2019 में क्लिकजैकिंग के माध्यम से नामकरण

मैं आपके साथ क्लिकजैकिंग तकनीक का उपयोग करके डीनोमिनेशन की प्रक्रिया की वर्तमान स्थिति पर अपने शोध के परिणामों को आपके साथ साझा करना चाहूंगा। डिनोमिनेशन द्वारा, मेरा मतलब है कि एक दुर्भावनापूर्ण वेबसाइट की क्षमता आगंतुक की पहचान प्रकट करने के लिए, जिसमें उसका पूरा नाम और संभवतः अन्य जानकारी शामिल है। मैं यहां कोई नई जानकारी प्रस्तुत नहीं करता हूं जो पहले सार्वजनिक रूप से ज्ञात नहीं थी, लेकिन मुझे यह पता लगाने में बहुत आश्चर्य हुआ कि आगंतुक की गोपनीयता का उल्लंघन करना कितना आसान है और उसकी पहचान को प्रकट करना, भले ही आप सर्वोत्तम प्रथाओं का पालन करें और आधुनिक ब्राउज़र और ऑपरेटिंग सिस्टम का उपयोग करें।

यह सब Google YOLO के साथ शुरू हुआ

मेरी यात्रा तब शुरू हुई जब मैं Google YOLO नामक एक महान ब्लॉग पोस्ट पर आया, जो @filedescriptor द्वारा लिखा गया था , Google YOLO (आप केवल एक बार लॉग इन करें) वेब विजेट के क्लिकजैकिंग भेद्यता के बारे में, जो वेबसाइटों पर एक-क्लिक इनलाइन प्राधिकरण प्रदान करता है । मैं अत्यधिक सलाह देता हूं कि आप एक ऐसी ब्लॉग पोस्ट पढ़ें और पढ़ें, जिसमें क्लिकजैकिंग तकनीकों का वर्णन और अंतःक्रियात्मक रूप से प्रदर्शन हो।

संक्षेप में, गोपनीयता का मुद्दा यह है कि आप एक Google YOLO विजेट के साथ एक वेबसाइट बना सकते हैं और एक हानिरहित बटन के रूप में विजेट को मास्क कर सकते हैं। जब आप किसी ऐसे बटन पर क्लिक करते हैं जो पहली नज़र में हानिरहित होता है, तो पीड़ित अनजाने में अपने Google खाते के साथ लॉग इन करता है, वेबसाइट के मालिक को उसकी पहचान हस्तांतरित करता है, जिसमें उसका पूरा नाम और ईमेल पता भी शामिल है।

अक्सर, यह वास्तव में मायने नहीं रखता है, क्योंकि कई वेबसाइटें सबसे अधिक संभावना पहले से ही आपकी पहचान को जानती हैं। फिर भी, इस समस्या के अप्रिय परिणाम हो सकते हैं। उदाहरण के लिए, एक कथित रूप से अनाम सर्वेक्षण को भरना। चूंकि आप इस वेबसाइट पर कभी नहीं गए हैं, आप सोच सकते हैं कि इसमें आपके उत्तरों को आपकी पहचान के साथ जोड़ने की क्षमता नहीं है, लेकिन ऐसा बिल्कुल भी नहीं है।

जब मैंने पहली बार Google YOLO ब्लॉग पोस्ट पर ठोकर खाई, तो Google ने पहले ही केवल संबद्ध वेबसाइटों पर इस सुविधा को प्रतिबंधित करके समस्या को ठीक कर दिया था। यह ब्लॉग पोस्ट फेसबुक लाइक विजेट का उपयोग करके क्लिकजैकिंग का भी वर्णन करता है, लेकिन जब आप बटन पर क्लिक करते हैं, तो विजेट ने पुष्टि के लिए कहा:



पुष्टिकरण अनुरोध इस हमले को असंभव बनाता है - भले ही पीड़ित ने अनजाने में दो बार लाइक बटन पर क्लिक किया हो, फिर भी उसे पॉप-अप विंडो में अपनी कार्रवाई की पुष्टि करनी होगी। पॉपअप को हमलावर साइट द्वारा संशोधित नहीं किया जा सकता है और इसलिए यह हमले पर क्लिक करने के अधीन नहीं है। इस समाधान का नुकसान यह है कि यह कम सुविधाजनक बनाता है, हर बार अतिरिक्त कार्यों की आवश्यकता होती है, यहां तक ​​कि "लाइक बटन" के जानबूझकर उपयोग के लिए भी।

नतीजतन, मैं इस निष्कर्ष पर पहुंचा कि बड़ी कंपनियों ने इस समस्या को हल किया है, और थोड़ी देर के लिए मैं इसके बारे में भूल गया, जब तक कि मेरे पास एक नया विचार नहीं था ...

