Secure Code Review — যেভাবে ভাঙা যায়, সেভাবেই পড়া

লক্ষ্য: checklist-এর প্রশ্নগুলোকে শুধু review-এর সময়কার মানসিক চেকলিস্ট না রেখে, কোডে এনকোড করে ফেলা — যাতে ভবিষ্যতে কেউ ভুলে গেলেও, বা তাড়াহুড়ায় review skip করলেও, automated test সেই একই bug ধরে ফেলে। এটাই OWASP-এর ও NIST SSDF-এর সুপারিশের ব্যবহারিক রূপ: security review-এর ফলাফলকে শুধু একবারের approval না রেখে, একটা পুনরাবৃত্তিযোগ্য test-এ রূপান্তর করা।

# security_regression_tests.py -- আজকের তিনটা bug-কে স্থায়ী, স্বয়ংক্রিয় regression test বানানো
import sqlite3, hashlib, bcrypt

def test_no_sqli_bypass(login_fn):
    result = login_fn("' OR '1'='1' -- ", "wrong-password-xyz")
    assert result is None, "SQL injection payload authentication বাইপাস করেছে!"

def test_no_idor(get_note_fn, alice_id, bobs_note_id):
    result = get_note_fn(alice_id, bobs_note_id)
    assert result is None, "IDOR: alice bob-এর note পড়তে পেরেছে!"

def test_password_not_fast_plain_hash(stored_hash):
    looks_like_raw_sha256 = isinstance(stored_hash, str) and len(stored_hash) == 64
    assert not looks_like_raw_sha256, "stored hash দেখতে raw SHA-256 hexdigest-এর মতো -- slow KDF নেই!"

def run_suite(name, login_fn, get_note_fn, alice_id, bobs_note_id, stored_hash):
    print(f"--- {name} ---")
    checks = [
        ("no_sqli_bypass", lambda: test_no_sqli_bypass(login_fn)),
        ("no_idor", lambda: test_no_idor(get_note_fn, alice_id, bobs_note_id)),
        ("password_not_fast_plain_hash", lambda: test_password_not_fast_plain_hash(stored_hash)),
    ]
    passed = 0
    for check_name, fn in checks:
        try:
            fn()
            print(f"  PASS  {check_name}")
            passed += 1
        except AssertionError as e:
            print(f"  FAIL  {check_name}: {e}")
    print(f"  {passed}/{len(checks)} passed\n")


# ---------- vulnerable app-এর ওপর suite চালানো ----------
conn_v = sqlite3.connect(":memory:")
conn_v.execute("CREATE TABLE users (id INTEGER PRIMARY KEY, username TEXT, password_hash TEXT)")
conn_v.execute("CREATE TABLE notes (id INTEGER PRIMARY KEY, owner_id INTEGER, body TEXT)")

def v_signup(username, password):
    h = hashlib.sha256(password.encode()).hexdigest()
    cur = conn_v.execute("INSERT INTO users (username, password_hash) VALUES (?, ?)", (username, h))
    conn_v.commit()
    return cur.lastrowid

def v_login(username, password):
    h = hashlib.sha256(password.encode()).hexdigest()
    q = f"SELECT id FROM users WHERE username = '{username}' AND password_hash = '{h}'"
    return conn_v.execute(q).fetchone()

def v_get_note(session_user_id, note_id):
    return conn_v.execute("SELECT id, owner_id FROM notes WHERE id = ?", (note_id,)).fetchone()

va = v_signup("alice", "alice-secret-99")
vb = v_signup("bob", "bob-hunter2")
conn_v.execute("INSERT INTO notes (owner_id, body) VALUES (?, ?)", (va, "alice-note"))
conn_v.execute("INSERT INTO notes (owner_id, body) VALUES (?, ?)", (vb, "bob-note"))
conn_v.commit()
v_hash = conn_v.execute("SELECT password_hash FROM users WHERE username='bob'").fetchone()[0]

run_suite("vulnerable app (আজকের review-এর আগের কোড)", v_login, v_get_note, va, 2, v_hash)

