Shoulder surfing (computer security)
কম্পিউটার নিরাপত্তায়, শোল্ডার সার্ফিং হল এক ধরনের সামাজিক প্রকৌশল কৌশল যা ব্যক্তিগত সনাক্তকরণ নম্বর (পিন), পাসওয়ার্ড এবং অন্যান্য গোপনীয় তথ্যের মতো তথ্য প্রাপ্তির জন্য ভুক্তভোগীর কাঁধে নজর রেখে ব্যবহার করা হয়। অননুমোদিত ব্যবহারকারীরা কোনও ডিভাইসে ইনপুট করা কীস্ট্রোকগুলি দেখেন বা সংবেদনশীল তথ্য শোনাচ্ছেন, যা ইভস্ড্রপিং নামেও পরিচিত। পদ্ধতি এবং ইতিহাস এই আক্রমণটি হয় কাছাকাছি পরিসরে (সরাসরি ভুক্তভোগীর কাঁধের দিকে তাকিয়ে) বা দীর্ঘ পরিসর থেকে করা যেতে পারে, উদাহরণস্বরূপ, একজোড়া বাইনোকুলার বা অনুরূপ যন্ত্রপাতি। এই পদ্ধতিটি সম্পাদন করার জন্য আক্রমণকারীদের কোনও প্রযুক্তিগত দক্ষতার প্রয়োজন হয় না এবং ভুক্তভোগীদের আশেপাশের গভীর পর্যবেক্ষণ এবং টাইপিং প্যাটার্ন যথেষ্ট। 1980-এর দশকের গোড়ার দিকে, কলিং কার্ডের সংখ্যা চুরি করতে এবং দীর্ঘ দূরত্বের কল করতে বা মূল ক্রেতার দেওয়া দামের চেয়ে সস্তা দামে বাজারে বিক্রি করার জন্য পাবলিক পে ফোনের কাছে শোল্ডার সার্ফিং অনুশীলন করা হত। যাইহোক, লুকানো ক্যামেরা এবং গোপন মাইক্রোফোনের মতো আধুনিক প্রযুক্তির আবির্ভাব কাঁধে সার্ফিংকে সহজ করে তোলে এবং আক্রমণকারীকে দীর্ঘ পরিসরের কাঁধে সার্ফিং করার আরও সুযোগ দেয়। একটি গোপন ক্যামেরা আক্রমণকারীকে পুরো লগইন প্রক্রিয়া এবং ভুক্তভোগীর অন্যান্য গোপনীয় তথ্য ক্যাপচার করার অনুমতি দেয়, যা শেষ পর্যন্ত আর্থিক ক্ষতি বা পরিচয় চুরির দিকে নিয়ে যেতে পারে। জনাকীর্ণ জায়গায় শোল্ডার সার্ফিং হওয়ার সম্ভাবনা বেশি কারণ ভুক্তভোগীর দৃষ্টি আকর্ষণ না করেই তথ্য পর্যবেক্ষণ করা সহজ। দুই ধরনের কাঁধ-সার্ফিং আক্রমণ রয়েছেঃ সরাসরি পর্যবেক্ষণ আক্রমণ, যেখানে প্রমাণীকরণের তথ্য এমন কোনও ব্যক্তির দ্বারা প্রাপ্ত হয় যিনি সরাসরি প্রমাণীকরণের ক্রম পর্যবেক্ষণ করছেন এবং রেকর্ডিং আক্রমণ, যেখানে পরবর্তী বিশ্লেষণের জন্য প্রমাণীকরণের ক্রম রেকর্ড করে প্রমাণীকরণের তথ্য প্রাপ্ত হয়। পাসওয়ার্ড বা পিন প্রবেশের হুমকি ছাড়াও, হ্যান্ডহেল্ড মোবাইল ডিভাইসে ব্যক্তিগত বিষয়বস্তু উন্মোচন করার জন্য দৈনন্দিন পরিস্থিতিতে কাঁধে সার্ফিংও ঘটে; কাঁধে সার্ফিং ভিজ্যুয়াল