🔑 Chapter 18 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: OAuth authorization flow-এ redirect, scope ও token কোথায় ব্যবহৃত হয় বোঝো।
Defense checkpoint: PKCE, state/nonce, exact redirect allowlist ও নিরাপদ token storage প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🚪 গল্প ১: হোটেলের ভ্যালে কি (Valet Key) — OAuth কী?

তুমি যখন কোনো দামি হোটেলে গাড়ি পার্ক করতে দাও, তুমি কি ড্রাইভারকে তোমার ঘরের চাবি, আলমারির চাবি সব দিয়ে দাও? কখনোই না! তুমি তাকে শুধু গাড়ির চাবি দাও, যাতে সে গাড়িটা পার্ক করতে পারে কিন্তু অন্য কিছু খুলতে না পারে।

ওয়েবসাইটের জগতে একেই বলে OAuth 2.0! যখন তুমি কোনো সাইটে "Sign in with Google" করো, তুমি সেই সাইটকে তোমার জিমেইলের পাসওয়ার্ড দাও না; গুগল সেই সাইটকে শুধু একটি নির্দিষ্ট মেয়াদের Access Token দেয় যাতে তারা তোমার নাম আর ইমেইল দেখতে পারে।

🕳️ গল্প ২: Redirect URI হাইজ্যাক — চিঠি অন্যের ঠিকানায়

গুগল যখন ইউজারকে অথরাইজ করে, তখন সে ব্রাউজারকে একটি ঠিকানায় রিডাইরেক্ট করে কোডটি পাঠায়:

https://accounts.google.com/o/oauth2/auth?client_id=123&redirect_uri=https://training.example.test/callback

যদি ডেভেলপার redirect_uri কঠোরভাবে ভ্যালিডেট না করে এবং ওয়াইল্ডকার্ড অ্যালাউ করে (যেমন: https://training.example.test.evil.com/callback বা ওপেন রিডাইরেক্ট), তবে তোমার সিক্রেট লগইন কোড চলে যাবে হ্যাকারের সার্ভারে! হ্যাকার সেই কোড গুগলে জমা দিয়ে তোমার অ্যাকাউন্ট চিরতরে দখল করে নেবে!

🛡️ গল্প ৩: State প্যারামিটার না থাকার মরণফাঁদ

OAuth ফ্লোতে একটি অত্যন্ত জরুরি প্যারামিটার থাকে — state। এটি একটি র‍্যান্ডম ক্রিপ্টোগ্রাফিক টোকেন যা CSRF অ্যাটাক আটকায়।

যদি কোনো সাইট state চেক না করে, হ্যাকার নিজের অ্যাকাউন্টের অথরাইজেশন কোড ভিকটিমের ব্রাউজারে জোর করে রান করিয়ে দিতে পারে, ফলে ভিকটিমের প্রোফাইল হ্যাকারের সোশ্যাল অ্যাকাউন্টের সাথে লিংক হয়ে যায়!

🎯 গল্প ৪: বাগ বাউন্টিতে $৫,০০০ কামানোর চেকলিস্ট

বৃষ্টি ম্যাম বললেন, "OAuth-তে বাগ খোঁজা সবচেয়ে লাভজনক!"

১. রিডাইরেক্ট ইউআরআই-তে /..;/ বা @evil.com ট্রাই করো।
২. এক অ্যাকাউন্টের জন্য পাওয়া টোকেন অন্য ইউজারের API এন্ডপয়েন্টে চালিয়ে দেখো (Scope Confusion)।
৩. রিফ্রেশ টোকেন কখনো এক্সপায়ার হয় কি না তা পরীক্ষা করো।

🎯 Chapter 18 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: OAuth 2.0 কী?

💡 OAuth 2.0 = authorization framework। Third-party app-কে limited access দেওয়া — password না দিয়েই।

❓ প্রশ্ন 2: OAuth-এ redirect_uri mismatch vulnerability কী?

💡 redirect_uri whitelist properly validate না করলে attacker নিজের server-এ code/token redirect করতে পারে।

❓ প্রশ্ন 3: Authorization Code flow-এ code কোথায় যায়?

💡 OAuth code → redirect_uri?code=XXXXX। Backend এই code দিয়ে server-to-server token exchange করে।

❓ প্রশ্ন 4: state parameter OAuth-এ কী করে?

💡 OAuth state = random CSRF token। Request ও callback-এ same value না থাকলে → reject। CSRF attack prevent।

❓ প্রশ্ন 5: Access token vs Authorization code পার্থক্য?

💡 Auth code = short-lived, one-time। Exchange করো → access token পাও। Access token = actual API access।

❓ প্রশ্ন 6: OAuth PKCE কী?

💡 PKCE = code verifier + code challenge। Client secret ছাড়া authorization code intercept করা useless।

❓ প্রশ্ন 7: Open redirect OAuth vulnerability মানে কী?

💡 Open redirect = redirect_uri validation weak → attacker.com-এ redirect সম্ভব → token steal।

❓ প্রশ্ন 8: SSO কী?

💡 SSO = Single Sign-On। একবার login (Google/Microsoft) → multiple apps automatically authenticated।

❓ প্রশ্ন 9: Implicit flow কেন deprecated?

💡 Implicit flow-এ access token fragment (#token=...) URL-এ থাকে — browser history, referrer header-এ leak risk।

❓ প্রশ্ন 10: JWT audience (aud) claim-এ কী থাকে?

💡 aud = audience। Token কোন service/app-এর জন্য তৈরি। Wrong service-এ submit করলে reject করা উচিত।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference