এই পৃষ্ঠাটি Cloud Translation API অনুবাদ করেছে।

Google সিস্টেম পরিষেবা APK স্বচ্ছতা

গুগলের পণ্যের স্বচ্ছতার জন্য ক্রমাগত বিনিয়োগের অংশ হিসেবে, আমরা দুটি নতুন গুগল সিস্টেম পরিষেবা APK-তে স্বচ্ছতা যুক্ত করছি: অ্যান্ড্রয়েড সিস্টেম সেফটিকোর (com.google.android.safetycore) এবং অ্যান্ড্রয়েড সিস্টেম কী যাচাইকারী (com.google.android.contactkeys)। এই APKগুলি যথাক্রমে গুগল মেসেজে সংবেদনশীল সামগ্রী সতর্কতা এবং ক্রিপ্টোগ্রাফিক কী যাচাইকরণ বৈশিষ্ট্যকে শক্তিশালী করে। এই APK গুলির বিষয়ে আমরা যে দাবিগুলি করি তা যাচাই করার জন্য আমরা যে স্বচ্ছতা লগ প্রকাশ করেছি।

AI-এর অগ্রগতির আলোকে, আমরা এখন নিম্নলিখিত APKগুলিতে স্বচ্ছতা যুক্ত করছি:

ব্যক্তিগত কম্পিউট পরিষেবা (com.google.android.as.oss)

আচ্ছাদিত প্যাকেজগুলি

এই বিভাগটি স্বচ্ছতা লগে অন্তর্ভুক্ত প্যাকেজগুলি এবং তাদের নিজ নিজ কোড স্বচ্ছতা স্বাক্ষরকারী কীগুলি বর্ণনা করে।

অ্যান্ড্রয়েড সিস্টেম সেফটিকোর

অ্যান্ড্রয়েড সিস্টেম সেফটিকোর (com.google.android.safetycore) হল একটি অ্যান্ড্রয়েড সিস্টেম উপাদান যা অ্যাপগুলির জন্য গোপনীয়তা-সংরক্ষণকারী ডিভাইস ব্যবহারকারী সুরক্ষা পরিকাঠামো প্রদান করে।

এই APK এর কোডটি বর্তমানে এই সার্টিফিকেটে বর্ণিত নিম্নলিখিত কী দিয়ে স্বাক্ষরিত:

অ্যান্ড্রয়েড সিস্টেম কী যাচাইকারী

অ্যান্ড্রয়েড সিস্টেম কী ভেরিফায়ার APK (com.google.android.contactkeys) হল অ্যান্ড্রয়েডে যোগাযোগ যাচাইকরণের জন্য একটি পরিষেবা। এটি ব্যবহারকারীকে কোনও পরিচিতির পাবলিক কী যাচাই করতে দেয় যাতে তারা যাকে বার্তা পাঠাতে চান তার সাথে যোগাযোগ করছে কিনা তা নিশ্চিত করা যায়। পরিষেবাটি বিভিন্ন অ্যাপ জুড়ে পাবলিক কী যাচাইকরণের জন্য একটি সমন্বিত সিস্টেম, যা QR কোড স্ক্যানিং বা নম্বর তুলনার মাধ্যমে যাচাইকরণ ব্যবহার করে।