বিষয়বস্তু ব্যবহারকারীর সংবেদনশীল তথ্য এবং এমনকি তৃতীয় পক্ষের সম্পর্কে ব্যক্তিগত তথ্য ফাঁস করতে দেখা গেছে। পাল্টা ব্যবস্থা নজর-ভিত্তিক পাসওয়ার্ড এন্ট্রি নজর-ভিত্তিক পাসওয়ার্ড এন্ট্রির প্রাথমিক পদ্ধতিটি সাধারণ পাসওয়ার্ড এন্ট্রির অনুরূপ, তবে একটি কী টাইপ করার বা স্ক্রিন স্পর্শ করার পরিবর্তে, ব্যবহারকারী প্রতিটি পছন্দসই অক্ষর বা ট্রিগার অঞ্চল ক্রমানুসারে দেখেন (চোখের টাইপিংয়ের মতো)। অতএব, এই পদ্ধতিটি অন-স্ক্রিন কীবোর্ড ব্যবহার করে এবং জরিপ অনুযায়ী গ্রাফিকাল পাসওয়ার্ড স্কিম ব্যবহার করে চরিত্র-ভিত্তিক পাসওয়ার্ড উভয়ের সাথেই ব্যবহার করা যেতে পারে। ব্যবহারযোগ্যতা এবং নিরাপত্তা নিশ্চিত করার জন্য বিভিন্ন বিষয় বিবেচনা করা গুরুত্বপূর্ণ। 1900-এর দশকের গোড়ার দিকে এর উৎপত্তির পর থেকে আই ট্র্যাকিং প্রযুক্তি উল্লেখযোগ্যভাবে অগ্রগতি করেছে। অত্যাধুনিক আই ট্র্যাকারগুলি 1 ডিগ্রি ভিজ্যুয়াল কোণের নির্ভুলতার সাথে অ-এনকম্বারিং, দূরবর্তী ভিডিও-ভিত্তিক আই ট্র্যাকিং সরবরাহ করে। আই ট্র্যাকার হল কম্পিউটার ভিশনের একটি বিশেষ প্রয়োগ। ব্যবহারকারীর চোখ পর্যবেক্ষণের জন্য একটি ক্যামেরা ব্যবহার করা হয়। এক বা একাধিক ইনফ্রারেড আলোর উৎস ব্যবহারকারীর মুখ আলোকিত করে এবং একটি চকচকে-কর্নিয়ায় আলোর উৎসের প্রতিফলন তৈরি করে। ব্যবহারকারী যখন বিভিন্ন দিকে তাকায় তখন পুতুলটি সরে যায় তবে কর্নিয়ার উপর চকচকে অবস্থান স্থির থাকে। দৃষ্টি ভেক্টর অনুমান করতে পুতুল এবং চকচকে কেন্দ্রের আপেক্ষিক গতি এবং অবস্থান ব্যবহার করা হয়, যা তারপর পর্দার সমতলে স্থানাঙ্কে ম্যাপ করা হয়। গবেষকরা দৃষ্টি-ভিত্তিক পাসওয়ার্ড এন্ট্রির জন্য সামনের দিকে থাকা ক্যামেরা ব্যবহার করে মোবাইল ডিভাইসে কাঁধে সার্ফিং প্রতিরোধ করার উপায়গুলি প্রস্তাব করেছিলেন। উদাহরণস্বরূপ, GazeTouchPin এবং GazeTouchPass বাম/ডানদিকে চোখের নড়াচড়ার আকারে দৃষ্টির ইনপুটকে একত্রিত করে এবং অন-স্ক্রিন বোতামগুলিতে ট্যাপ করে ইনপুট স্পর্শ করে। এই পদ্ধতিগুলি ঐতিহ্যবাহী স্পর্শ-ভিত্তিক ইনপুট (যেমন, পিন এবং লক প্যাটার্ন)-এর চেয়ে বেশি নিরাপদ কারণ এগুলির জন্য (1) ব্যবহারকারীর চোখ পর্যবেক্ষণ, (2) ব্যবহারকারীর স্পর্শ ইনপুট