खाता हाइजैकिंग (अद्यतन) को रोकने के लिए एक उपाय के रूप में ब्राउज़र सेटिंग्स और उपयोगकर्ता ओएस पर नज़र रखना

प्रिय खाबरोवित्स! कल के लेख का संस्करण, मुझे लगा कि यह मसौदे में था। और इसलिए इसे अधूरा दिखाया गया था। मैं एक पूर्ण, पूर्ण संस्करण प्रदान करता हूं



कई ऑनलाइन सेवाएं विभिन्न तरीकों से अपने उपयोगकर्ताओं के खातों को सुरक्षित करना चाहती हैं। कोई व्यक्ति IP पते को ट्रैक कर रहा है, जब यह बदल जाता है तो कुकीज़ को रीसेट करना (यह Seclaba पर होता है; VKontakte बस मोबाइल फोन के अंतिम 4 अंकों की पुष्टि करने के लिए कहता है)। कोई सीमित समय के लिए रहता है, जिससे उपयोगकर्ता को बार-बार लॉग इन करने के लिए मजबूर होना पड़ता है। इन विधियों के अपने फायदे और नुकसान हैं। लेकिन जो भी तंत्र का उपयोग किया जाता है, वह ब्राउज़र सेटिंग्स को ट्रैक करता है और उपयोगकर्ता का ओएस खातों की चोरी के खिलाफ अतिरिक्त सुरक्षा प्रदान करेगा ( अतिरिक्त सुरक्षा के रूप में, लेकिन मुख्य रूप से इसका कोई मतलब नहीं है )। और यह बहुत अजीब है कि अब तक मैं इस सुरक्षा तंत्र का समर्थन करने वाली एक भी सेवा को पूरा नहीं कर पाया हूं।

अपने आप से पूछें: अगली बार जब आप किसी संसाधन पर जाते हैं, तो उपयोगकर्ता की कुकीज़ अंतिम यात्रा के समान होगी, लेकिन उपयोग किए गए ब्राउज़र और ओएस का डेटा (जिसे उपयोगकर्ता-एजेंट से निकाला जा सकता है) बदल जाएगा? केवल 3 मामलों में:

1. उपयोगकर्ता विभिन्न कंप्यूटरों से लॉग इन करता है (उदाहरण के लिए, घर पर और काम पर) और किसी कारण से विभिन्न ब्राउज़रों का उपयोग करता है।
2. उपयोगकर्ता विभिन्न ब्राउज़रों में 1 कंप्यूटर से लॉग इन करता है (शायद केवल वेब डेवलपर्स और विशेष रूप से उत्सुक लोग इससे पीड़ित होंगे)। या जो लोग अस्पष्ट baubles (vkSaver प्रेमियों के लिए हैलो) के साथ OS को गड़बड़ करते हैं
3. उपयोगकर्ता सत्र से चोरी हो गया था।

यह संपूर्ण उपयोगकर्ता-एजेंट पैरामीटर का पता लगाने के लिए प्रस्तावित नहीं है, लेकिन ब्राउज़र प्रकार (IE, FF, Chrome, Safari, आदि) और ऑपरेटिंग सिस्टम (Windows, Linux, MacOS)। यह उपयोगकर्ता के कंप्यूटर पर सॉफ़्टवेयर को अपडेट करते समय झूठी सकारात्मकता की समस्या को हल करेगा।

हां, यूजर-एजेंट को प्रतिस्थापित किया जा सकता है। लेकिन:
1. अक्सर, सत्र के अपहर्ताओं में से कोई भी इसके साथ नहीं होता है।
2. उपयोगकर्ता-एजेंट स्पूफिंग को परिभाषित किया जा सकता है (नीचे पढ़ें)।

मौजूदा लोगों के अलावा प्रस्तावित सुरक्षा पद्धति पर विचार करें। अपहरण के क्लासिक मामलों के साथ संयोजन के रूप में।

ट्रैक आईपी पता परिवर्तन

यह एक अच्छा अभ्यास है। लेकिन यह मदद नहीं करता है यदि उपयोगकर्ता के पास वायरलेस नेटवर्क के माध्यम से अपने खाते में प्रवेश करने के लिए पर्याप्त दिमाग नहीं है, जहां उन्होंने अपने सत्र को सुना। या वह एक हमलावर से एक आदमी के बीच के हमले का शिकार था जो प्रदाता के रूप में एक ही सबनेट पर है (हालांकि हंसी नहीं है, हालांकि वह अभी भी दाढ़ी वाला है लेकिन अभी भी सामना करता है)। सबसे अधिक संभावना है, हमलावर उपयोगकर्ता-एजेंट के परिवर्तन के साथ स्नान नहीं करेगा। यही हम गिनते हैं। नतीजतन, अतिरिक्त सुरक्षा काम करती है।

एक सीमित समय के लिए सत्र रहता है

खैर, न केवल यह उपयोगकर्ता के लिए असुविधाजनक है (अक्सर लॉग इन)। तो यह भी स्थिति पिछले एक के समान है। और फिर से: उपयोगकर्ता-एजेंट को बदलना एक सत्र को हाइजैक करने के प्रयास का एक स्पष्ट संकेत हो सकता है।

लेकिन उन लोगों के बारे में क्या जो अभी भी घर पर और काम पर विभिन्न ब्राउज़रों का उपयोग करते हैं?

वैकल्पिक रूप से, उपयोगकर्ता-एजेंट के आधार पर चर कुकीज़ में से एक को उत्पन्न किया जा सकता है। क्योंकि हमलावर अक्सर सर्वर के सभी कुकीज़ को अंधाधुंध रूप से कॉपी करते हैं, और फिर वे खुद को दूसरे उपयोगकर्ता-एजेंट से जुड़े चर की नकल करके झुलस जाते हैं।

"ठीक है, यूजर-एजेंट की जगह लेना मुश्किल नहीं होगा, केवल शकोलोटा अपर्याप्त रूप से अनुभवी पटाखे इसका सामना नहीं करेंगे।"

- उनके आगंतुकों में से कोई यहां कहेगा।



वास्तव में, जिसे भी इसकी आवश्यकता होगी, वह स्थानापन्न कर सकेगा। लेकिन जावास्क्रिप्ट के माध्यम से ब्राउज़र को निर्धारित करने का एक दिलचस्प तरीका बचाव के लिए आता है। विधि बहुत प्रभावी है, मैंने इसे स्वयं जांचा।


यद्यपि, इस विधि को दरकिनार किया जा सकता है: चूंकि जावास्क्रिप्ट को ब्राउज़र में, उपयोगकर्ता (संभावित हमलावर) की ओर से निष्पादित किया जाता है, फिर हम इसके निष्पादन को नियंत्रित कर सकते हैं और इस तरह चेक ( फायरबग को एक विकल्प के रूप में) को बायपास कर सकते हैं। लेकिन आपको यह स्पष्ट रूप से जानने की आवश्यकता है। इसके अलावा, ओफ़्फ़ुसेटेड स्क्रिप्ट कार्य को बहुत जटिल कर देगी।