ব্যক্তিগত কম্পিউট পরিষেবা

প্রাইভেট কম্পিউট সার্ভিসেস APK (com.google.android.as.oss) হল একটি সিস্টেম পরিষেবা যা অ্যান্ড্রয়েড-চালিত ডিভাইসে AI-চালিত বৈশিষ্ট্য দ্বারা ব্যবহৃত ব্যবহারকারীর ডেটার জন্য গোপনীয়তা সুরক্ষা জোরদার করে। প্রাইভেট কম্পিউট সার্ভিসেস অ্যান্ড্রয়েড সিস্টেম ইন্টেলিজেন্স (AiAi) এর মতো প্রাইভেট কম্পিউট কোর (PCC) অ্যাপ্লিকেশনগুলির জন্য একটি নিরাপদ এবং অডিটেবল গেটওয়ে হিসেবে কাজ করে, যা নেটওয়ার্ক রিসোর্সগুলিতে সংবেদনশীল ডেটা পরিচালনা করে। HTTP ডাউনলোড এবং ফেডারেটেড লার্নিংয়ের মতো কাজের জন্য সু-সংজ্ঞায়িত, গোপনীয়তা-প্রথম API প্রদান করে এবং এর কোড সর্বজনীনভাবে উপলব্ধ করে, Astrea ব্যবহারকারী এবং গবেষকদের যাচাই করতে দেয় যে ডেটা গোপনীয়তা-সংরক্ষণ পদ্ধতিতে পরিচালনা করা হচ্ছে।

হুমকি মডেল

স্বচ্ছতা ব্যবস্থা ব্যবহার করে সরবরাহ শৃঙ্খলের আক্রমণ সনাক্ত করা যেতে পারে - এবং এইভাবে তা প্রতিরোধ করা যেতে পারে। আমরা কিছু উদাহরণ দিয়ে ব্যাখ্যা করছি।

ধরুন, একজন আক্রমণকারী দূষিতভাবে একটি গুগল সিস্টেম সার্ভিসেস APK পরিবর্তন করে এবং এমনকি গুগল প্লেতে ব্যবহৃত সাইনিং কী দিয়ে এটিতে স্বাক্ষর করতে সক্ষম হয়। যারা দূষিত APK পান তারা APK এর সত্যতা যাচাই করার জন্য বাইনারি ট্রান্সপারেন্সি লগ অনুসন্ধান করতে পারেন। তারা দেখতে পাবেন যে গুগল লগে সংশ্লিষ্ট APK মেটাডেটা যোগ করেনি এবং তারা জানবে যে আপোস করা APK কে বিশ্বাস করা উচিত নয়।

যেহেতু লগে প্রকাশ করা স্বাক্ষর সহ প্রকাশ প্রক্রিয়া থেকে একটি পৃথক প্রক্রিয়া (যেমন ইকোসিস্টেম ডায়াগ্রামে দেখানো হয়েছে), এটি আক্রমণকারীর জন্য কেবল কী আপস করার চেয়েও বেশি বাধা তৈরি করে।

যদিও আমরা একটি স্ট্যান্ডার্ড সাক্ষী প্রোটোকল ব্যবহার করে এই লগটিকে একটি পাবলিক নেটওয়ার্কের সাথে একীভূত করার পরিকল্পনা করছি, আমরা বহিরাগত, স্বাধীন পক্ষগুলিকে এই সর্বজনীনভাবে উপলব্ধ লগের অখণ্ডতা পর্যবেক্ষণ করতে উৎসাহিত করি। এই পক্ষগুলি লগের অ্যাপেন্ড-অনলি সম্পত্তির সত্যতা প্রমাণ করতে পারে এবং যেকোনো ধরণের হস্তক্ষেপের প্রতিবেদন করতে পারে।

এই ধরনের স্বচ্ছতা ব্যবস্থার অস্তিত্ব এবং আক্রমণের অতিরিক্ত আবিষ্কারযোগ্যতা দূষিত কার্যকলাপকে নিরুৎসাহিত করে। যদি কোনও APK-এর সাথে আপোস করা হয় কিন্তু ব্যবহারকারীরা কেবল লগে থাকা APK-গুলিকে বিশ্বাস করে, তাহলে আপোস করা APK জনসমক্ষে প্রকাশ করতে হবে। এটি আপোস করা APK-এর অস্তিত্ব আবিষ্কারের সম্ভাবনা বৃদ্ধি করে এবং এর বিতরণ অপসারণের জন্য পদক্ষেপ নেওয়া যেতে পারে।