পর্যবেক্ষণ এবং (3) পর্যবেক্ষণগুলি একত্রিত করার জন্য কাঁধ সার্ফারের প্রয়োজন হয়। অ্যালবাম মেকানিজম পেইন্টিং অ্যালবাম মেকানিজম একটি অ্যান্টি-শোল্ডার সার্ফিং মেকানিজম, যার রিকোল এবং রিকগনিশন গ্রাফিকাল কৌশল উভয়ের বৈশিষ্ট্য রয়েছে। বর্ণানুক্রমিক অক্ষর সমন্বিত একটি নিয়মিত পিন বা পাসওয়ার্ড ব্যবহার করার পরিবর্তে, ব্যবহারকারীরা সিস্টেমটি আনলক করতে রঙ বা ছবির একটি ক্রম নির্বাচন করে। সাইন-ইন প্রক্রিয়া চলাকালীন নির্বাচিত রঙ এবং ছবির ক্রমটি নিবন্ধনের অর্ডারের সাথে মেলাতে হবে। এই অ্যান্টি-শোল্ডার সার্ফিং নিরাপত্তা পদ্ধতিটি ব্যবহারকারীদের পছন্দের প্রতি অনুরাগের সমীক্ষার ফলাফলের উপর ভিত্তি করে এবং শিশুদের ছবি আঁকার উপায় পর্যবেক্ষণের মাধ্যমে তৈরি করা হয়েছিল। ব্যবহারকারীর পছন্দগুলির সমীক্ষা থেকে ফলস্বরূপ প্রক্রিয়াটি তৈরি করা হয়েছিল এবং ফলাফলটি সোয়াইপ স্কিম, কালার স্কিম এবং স্কট স্কিম নামে তিনটি ইনপুট স্কিম তৈরি করেছিল, যা পাসওয়ার্ড তৈরির পদ্ধতি। প্রতিটি ইনপুট স্কিম অভিন্ন নয় এবং এটি ব্যবহারকারীর উপর নির্ভর করে যে তারা যে ইনপুট স্কিমটি পছন্দ করে তা বেছে নেবে। সোয়াইপ স্কিম মাইক্রোসফ্ট উইন্ডোজ 8-এ প্রয়োগ করা হয়েছে এবং পরবর্তী সংস্করণগুলিতে এটি পিকচার পাসওয়ার্ড নামে পরিচিত; তবে এটি ব্যবহারকারীকে যথেষ্ট নিরাপদ অঙ্গভঙ্গি ব্যবহার করার জন্য সমালোচনার সৃষ্টি করেছে। গোপন ট্যাপ পদ্ধতি কাঁধে সার্ফিংয়ের কম ঝুঁকি সহ সংবেদনশীল তথ্য অ্যাক্সেসের জন্য, গোপন ট্যাপ পদ্ধতি এমন একটি কৌশল যা প্রবেশের সময় প্রমাণীকরণ তথ্য প্রকাশ করে না, এমনকি যদি অন্য ব্যক্তিরা ইনপুট প্রক্রিয়াটি দেখার চেষ্টা করে। উপরন্তু, ক্যামেরা রেকর্ডিংয়ের ঝুঁকিও একটি হুমকি তৈরি করে। অতএব, প্রমাণীকরণ প্রক্রিয়াটিকে আরও জটিল করে তোলা প্রয়োজন যাতে প্রমাণীকরণ তথ্যকে কোনও স্মার্টফোন হতে বাধা দেওয়া যায়, যেমন ফিঙ্গারপ্রিন্ট স্ক্যানিং বা মুখের স্বীকৃতি, যা কাঁধ সার্ফার দ্বারা প্রতিলিপি করা যায় না। গোপন ট্যাপ প্রমাণীকরণ পদ্ধতি আইকন বা অন্য কোনও ধরনের সিস্টেম ব্যবহার করতে পারে। একটি গোপন ট্যাপ সিস্টেমের লক্ষ্যগুলি হ 'লঃ গোপন পর্যবেক্ষণ প্রতিরোধঃ এমন একটি স্তরে প্রতিরোধের শক্তি