Java, .NET বিকাশকারীরা আরও ঘন ঘন দুর্বলতার ঝুঁকিতে থাকে

Java এবং .NET-এ লেখা তিন-চতুর্থাংশেরও বেশি অ্যাপ্লিকেশনের অন্ততপক্ষে একটি দুর্বলতা রয়েছে OWASP শীর্ষ 10 থেকে, সফ্টওয়্যার দুর্বলতার একটি তালিকা যা ডেভেলপাররা সাধারণত অ্যাপ্লিকেশন নিরাপত্তার জন্য বেসলাইন হিসেবে ব্যবহার করে।

এটি সফ্টওয়্যার-পরীক্ষা সংস্থা ভেরাকোডের মতে, যা প্রায় 760,000 অ্যাপ্লিকেশনের বিশ্লেষণে দেখা গেছে যে এই দুটি প্রোগ্রামিং ইকোসিস্টেম ব্যবহার করে পাঁচটির মধ্যে একটি অ্যাপ্লিকেশনের অন্তত একটি উচ্চ-তীব্রতা বা সমালোচনামূলক-তীব্রতার দুর্বলতা রয়েছে।

সামগ্রিকভাবে, গড় অ্যাপ্লিকেশানে প্রতি মাসে অন্তত একটি দুর্বলতা প্রবর্তন করার 27% সুযোগ ছিল, খারাপভাবে লেখা অ্যাপ এবং কদাচিৎ স্ক্যান করা অ্যাপগুলি আরও ত্রুটিযুক্ত হওয়ার সম্ভাবনা রয়েছে, যখন সুরক্ষা প্রক্রিয়ার দীর্ঘ ইতিহাস সহ অ্যাপ্লিকেশনগুলি ভাল প্রশিক্ষিত দ্বারা লেখা হয়। ডেভেলপারদের নতুন ত্রুটি প্রবর্তনের সম্ভাবনা কম, তথ্য দেখিয়েছে।

ভেরাকোডের কৌশলগত পণ্য ব্যবস্থাপনার ভাইস প্রেসিডেন্ট টিম জ্যারেট বলেছেন, বিশ্লেষণটি উন্নয়ন পাইপলাইনে নিরাপত্তাকে একীভূত করার গুরুত্ব তুলে ধরে।

"ডেটা ধারাবাহিকভাবে দেখায় যে আপনি যদি আপনার প্রক্রিয়ার মধ্যে নিরাপত্তার অভ্যাস গড়ে তোলেন, তাহলে সামগ্রিক ত্রুটিগুলি সংশোধন করার ক্ষেত্রে আপনার আরও ভাল ফলাফল হবে, এবং … আপনি জিনিসপত্রের বন্যাকেও ধীর করে দেন, এবং এটি একটি বড় পার্থক্য করে, " তিনি বলেন.

ইতিমধ্যে, সফ্টওয়্যার কোম্পানি এবং উন্নয়ন দলগুলি অ্যাপ্লিকেশন কোড থেকে ত্রুটি এবং দুর্বলতাগুলি দূর করার জন্য সংগ্রাম চালিয়ে যাচ্ছে। যদিও ডেভেলপার এবং ওপেন সোর্স প্রজেক্ট সফ্টওয়্যার ত্রুটিগুলি আরও দ্রুত ঠিক করা, 11 জানুয়ারী প্রকাশিত ভেরাকোডের "স্টেট অফ সফ্টওয়্যার সিকিউরিটি" রিপোর্ট অনুসারে, গড় দুর্বলতার অর্ধ-জীবন মাসগুলিতে পরিমাপ করা হয়, দিন বা সপ্তাহে নয়৷ 

উদাহরণস্বরূপ, জাভা এবং .NET অ্যাপ্লিকেশন, যা সমীক্ষা দ্বারা বিশ্লেষণ করা মোট অ্যাপ্লিকেশনের 71% জন্য দায়ী, অর্ধেক ত্রুটিগুলি যথাক্রমে 243 দিন এবং 158 দিন পরেও অ্যাপ্লিকেশনগুলিকে প্রভাবিত করছে৷

অ্যাপ্লিকেশন ব্লোট এবং বয়স উভয়ই তাদের নিরাপত্তার উপর উল্লেখযোগ্য নেতিবাচক প্রভাব ফেলেছিল। গড় অ্যাপ্লিকেশন প্রায় 40% বেশি কোড জমা করে এবং দুর্বলতা থাকার সম্ভাবনা বেশি। প্রায় 54% দুই বছর বয়সী অ্যাপ্লিকেশনের ত্রুটি রয়েছে, যেখানে পাঁচ বছর বয়সী অ্যাপ্লিকেশনগুলির 69% ত্রুটি রয়েছে, বিশ্লেষণ পাওয়া গেছে.

জাভাস্ক্রিপ্টের আশ্চর্যজনক নিরাপত্তা

আশ্চর্যজনকভাবে, জাভাস্ক্রিপ্টে লেখা অ্যাপ্লিকেশন বা জাভাস্ক্রিপ্ট ফ্রেমওয়ার্কগুলির একটি ব্যবহার করে দুর্বলতা স্ক্যানগুলিতে আরও ভাল ভাড়া দেওয়ার প্রবণতা রয়েছে। প্রায় 80% জাভা এবং .NET অ্যাপ্লিকেশনগুলির একটি দুর্বলতা ছিল, জাভাস্ক্রিপ্ট অ্যাপ্লিকেশনগুলির মাত্র 56%। এবং প্রায় 20% জাভা এবং .NET অ্যাপ্লিকেশনগুলির একটি উচ্চ-তীব্রতার দুর্বলতা ছিল, জাভাস্ক্রিপ্ট অ্যাপ্লিকেশনগুলির 10% এরও কম।

