क्या Google Chrome XSS हमलों से बचाव करता है?

Google ने Chrome ब्राउज़र से XSS ऑडिटर को कई कमजोरियों के बाद हटा दिया है जिन्होंने इस सुविधा की प्रभावशीलता पर सवाल उठाया है।

दूसरे दिन एंटी- XSS तकनीक अप्रचलित थी और इसे हटाने की योजना बनाई गई थी, क्योंकि क्रोमियम के डेवलपर्स ने 16 जुलाई को परियोजना के Google समूहों में घोषणा की थी ।

क्रोमियम डेवलपर्स की चर्चाओं को देखते हुए, यह निर्णय कई विश्वसनीय साइटों के पृष्ठों को अवरुद्ध करने की समस्याओं से जुड़ा था।



XSS ऑडिटर, क्रोम 4 में 2010 में इसकी शुरुआत के बाद से सक्रिय बहस से अधिक उत्पन्न हुआ है। इसके अस्तित्व के दौरान, कई कमियों की पहचान की गई, जिसने इस प्रौद्योगिकी की अस्वीकृति का कारण बना।

प्रारंभ में, XSS ऑडिटर ने फ़िल्टरिंग मोड में काम किया: वेब संसाधन लोड किया गया था, लेकिन संदिग्ध कोड अवरुद्ध था, जिसने हमें सुरक्षा को बायपास करने के कई तरीके खोजने से नहीं रोका।

समय के साथ, क्रोम डेवलपर्स ने डिफ़ॉल्ट व्यवहार को लॉक मोड में बदलने का फैसला किया। हालाँकि, यह रक्षा पद्धति एक XS-Search / XS-Leak हमले के लिए असुरक्षित थी। इसके अलावा, यह अक्सर भरोसेमंद संसाधनों पर गलत सकारात्मक और ब्राउज़र उपयोगकर्ताओं के लिए उनके अवरोधन का कारण बना।

हाल ही में, ऑडिटर ने डिफ़ॉल्ट फ़िल्टरिंग मोड में फिर से काम करना शुरू किया (सबसे अधिक संभावना है, झूठे सकारात्मक और अवरुद्ध साइटों को नकारात्मक प्रभाव को कम करने के लिए)।

लेकिन इस निर्णय ने बहुत जल्द ही इस सुरक्षात्मक तंत्र की प्रभावशीलता के बारे में सिद्धांत में संदेह पैदा कर दिया। जैसा कि फ्रेडरिक ब्रौन (मोज़िला) ने मारियो हीडरिक (Cure53) के साथ एक संयुक्त अध्ययन में लिखा है, "एक्स-फ्रेम-ऑप्शंस: ऑल अबाउट क्लिकैकिंग?" , फ़िल्टरिंग मोड एक खतरनाक दृष्टिकोण है और इसे X-XSS- सुरक्षा हेडर सेट करके बदला जा सकता है : 1; मोड = ब्लॉक , जो, सिद्धांत रूप में, एक रामबाण भी नहीं है।

यह ध्यान देने योग्य है कि XSS ऑडिटर को छोड़ने की प्रक्रिया क्रोमियम डेवलपर्स द्वारा अक्टूबर 2018 में वापस प्रस्तावित की गई थी। यह नोट किया गया था कि "कोई सबूत नहीं है कि लेखा परीक्षक किसी भी XSS को रोक रहा है । "



भविष्य में, यह विश्वसनीय प्रकार एपीआई मानक का उपयोग करने की योजना है, जो कि कुछ संभावना के साथ न केवल Google क्रोम में लागू किया जा सकता है।