বজায় রাখুন যা প্রমাণীকরণের তথ্য অন্যান্য ব্যক্তিদের কাছে প্রকাশ করতে বাধা দেয়, এমনকি প্রমাণীকরণ অপারেশনটি অসংখ্যবার করা হলেও। আক্রমণ প্রতিরোধের রেকর্ডিংঃ এমন একটি স্তরে প্রতিরোধের শক্তি বজায় রাখুন যা প্রমাণীকরণ অপারেশন সম্পূর্ণরূপে রেকর্ড করা হলেও অন্যান্য ব্যক্তিদের দ্বারা প্রমাণীকরণ তথ্য বিশ্লেষণ করা থেকে বিরত রাখে। ব্রুট-ফোর্স আক্রমণ প্রতিরোধঃ এমন একটি স্তরে প্রতিরোধের শক্তি বজায় রাখুন যা চার অঙ্কের পিনে ব্রুট-ফোর্স আক্রমণের চেয়ে প্রমাণীকরণ প্রক্রিয়াটিকে আরও সহজে ভেঙে যাওয়া থেকে বিরত করে। এই নীতিটি আইএসও 9564-1-এ বর্ণিত মান অনুসরণ করে। ব্যবহারযোগ্যতাঃ ব্যবহারযোগ্যতার এমন একটি স্তর বজায় রাখুন যা অপারেটরদের সহজেই প্রমাণীকরণ অপারেশন সম্পাদনের অনুমতি দেয়। বর্ণানুক্রমিক এবং গ্রাফিকাল পাসওয়ার্ডের মধ্যে ঝুঁকির তুলনা বর্ণানুক্রমিক পাসওয়ার্ডের তুলনায় গ্রাফিকাল পাসওয়ার্ডের প্রাথমিক সুবিধা হল স্মৃতিশক্তির উন্নতি। যাইহোক, এই সুবিধার সম্ভাব্য ক্ষতি হল কাঁধে-সার্ফিংয়ের ঝুঁকি বৃদ্ধি। গ্রাফিকাল পাসওয়ার্ড যা গ্রাফিক্স বা ছবি ব্যবহার করে যেমন পাসফেস, জিমিনি, ভিআইপি, পাসপয়েন্ট বা গ্রাফিক্স এবং অডিওর সংমিশ্রণ যেমন এভিএপি সম্ভবত এই বর্ধিত ঝুঁকির বিষয় যদি না বাস্তবায়নে কোনওভাবে প্রশমিত হয়। ফলাফলগুলি এই সত্যটি নির্দেশ করে যে নির্দিষ্ট সতর্কতা অবলম্বন না করা হলে বর্ণানুক্রমিক এবং গ্রাফিকাল পাসওয়ার্ড-ভিত্তিক প্রমাণীকরণ প্রক্রিয়া উভয়েরই কাঁধে-সার্ফিংয়ের জন্য উল্লেখযোগ্য দুর্বলতা থাকতে পারে। নন-ডিকশনারি পাসওয়ার্ডগুলি সবচেয়ে নিরাপদ ধরনের পাসওয়ার্ড-ভিত্তিক প্রমাণীকরণ বলে সাধারণ বিশ্বাস থাকা সত্ত্বেও, আমাদের ফলাফলগুলি দেখায় যে এটি আসলে কাঁধে-সার্ফিংয়ের জন্য সবচেয়ে দুর্বল কনফিগারেশন। পিন এন্ট্রি ব্যক্তিগত সনাক্তকরণ নম্বর (বা সংক্ষেপে পিন) একটি স্বয়ংক্রিয় টেলার মেশিন থেকে অর্থ উত্তোলন বা জমা করার সময়, একটি ফোন, একটি দরজা, একটি ল্যাপটপ বা একটি পিডিএ আনলক করার সময় বিভিন্ন পরিস্থিতিতে নিজেকে প্রমাণীকরণ করতে ব্যবহৃত হয়। যদিও প্রমাণীকরণের এই পদ্ধতিটি কিছু পরিস্থিতিতে একটি দুই ধাপের যাচাইকরণ প্রক্রিয়া, এটি কাঁধে সার্ফিং