জাভাস্ক্রিপ্ট ফ্রেমওয়ার্ক নতুন, আরো নিরাপত্তা আছে এবং একটি ওপেন সোর্স ইকোসিস্টেমের সুবিধা রয়েছে, যেখান থেকে জাভা তুলনামূলকভাবে সম্প্রতি উপকৃত হয়েছে, জ্যারেট বলেছেন।

"জাভাস্ক্রিপ্ট একটি নতুন ভাষা, তাই এটিতে লেখা অ্যাপ্লিকেশনগুলি আরও নতুন, এবং একটি সম্পর্ক রয়েছে যা আমরা পূর্ববর্তী প্রতিবেদনে প্রয়োগের বয়স এবং ত্রুটি প্রতিকারের সময়ের মধ্যে প্রতিষ্ঠিত করেছি," তিনি বলেছেন। "জাভাস্ক্রিপ্টের জন্য অনেক টুলিং [পরিপক্ক] এবং এটি একটি ভাল সমর্থিত ভাষা।"

অধিকন্তু, যেখানে একটি জাভা অ্যাপ্লিকেশনে একটি দুর্বলতা একটি প্রথম পক্ষের সমস্যা — জাভাস্ক্রিপ্ট এবং Node.js ফ্রেমওয়ার্কে সমস্যাগুলি সমাধান করার জন্য বিকাশকারীকে ছেড়ে দেওয়া হয়, দুর্বলতাগুলি প্রায়শই একটি তৃতীয় পক্ষের সমস্যা, কারণ দুর্বলতা একটি উপাদানে ঘটেছে যার উপর সফটওয়্যার নির্ভর করে।

"যেভাবে আপনি একটি জাভা অ্যাপ্লিকেশনে একটি নিরাপত্তা সমস্যা সমাধান করেন তা এখনও মূলত [যেখানে] আপনি একটি ক্লাস ফাইলে পরিবর্তন করেন এবং আপনি এটি কম্পাইল করেন," তিনি বলেছেন। “যেখানে একটি জাভাস্ক্রিপ্ট অ্যাপ্লিকেশন, এটি একটি প্যাকেজ পরিচালনার সমস্যা বেশি। এবং এটি একজন বিকাশকারীর শেখার জন্য একটি ভিন্ন জিনিস, যা সহজ হতে পারে।"

নতুন প্রোগ্রামিং ভাষা অলস

প্রতিবেদনের ডেটা ডেভেলপাররা যে প্রোগ্রামিং ভাষাগুলি শিখছে এবং বেশিরভাগ উদ্যোগে প্রকৃতপক্ষে ব্যবহৃত ভাষাগুলির মধ্যে পার্থক্যকেও তুলে ধরে। ভেরাকোড দ্বারা দেখা শীর্ষ ভাষা এবং ইকোসিস্টেম - Java, .NET, এবং JavaScript - প্রোগ্রামিং প্রযুক্তি বিকাশকারীদের পছন্দ নয়।

জাভাস্ক্রিপ্ট এবং JS-ভিত্তিক ফ্রেমওয়ার্ক — যেমন Node.js, React.js এবং Angular — বিকাশকারী-পছন্দের প্রযুক্তির তালিকায় আধিপত্য বিস্তার করে, জাভা হল সবচেয়ে কম পছন্দ করা প্রোগ্রামিং ভাষাগুলির মধ্যে একটি, যেখানে 54% উত্তরদাতারা তুলনামূলকভাবে ভাষাটিকে ভয় পান স্ট্যাক ওভারফ্লো অনুসারে, 46% যারা এটি পছন্দ করেছে 2022 বিকাশকারী সমীক্ষা. 

তবুও জাভা স্ক্রিপ্টের জন্য 44% এর তুলনায় ভেরাকোড ক্লায়েন্ট (14%) দ্বারা স্ক্যান করা অ্যাপ্লিকেশনগুলির ভাগে প্রাধান্য পেয়েছে। 

উপরন্তু, সবচেয়ে প্রিয় প্রোগ্রামিং ভাষা, মরিচা, ভেরাকোডের ডেটাতেও দেখা যায় না, যখন ডেভেলপারদের নং 6, পাইথন, শুধুমাত্র স্ক্যান করা অ্যাপ্লিকেশনগুলির 4% এরও কম জন্য দায়ী।

সংযোগ বিচ্ছিন্ন হওয়ার কারণটির একটি অংশ হল যে প্রতিষ্ঠিত অ্যাপ্লিকেশনগুলি প্রতিষ্ঠিত প্রোগ্রামিং ভাষায় লেখা হয়, ভেরাকোডের জ্যারেট বলেছেন।

“আপনার কাছে সমস্ত কোডের পুরো মহাবিশ্ব রয়েছে এবং তারপরে আপনার কাছে নতুন বিকাশের তরঙ্গের ক্রেস্টের ফেনার মতো ফেনা রয়েছে, এবং সেখানেই আপনি দেখতে পাচ্ছেন যে লোকেরা গো এবং মরিচা এবং ডার্টকে তুলে নিচ্ছে। এবং ফ্লাটার,” সে বলে।

সেই ভাষাগুলিতে লিখিত অ্যাপ্লিকেশনগুলির সমষ্টিগত কোডবেসের কারণে, সেই পরিস্থিতি সম্ভবত পরিবর্তন হবে না।

"পুরানো অ্যাপ্লিকেশনগুলি কখনই মারা যায় না, দুর্ভাগ্যবশত, তাই এই বড় জাভা কোডবেস এবং .NET কোডবেসগুলির সাথে এন্টারপ্রাইজগুলিতে প্রচুর সমালোচনামূলক ভর রয়েছে," তিনি বলেছেন৷

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/threat-intelligence/java-net-developers-frequent-vulnerabilities