পর্ব 5: Ade in Mountain View, CA (আগস্ট, 2019) দ্বারা
আগের পর্বগুলো
ক্রোম প্রক্রিয়ায় বিভক্ত। তাদের মধ্যে কিছু স্যান্ডবক্স করা হয়েছে, যার মানে তারা সিস্টেমে এবং ব্যবহারকারীদের অ্যাকাউন্টে অ্যাক্সেস হ্রাস করেছে৷ একটি স্যান্ডবক্সড প্রক্রিয়ায়, দূষিত কোড চালানোর অনুমতি দেয় এমন বাগগুলি অনেক কম গুরুতর।
ব্রাউজার প্রক্রিয়ার কোন স্যান্ডবক্স নেই , তাই একটি বাগ পুরো ডিভাইসে ক্ষতিকারক কোড সম্পূর্ণ অ্যাক্সেস দিতে পারে। আপনি ভিন্নভাবে কি করা উচিত? এবং অন্যান্য প্রক্রিয়ার অবস্থা কি?
সব কোডেই বাগ আছে। ব্রাউজার প্রক্রিয়ায়, এই বাগগুলি দূষিত কোডকে একটি প্রোগ্রাম ইনস্টল করতে, ব্যবহারকারীর ডেটা চুরি করতে, কম্পিউটার সেটিংস সামঞ্জস্য করতে, সমস্ত ব্রাউজার ট্যাবের সামগ্রী অ্যাক্সেস করতে, লগইন ডেটা ইত্যাদির অনুমতি দেয়৷
অন্যান্য প্রক্রিয়ায়, OS অ্যাক্সেস প্ল্যাটফর্ম-নির্দিষ্ট বিধিনিষেধের মাধ্যমে সীমিত । আরও তথ্যের জন্য, Chrome এর স্যান্ডবক্স বাস্তবায়ন নির্দেশিকা দেখুন।
নিম্নলিখিত সাধারণ ভুলগুলি এড়াতে ভুলবেন না:
- ব্রাউজার প্রক্রিয়ায় C++ ব্যবহার করে অবিশ্বস্ত ডেটা পার্স বা ব্যাখ্যা করবেন না।
- একটি রেন্ডারার প্রতিনিধিত্ব করার দাবি করে এমন উত্সকে বিশ্বাস করবেন না৷ ব্রাউজারের RenderFrameHost নিরাপদে বর্তমান উৎস পেতে ব্যবহার করা যেতে পারে।
পরিবর্তে, নিম্নলিখিত সেরা অনুশীলনগুলি ব্যবহার করুন:
- আপনার কোড ব্রাউজার প্রক্রিয়ার মধ্যে থাকলে অতিরিক্ত প্যারানয়েড হন।
- অন্যান্য প্রক্রিয়া থেকে সমস্ত আইপিসি যাচাই করুন। অনুমান করুন অন্যান্য সমস্ত প্রক্রিয়া ইতিমধ্যেই আপস করা হয়েছে এবং আপনাকে প্রতারণা করার জন্য আউট।
- একটি রেন্ডারার বা ইউটিলিটি প্রক্রিয়া বা অন্য কিছু স্যান্ডবক্সড প্রক্রিয়াতে আপনার প্রক্রিয়াকরণ করুন। আদর্শভাবে, জাভাস্ক্রিপ্টের মতো একটি মেমরি নিরাপদ ভাষাও ব্যবহার করুন (>50% নিরাপত্তা বাগগুলি সমাধান করে)।
বছরের পর বছর ধরে, আমরা ব্রাউজার প্রক্রিয়ায় নেটওয়ার্ক স্ট্যাকগুলি (যেমন HTTP, DNS, QUIC) চালিয়েছি, যা কিছু গুরুতর দুর্বলতার দিকে পরিচালিত করেছিল। কিছু প্ল্যাটফর্মে, নেটওয়ার্কিং এর নিজস্ব প্রক্রিয়া আছে, একটি স্যান্ডবক্স আসছে।
অতিরিক্ত সম্পদ
- ক্রোমিয়ামের দুটি নিয়ম : অনিরাপদ ডেটা, অনিরাপদ কোড এবং অনিরাপদ প্রক্রিয়া দুটির বেশি নয়।
- IPC ডেটা যাচাই করা : রেন্ডারার প্রক্রিয়া থেকে IPC গুলি ফিব এবং ভুল উপস্থাপনে পূর্ণ নয় তা নিশ্চিত করার একটি নির্দেশিকা৷