फेसबुक टिप्पणी विजेट: "टाइपजैकिंग"

एक दिन, इंटरनेट पर घूमने के दौरान, मैं एक वेबसाइट पर आया, जिसने फेसबुक कमेंट विजेट का इस्तेमाल किया ताकि आगंतुकों को किसी थर्ड पार्टी पेज पर टिप्पणी करने की अनुमति दी जा सके। उस समय, मुझे याद आया कि मैंने पहले क्या पढ़ा था और सोचा था: क्लिकजैकिंग समस्या को बड़ी कंपनियों द्वारा हल किया गया था, लेकिन "टाइपबैकिंग" के बारे में क्या? क्या होगा यदि मैं एक टिप्पणी विजेट लेता हूं और इसे अपनी वेबसाइट में पेस्ट करता हूं, इसे असंबंधित रूप में प्रच्छन्न करता हूं? फिर, अगर मैं पीड़िता को इसमें पाठ, किसी भी पाठ को दर्ज करने के लिए मना सकता हूं, और इसे मेरे पेज पर एक फेसबुक टिप्पणी के रूप में भेज सकता हूं, तो मैं फेसबुक पर जांच करके उसकी पहचान का पता लगा सकता हूं जिसमें केवल टिप्पणी पोस्ट की गई थी।

इसे ध्यान में रखते हुए, मैंने एक वेब पेज पर काम करना शुरू किया जो इस तकनीक को प्रदर्शित करता है। इस प्रक्रिया में, मुझे गलती से पता चला कि "लाइक" विजेट, जो मुझे पुष्टि की आवश्यकता के लिए लग रहा था, मेरे वेब पेज पर पुष्टि के बिना काम करता है! इंटरनेट पर एक विजेट के बारे में पढ़ना, मैंने पाया कि फेसबुक, Google के विपरीत, क्लिकजैकिंग से बचाने के लिए एक ब्लैकलिस्ट का उपयोग करता है।

जिस तरह से फेसबुक ने अपने यूजर्स को क्लिकजैकिंग से बचाने का फैसला किया, वह इसे पसंद के भारी संग्रह से बचा सकता है - फेसबुक नोटिस कर सकता है कि बड़ी संख्या में लाइक्स एक साइट से आते हैं, पुष्टि जोड़ते हैं और यहां तक ​​कि पसंद को रद्द भी करते हैं। लेकिन यह डीनोमिनेशन के खतरे से रक्षा नहीं करता है। एक हमलावर आसानी से एक नई वेबसाइट बना सकता है और "लाइक" विजेट के साथ क्लिकजैकिंग का उपयोग कर सकता है, फिर पेज को सीमित संख्या में पीड़ितों को भेजें और फेसबुक लाइक को ट्रैक करके अपनी पहचान प्रकट करें।

मेरी हैरानी की बात है, लाइकजैकिंग तकनीक, लाइक पाने के लिए क्लिकजैकिंग तकनीक का वर्णन करने वाला शब्द, कम से कम 2010 से जाना जाता है। और आज, 9 साल बाद भी यह प्रासंगिक बना हुआ है। इसके अलावा, जब यह "लाइकजैकिंग" की बात आती है, तो डीनोमिनेशन का मुद्दा शायद ही कभी उल्लेख किया जाता है। डीनोमिनेशन का मुद्दा सार्वजनिक रूप से लिखा गया था, कम से कम 2012 तक वापस , लेकिन फिर भी, मेरा मानना ​​है कि इसके बारे में पर्याप्त लोग नहीं जानते हैं, खासकर हमारे समय के लिए, जब अधिक से अधिक लोग इंटरनेट पर गोपनीयता के महत्व को समझते हैं।

टाइप करने की तकनीक के लिए, मैंने अभी भी एक वेब पेज जोड़ा है जो हमले को दर्शाता है । आप स्वयं प्रयोग कर सकते हैं या वीडियो देख सकते हैं:

Clickjacking, typejacking ... और क्या है?

