सावधानी HTML5

HTML5 वेब डेवलपर्स के लिए बेहतरीन अवसर प्रदान करता है। हालांकि, यह मत भूलो कि ये अवसर न केवल संसाधन मालिकों के लिए, बल्कि विभिन्न प्रकार के धोखेबाजों के लिए भी खोले गए हैं। मैं थोड़ा अवलोकन साझा करना चाहता हूं कि कैसे नई प्रौद्योगिकियों के लिए एक लालसा आपके उपयोगकर्ताओं की सुरक्षा को प्रभावित कर सकती है।

एचटीएमएल 5 में स्थानीय डेटा संग्रहीत करने के लिए मौजूदा सुरक्षा समस्या किसी के लिए कोई रहस्य नहीं है। हालांकि, एक बेहतर समझ के लिए, मुझे याद है। HTML5 आपको स्थानीय स्तर पर और WebDatabase में स्थानीय रूप से डेटा संग्रहीत करने की अनुमति देता है। इस डेटा तक पहुंच जावास्क्रिप्ट से संभव है। स्टोरेज तक पहुँच अधिकारों का विभेदन प्रोटोकॉल + डोमेन + पोर्ट के संयोजन पर आधारित है। जाहिर है, इस डेटा की अनधिकृत पहुंच उपयोगकर्ता को उस साइट पर जाने के लिए मजबूर करके प्राप्त की जा सकती है जो प्रोटोकॉल + डोमेन + पोर्ट के अनुरूप है। और उस पर जावास्क्रिप्ट कोड रखें जो हमारे द्वारा आवश्यक डेटा पर विचार करता है और इसे सर्वर पर भेजता है। यह अच्छी तरह से सिद्ध तरीकों का उपयोग करके प्राप्त किया जा सकता है:

• डीएनएस या एआरपी-स्पूफिंग का उपयोग करना;
• नेटवर्क उपकरण तक पहुंच होना;
• हनीपॉट का उपयोग एक मुफ्त वाईफाई एक्सेस प्वाइंट या टोर नेटवर्क आउटपुट नोड के रूप में;
• स्पायवेयर का उपयोग करना।

टूल का सेट बहुत व्यापक है और जाहिर है, सुरक्षा-महत्वपूर्ण डेटा को होस्ट करने के लिए HTML5 भंडारण का उपयोग करना असंभव है। मुझे बहुत आश्चर्य हुआ, जब एक स्थानीय डेटाबेस में एक प्रसिद्ध संसाधन पर, मुझे वहां संग्रहीत गुप्त कुंजी का पता चला, जिसका उपयोग प्रमाणीकरण तंत्र में किया गया था। "ओह," मैंने कहा! लेकिन फिर मैंने सोचा: "शायद, वे केवल एचटीटीपीएस के माध्यम से इस तंत्र का उपयोग करने का सुझाव देते हैं।" हां, HTTPS के साथ यह योजना पहले से ही बेहतर लग रही है, उपरोक्त तरीकों का हिस्सा काम नहीं करेगा (बेशक, यह साइट पर बड़े अक्षरों में लिखने के लायक होगा)। लेकिन मैंने आगे खुदाई शुरू कर दी और फिर से परेशान था। साइट के मुख्य पृष्ठ में HTTP से जुड़ी स्क्रिप्ट हैं जो HTTPS के फायदों को शून्य तक कम करती हैं - कुंजी भी चोरी हो सकती है। फिर भी, यह ध्यान दिया जाना चाहिए कि इस कुंजी का खुलासा संसाधन तक सीधी पहुंच प्रदान नहीं करता है, कुंजी केवल पासवर्ड के अतिरिक्त है।
मेरा मानना ​​है कि एचटीएमएल 5 अनुप्रयोगों को विकसित करते समय, स्थानीय भंडारण में निजी डेटा संग्रहीत करते समय किसी को अधिक सावधान रहना चाहिए।