আক্রমণের জন্য ঝুঁকিপূর্ণ। একজন আক্রমণকারী সরাসরি ভুক্তভোগীর কাঁধের দিকে তাকিয়ে বা পুরো লগইন প্রক্রিয়াটি রেকর্ড করে পিন পেতে পারে। কাচ, চকচকে পর্দা সহ মোবাইল ফোনের মতো আইটেমগুলিতে, ব্যবহারকারী একটি পিন প্রকাশ করে স্ক্রিনে ধোঁয়াশা রেখে যেতে পারে। কিছু অত্যন্ত উন্নত আক্রমণগুলি প্রবেশ করা পিনের তাপীয় স্বাক্ষর দেখতে তাপীয় ক্যামেরা ব্যবহার করে। প্রমাণীকরণকারী ব্যক্তি গোপনীয়তায় প্রবেশ করার পরে তাপীয় আক্রমণগুলি চাবিগুলিতে অবশিষ্ট তাপের আঙুলের ছাপের সুবিধা নেয়। সুতরাং, প্রমাণীকরণ প্রক্রিয়াটিকে নিরাপদ করতে বিভিন্ন শোল্ডার সার্ফিং প্রতিরোধী পিন এন্ট্রি পদ্ধতি ব্যবহার করা হয়। উদাহরণগুলির মধ্যে অন্তর্নির্মিত গোপনীয়তা ঢাল সহ পিন প্যাড অন্তর্ভুক্ত রয়েছে। এটিএম এবং কিছু প্রবেশ ব্যবস্থায় ব্যবহৃত আরেকটি উদাহরণ হল ধাতব পিন প্যাড ব্যবহার, যা তাদের উপাদান, সুরক্ষা, প্রতিফলনশীলতা বা অভ্যন্তরীণ উত্তাপের কারণে তাপীয় ক্যামেরার আক্রমণকে প্রায় অসম্ভব করে তোলে। উষ্ণ বস্তু বা হাত দিয়ে মুছে ফেলার মাধ্যমে তাপ স্থানান্তর পরীক্ষাগুলিতে তাপীয় আক্রমণের বিরুদ্ধে লড়াই করার জন্য কার্যকর বলে মনে করা হয়। কাউন্টারমেজার টেস্টিং জ্ঞানীয় ট্র্যাপডোর গেমের সাথে তিনটি গ্রুপ জড়িত রয়েছেঃ একটি মেশিন ভেরিফায়ার, একটি মানব প্রবাদ এবং একটি মানব পর্যবেক্ষক। প্রতিটি গোষ্ঠীর লক্ষ্য হল একজন মানব প্রবাদবাক্যকে মেশিন ভেরিফায়ারের দ্বারা উত্থাপিত প্রশ্নের উত্তর দিয়ে পিন ইনপুট করতে হবে যখন একজন পর্যবেক্ষক পিনটি কাঁধে কাঁধ মিলিয়ে সার্ফ করার চেষ্টা করেন। যেহেতু পাল্টা পদক্ষেপগুলি নকশা দ্বারা সহজেই দখল করা কঠিন, তাই পর্যবেক্ষকের কাছে রেকর্ডিং ডিভাইস না থাকলে পুরো লগইন প্রক্রিয়াটি মনে রাখা পর্যবেক্ষকের পক্ষে সহজ নয়। একজন ব্যবহারকারী কাঁধে সার্ফিংয়ের সমস্যাগুলি হ্রাস করার জন্য একটি ভার্চুয়াল রিয়েলিটি হেডসেট পরতে পারেন, তবে অঙ্গভঙ্গি নিয়ন্ত্রণ, বোতাম টিপে রাখা এবং ভয়েস কমান্ডগুলি এখনও আক্রমণ করা যেতে পারে। আরও দেখুন সামাজিক প্রকৌশল (নিরাপত্তা) তথ্য ডাইভিং ক্রেডিট কার্ড জালিয়াতি ফিশিং রেফারেন্স হ্যাকিং (কম্পিউটার নিরাপত্তা) হ্যাকার সংস্কৃতি কম্পিউটিং পরিভাষা