# ---------- fixed app-এর ওপর একই suite চালানো ----------
conn_f = sqlite3.connect(":memory:")
conn_f.execute("CREATE TABLE users (id INTEGER PRIMARY KEY, username TEXT, password_hash TEXT)")
conn_f.execute("CREATE TABLE notes (id INTEGER PRIMARY KEY, owner_id INTEGER, body TEXT)")

def f_signup(username, password):
    h = bcrypt.hashpw(password.encode(), bcrypt.gensalt(rounds=10))
    cur = conn_f.execute("INSERT INTO users (username, password_hash) VALUES (?, ?)", (username, h))
    conn_f.commit()
    return cur.lastrowid

def f_login(username, password):
    row = conn_f.execute("SELECT id, password_hash FROM users WHERE username = ?", (username,)).fetchone()
    if row is None or not bcrypt.checkpw(password.encode(), row[1]):
        return None
    return (row[0],)

def f_get_note(session_user_id, note_id):
    row = conn_f.execute("SELECT id, owner_id FROM notes WHERE id = ?", (note_id,)).fetchone()
    if row is None or row[1] != session_user_id:
        return None
    return row

fa = f_signup("alice", "alice-secret-99")
fb = f_signup("bob", "bob-hunter2")
conn_f.execute("INSERT INTO notes (owner_id, body) VALUES (?, ?)", (fa, "alice-note"))
conn_f.execute("INSERT INTO notes (owner_id, body) VALUES (?, ?)", (fb, "bob-note"))
conn_f.commit()
f_hash = conn_f.execute("SELECT password_hash FROM users WHERE username='bob'").fetchone()[0]

run_suite("fixed app (review-এর পরের কোড)", f_login, f_get_note, fa, 2, f_hash)

প্রত্যাশিত output (deterministic — হুবহু এটাই আসবে):

--- vulnerable app (আজকের review-এর আগের কোড) ---
  FAIL  no_sqli_bypass: SQL injection payload authentication বাইপাস করেছে!
  FAIL  no_idor: IDOR: alice bob-এর note পড়তে পেরেছে!
  FAIL  password_not_fast_plain_hash: stored hash দেখতে raw SHA-256 hexdigest-এর মতো -- slow KDF নেই!
  0/3 passed

--- fixed app (review-এর পরের কোড) ---
  PASS  no_sqli_bypass
  PASS  no_idor
  PASS  password_not_fast_plain_hash
  3/3 passed

মূল মুহূর্ত: vulnerable app-এ ০/৩ পাস করেছে — মানে যদি এই তিনটা assertion কোনো CI pipeline-এ pull-request-এর সময় চলত, আজকের bug-গুলো কখনো merge-ই হতে পারত না। Fixed app-এ ৩/৩ পাস — একই কোড, একই assertion, শুধু review-এর ফলাফলটাই এখন কোডে “লক” হয়ে গেছে, ভবিষ্যতের কোনো refactor ভুলবশত এই bug-গুলো ফিরিয়ে আনলে test সাথে সাথে ধরবে।

নিজে বাড়ান:

1. test_password_not_fast_plain_hash-এর check-টা bytes-ভিত্তিক bcrypt hash-এর জন্য কাজ করে, কিন্তু Argon2-hash-string শনাক্ত করতে এই heuristic-টা যথেষ্ট কিনা যাচাই করুন — কী বাড়তি শর্ত লাগবে?
2. একটা চতুর্থ test যোগ করুন যা যাচাই করে get_note-এর মতো প্রতিটা resource-lookup function সবসময় দুইটা প্যারামিটার নেয় (session_user_id আর resource_id) — শুধু resource_id-নেওয়া কোনো function থাকলে সেটা IDOR-এর ঝুঁকি হিসেবে flag করুন
3. এই suite-টাকে pytest-এ রূপান্তর করুন (assert statement প্রায় একই থাকবে) — আর ভাবুন CI-তে এই test-file-এর নামকরণ ও অবস্থান কেমন হওয়া উচিত যাতে টিমের সবাই বোঝে এগুলো “সাধারণ” test না, security regression test