क्लिकजैकिंग तकनीक के बारे में सोचते हुए, मैंने सोचा कि दुर्भावनापूर्ण वेबसाइट पर तृतीय-पक्ष विजेट को सम्मिलित करने और हेरफेर करने की क्षमता का उपयोग करके और क्या किया जा सकता है। क्लिकजैकिंग और टाइपजैकिंग तकनीक को विजेट के साथ उपयोगकर्ता के संपर्क के लिए डिज़ाइन किया गया है। क्या होगा अगर इसके बजाय हम उपयोगकर्ता को विजेट से जानकारी प्रदान करने के लिए मना लेते हैं?

यह पता चला कि किसी ने मेरे बारे में पहले ही सोच लिया था। एक त्वरित खोज ने मुझे टेल मी टू योरसेल्फ: दुर्भावनापूर्ण कैप्चा अटैक लेख के लिए प्रेरित किया, जो इस तकनीक का विश्लेषण करता है। यहाँ एक लेख से एक उदाहरण है जो दर्शाता है कि कैसे एक हमलावर एक पीड़ित को धोखा दे सकता है और अनजाने में एक निर्दोष कैप्चा के रूप में विजेट को मास्क करके अपना नाम प्रकट कर सकता है:

साइट मालिकों के लिए क्लिकजैकिंग की रोकथाम

क्लिकजैकिंग को रोकने के लिए अभी भी कोई विश्वसनीय तरीका नहीं है।

2009 में, एक्स-फ्रेम-ऑप्शंस HTTP हेडर पेश किया गया था, जो क्लिकजैकिंग के खिलाफ आंशिक सुरक्षा प्रदान करता है। शीर्ष लेख वेबसाइट के स्वामी को यह निर्दिष्ट करने की अनुमति देता है कि कौन से पृष्ठ फ़्रेम में नहीं होने चाहिए। हेडर का समर्थन करने वाला ब्राउज़र इन पृष्ठों को एक फ्रेम में लोड करने से मना कर देगा। हालांकि यह कुछ मामलों में क्लिक करने से रोकता है, लेकिन यह विजेट के साथ मदद नहीं करता है, जिसे फ्रेम में लोड करने की आवश्यकता होती है, जैसे कि एक विजेट या टिप्पणी विजेट।

एक्स-फ्रेम-ऑप्शंस हेडलाइन को देखते हुए, मैंने सोचा कि क्यों न एक समान विकल्प बनाया जाए जो वेब पेज को फ्रेम में लोड करने की अनुमति देते समय सुरक्षा का एक उपाय प्रदान करे? उदाहरण के लिए, "लाइक" विजेट के बारे में सोचें: क्या वेब पेज के लिए एक बटन के ऊपर खींचने का एक अच्छा कारण है? आकार या पारदर्शिता बटन? सीएसएस फिल्टर की तरह कोई अन्य जोड़तोड़ करते हैं? एकमात्र कारण जिसकी मैं कल्पना कर सकता हूं वह है क्लिकजैकिंग। एक नया एक्स-फ़्रेम-विकल्प विकल्प, जैसे कि एक्स-फ़्रेम-ऑप्शंस: क्यों अलग न करें , जो वेब पेज को फ्रेम में लोड करने की अनुमति देता है, लेकिन यह सुनिश्चित करता है कि फ्रेम को आकार नहीं दिया जा सकता है और मूल वेबसाइट ओवर नहीं हो सकती है। उसे। पिछले विचारों के साथ के रूप में, और किसी ने पहले ही मुझे यह सुझाव दिया था ।

हालांकि ब्राउज़र ऐसी सुरक्षा को लागू नहीं करते हैं, वेबसाइट के मालिकों के पास केवल एक विकल्प है: उपयोगकर्ता के साथ अतिरिक्त इंटरैक्शन की आवश्यकता होती है, उदाहरण के लिए, एक अलग पॉप-अप विंडो का उपयोग करना। हमने देखा कि फेसबुक "लाइक" विजेट के साथ ऐसा करता है, लेकिन केवल उन संदिग्ध वेबसाइटों के लिए, जिन पर यह होस्ट है। जाहिर है, फेसबुक उपयोगकर्ताओं की सुविधा को उनकी गोपनीयता से अधिक महत्व देता है।

अपडेट: यह पता चला है कि क्रोम विजेट मालिकों को इंटरसेक्शन ऑब्जर्वर v2 फ़ंक्शन का उपयोग करके क्लिकजैकिंग का पता लगाने की क्षमता देता है। अप्रैल 2019 में जारी क्रोम 74 के साथ डिफ़ॉल्ट रूप से यह सुविधा सक्षम है। दुर्भाग्य से, वर्तमान में केवल क्रोम इसे लागू करता है, और इसका उपयोग करना इतना आसान नहीं है - हेडर जोड़ने की तुलना में कम से कम अधिक कठिन। ट्रस्ट देखें अच्छा है, अधिक जानकारी के लिए अवलोकन बेहतर है ।