দাবিদার মডেল

দাবিদার মডেল হল একটি কাঠামো যা একটি যাচাইযোগ্য সিস্টেমে ভূমিকা এবং শিল্পকর্ম সংজ্ঞায়িত করতে ব্যবহৃত হয়। গুগল সিস্টেম সার্ভিসেস APK ট্রান্সপারেন্সির ক্ষেত্রে, আমরা যে দাবি করি তা হল এই লগে রেকর্ড করা স্বাক্ষরিত বাইনারিগুলির হ্যাশ সংশ্লিষ্ট গুগল সিস্টেম সার্ভিসেস APK-এর জন্য অফিসিয়াল কোড উপস্থাপন করে।

^{GoogleSystemServicesApk} দাবি করুন: (আমি, গুগল, দাবি করি যে $codeSignature $googleSystemServicesApk এর জন্য), যেখানে:
- $codeSignature হল একটি স্বাক্ষরিত JSON ওয়েব টোকেন ( JWT ) যাতে $googleSystemServicesApk এর একটি নির্দিষ্ট সংস্করণে অন্তর্ভুক্ত DEX ফাইল এবং নেটিভ লাইব্রেরি এবং তাদের সংশ্লিষ্ট হ্যাশগুলির একটি তালিকা রয়েছে।
- $googleSystemServicesApk হল নিম্নলিখিত প্যাকেজগুলির একটি সেট থেকে একটি অ্যান্ড্রয়েড প্যাকেজ ( APK ): {Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}

যার কাছে $googleSystemServicesApk এর একটি কপি আছে সে উপরের দাবিটি যাচাই করতে পারে, এবং আমরা যাচাইকরণ পৃষ্ঠায় এই প্রক্রিয়াটি সম্পূর্ণ বিশদভাবে বর্ণনা করেছি।

লগ কন্টেন্ট

যখন গুগল উপরে তালিকাভুক্ত APK গুলির একটি নতুন সংস্করণ প্রকাশ করে, তখন এটি গুগল সিস্টেম সার্ভিসেস APK ট্রান্সপারেন্সি লগে একটি সংশ্লিষ্ট এন্ট্রি যোগ করে।

এই লগের প্রতিটি এন্ট্রিতে চারটি APK মেটাডেটা রয়েছে:

গুগলের তৈরি APK-এর কোড সিগনেচারের হ্যাশ। এটি একটি কোড ট্রান্সপারেন্সি টোকেনের (যা কোড ট্রান্সপারেন্সি JWT নামেও পরিচিত) SHA256 ডাইজেস্টের একটি হেক্স স্ট্রিং।
উপরে হ্যাশের ধরণের বর্ণনা। এটি একটি স্ট্রিং।
APK এর প্যাকেজের নাম । এটি একটি স্ট্রিং।
APK এর সংস্করণ নম্বর ( versionCode )। এটি একটি পূর্ণসংখ্যা।

লগ এন্ট্রির বিন্যাস হল চারটি তথ্যের সংমিশ্রণ যা একটি নতুন লাইন ( \n ) অক্ষর দিয়ে তৈরি, যা নিম্নলিখিত চিত্র দ্বারা চিত্রিত করা হয়েছে:

hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n

মনে রাখবেন যে এই রিলিজে, আমরা কোড ট্রান্সপারেন্সি ব্যবহারের পরীক্ষা-নিরীক্ষা করছি। এর অর্থ হল APK এর হ্যাশের পরিবর্তে, আমরা কোড ট্রান্সপারেন্সি টোকেনের ডাইজেস্ট রেকর্ড করছি। সুতরাং হ্যাশের বর্ণনা বর্তমানে SHA256(Signed Code Transparency JWT) হিসাবে স্থির করা হয়েছে।

উপরন্তু, এটি দেখায় যে অ্যাপ ডেভেলপাররা যখন তাদের অ্যাপ সাইনিং কীগুলি Google Play-তে ধারণ করে তখন কোড স্বচ্ছতা কীভাবে ব্যবহার করতে পারে।

ইকোসিস্টেম ডায়াগ্রাম

Verifiable Log Ecosystem Diagram