়ের প্রকৃতির কারণে এ ক্ষেত্রে অ্যাপ্লিকেশন কীটি এবং গোপনীয়তা বের করতে কোডের কোনও বিযুক্তি বা বিপরীত প্রকৌশল প্রয়োজন হবে না।
আপনি সার্ভারের কাছ থেকে প্রাপ্ত টিএলএস শংসাপত্রটি যা প্রত্যাশা করেছেন তা আপনি পিনিং করতে পারেন। এটি ক্লায়েন্টকে একটি চেক যোগ করে এবং ট্র্যাফিককে থামানো আরও কঠিন করে তোলে। এটি ফ্লাইটের ট্র্যাফিকটি পরীক্ষা করা আরও শক্ত করে তুলবে, তবে পিনিং চেকটি ক্লায়েন্টে ঘটে তাই পিনিং পরীক্ষাটি অক্ষম করা সম্ভবত সম্ভব। এটি যদিও এটি আরও কঠিন করে তোলে।
বিশ্রামে গোপনীয়তা রক্ষা করা
প্রথম পদক্ষেপ হিসাবে, প্রগুয়ার্ডের মতো কিছু ব্যবহার করা যেখানে কোনও গোপনীয়তা রক্ষিত সেখানে এটি কম স্পষ্ট করতে সহায়তা করবে। আপনি কী এবং গোপনীয়তা সংরক্ষণ এবং সরাসরি অনুরোধগুলি প্রেরণে এনডিকে ব্যবহার করতে পারেন, যা তথ্য উত্তোলনের জন্য উপযুক্ত দক্ষতাযুক্ত লোকের সংখ্যাকে হ্রাস করবে। যেকোনো সময়ের জন্য মানগুলি সরাসরি মেমরিতে সংরক্ষণ না করে আরও অবলম্বন অর্জন করা যেতে পারে, আপনি এগুলিকে এনক্রিপ্ট করতে এবং অন্য উত্তরের পরামর্শ অনুসারে ব্যবহারের ঠিক আগে সেগুলি ডিক্রিপ্ট করতে পারেন।
আরও উন্নত বিকল্প
যদি আপনি এখন আপনার অ্যাপ্লিকেশনটিতে কোথাও গোপনীয়তা স্থাপন সম্পর্কে অসতর্ক হন এবং আরও বিস্তৃত সমাধানে বিনিয়োগ করার জন্য আপনার কাছে সময় এবং অর্থ থাকে তবে আপনি আপনার সার্ভারগুলিতে শংসাপত্রগুলি সংরক্ষণ করার বিষয়টি বিবেচনা করতে পারেন (অনুমান করে আপনার কোনও আছে)। এটি আপনার সার্ভারের মাধ্যমে যোগাযোগ করতে হবে এবং এপিআই-তে কোনও কলের বিলম্ব বাড়বে, এবং ডেটা থ্রুটপুট বৃদ্ধির কারণে আপনার পরিষেবাটি চালানোর ব্যয় আরও বাড়তে পারে।
তারপরে আপনার সার্ভারগুলি সুরক্ষিত রয়েছে তা নিশ্চিত করার জন্য কীভাবে সেরা যোগাযোগ করবেন তা আপনাকে সিদ্ধান্ত নিতে হবে। আপনার অভ্যন্তরীণ এপিআই দিয়ে আবার একই সমস্যাগুলি প্রতিরোধ করা গুরুত্বপূর্ণ। আমি যে আঙ্গুলটি দিতে পারি তার সেরা নিয়মটি হ'ল ম্যান-ইন-মধ্য-হুমকির কারণে সরাসরি কোনও গোপন সংক্রমণ না করা। পরিবর্তে আপনি আপনার গোপন ব্যবহার করে ট্রাফিকটিতে স্বাক্ষর করতে পারেন এবং আপনার সার্ভারে আসা কোনও অনুরোধের অখণ্ডতা যাচাই করতে পারেন। এটি করার একটি স্ট্যান্ডার্ড উপায় হ'ল কোনও গোপনীয়তার উপর ভিত্তি করে বার্তাটির একটি HMAC গণনা করা। আমি এমন একটি সংস্থায় কাজ করি যার একটি সুরক্ষিত পণ্য রয়েছে যা এই ক্ষেত্রেও কাজ করে যা এজন্য এই ধরণের জিনিসগুলি আমার আগ্রহী। আসলে, এখানে আমার এক সহকর্মীর একটি ব্লগ নিবন্ধ যা এর বেশিরভাগ অংশে যায়।
আমার কত করা উচিত?
এই জাতীয় কোনও সুরক্ষার পরামর্শ সহ আপনাকে কোনওরকমের জন্য কীভাবে বিরতি দেওয়া উচিত সে সম্পর্কে আপনার কোনও ব্যয় / উপকারের সিদ্ধান্ত নেওয়া দরকার you আপনি যদি লক্ষ লক্ষ গ্রাহককে সুরক্ষিত ব্যাংক হন তবে আপনার বাজেট কোনও অ্যাপ্লিকেশনকে সমর্থন করে এমন ব্যক্তির থেকে একেবারেই আলাদা their অতিরিক্ত সময় কাউকে আপনার সুরক্ষা ভঙ্গ করা থেকে বিরত রাখা কার্যত অসম্ভব, তবে অনুশীলনে খুব কম লোকেরই সমস্ত ঘণ্টা এবং হুইসেল প্রয়োজন এবং কিছু প্রাথমিক সতর্কতার সাথে আপনি একটি দীর্ঘ পথ পেতে পারেন।