यूजर्स के लिए क्लिकजैकिंग प्रिवेंशन

कई समाधानों की कोशिश करने के बाद, मैं इस नतीजे पर पहुंचा कि थर्ड-पार्टी कुकीज़ को ब्लॉक करना, क्लिकजैकिंग के माध्यम से सूचना रिसाव को रोकने का सबसे अच्छा तरीका है। यह स्वयं क्लिकजैकिंग तकनीक को नहीं रोकता है, लेकिन चूंकि एम्बेडेड फ्रेम आगंतुक कुकीज़ प्राप्त नहीं करता है, इसलिए यह फ्रेम विशेष रूप से एक हमलावर के लिए उपयोगी नहीं होगा।

साथ ही, थर्ड-पार्टी कुकीज़ को ब्लॉक करने का विकल्प यह है कि अधिकांश ब्राउज़रों में यह विकल्प शुरुआत में बनाया गया है। किसी भी तृतीय-पक्ष एक्सटेंशन को स्थापित करने या विभिन्न ब्राउज़रों या उपकरणों के लिए अलग-अलग समाधान खोजने की आवश्यकता नहीं है।

नकारात्मक पक्ष यह है कि लाइक विजेट या टिप्पणी विजेट जैसे विजेट सभी साइटों पर काम करना बंद कर देंगे। मैं उन्हें बहुत याद नहीं करता, लेकिन शायद यह विकल्प सभी के लिए उपयुक्त नहीं है।

तृतीय-पक्ष कुकीज़ को अवरुद्ध करने का एक और लाभ यह है कि अवरुद्ध करने वाले साइड-चैनल हमलों से रक्षा कर सकते हैं जिन्हें उपयोगकर्ता के हस्तक्षेप की आवश्यकता नहीं होती है। उदाहरण के लिए, यह विधि वेब पेज के साथ अतिरिक्त उपयोगकर्ता सहभागिता के बिना फेसबुक उपयोगकर्ताओं को डीन करने के लिए CSS3 के उपयोग को प्रदर्शित करती है। एक पुरानी लेकिन दिलचस्प भेद्यता का एक और उदाहरण जिसे तृतीय-पक्ष कुकीज़ को अवरुद्ध करने से रोका जा सकता है, जेनेरिक क्रॉस-ब्राउज़र क्रॉस-डोमेन चोरी है , जो सीएसएस विनिर्देश में एक खामियों का शोषण करता है जिससे ब्राउज़र को सीएसएस और एक्सेस के रूप में क्रॉस-ऑरिजिन पेज का उपयोग करने के लिए मजबूर किया जा सके। विशिष्ट जानकारी के लिए ( क्रोमियम परियोजना का मुद्दा )।

निष्कर्ष

इस आलेख में सभी ऐतिहासिक और तकनीकी विवरणों के बीच, एक सिफारिश है कि मैं फिर से जोर देना चाहूंगा: इंटरनेट पर अपनी पहचान की सुरक्षा को बेहतर बनाने के लिए तीसरे पक्ष के कुकीज़ को अवरुद्ध करने पर विचार करें।

मुझे उम्मीद है कि यह लेख क्लिकजैकिंग तकनीक के बारे में जागरूकता बढ़ाने में मदद करता है जिसे 2010 से जाना जाता है और अभी तक हल नहीं किया गया है। शायद ब्राउज़र विक्रेता फ्रेम में हेरफेर को सीमित करने के लिए इसे रोकने के उपायों को शुरू करने पर विचार करेंगे।

PS On Habré ने 5 साल पहले VKontakte वेबसाइट पर इसी तरह की समस्या के बारे में लिखा था। ऐसा लगता है कि डेमो अब काम नहीं कर रहा है (आपको पॉप-अप विंडो में कार्रवाई की पुष्टि करने की आवश्यकता है), लेकिन, जैसा कि आप देख सकते हैं, विषय अभी भी प्रासंगिक है। शायद VKontakte पर एक और विजेट है जिसका आप उपयोग कर सकते हैं, उदाहरण के लिए, एक टिप्पणी विजेट। लेकिन, दुर्भाग्य से, उस लेख में, लेखक ने तीसरे पक्ष के कुकीज़ को अवरुद्ध करने का उल्लेख नहीं किया।