Shoulder surfing (computer security)
કોમ્પ્યુટર સુરક્ષામાં, શોલ્ડર સર્ફિંગ એ સામાજિક ઇજનેરી તકનીકનો એક પ્રકાર છે જેનો ઉપયોગ પીડિતના ખભા પર નજર રાખીને વ્યક્તિગત ઓળખ નંબર (પિન), પાસવર્ડ અને અન્ય ગુપ્ત માહિતી જેવી માહિતી મેળવવા માટે થાય છે. અનધિકૃત વપરાશકર્તાઓ ઉપકરણ પર દાખલ કરેલા કીસ્ટ્રોક જુએ છે અથવા બોલાતી સંવેદનશીલ માહિતી સાંભળે છે, જેને ઇવ્ઝડ્રોપિંગ તરીકે પણ ઓળખવામાં આવે છે. પદ્ધતિઓ અને ઇતિહાસ આ હુમલો કાં તો નજીકથી (પીડિતના ખભા પર સીધી નજર રાખીને) અથવા લાંબા અંતરથી કરી શકાય છે, ઉદાહરણ તરીકે દૂરબીનની જોડી અથવા સમાન હાર્ડવેર. આ પદ્ધતિ કરવા માટે હુમલાખોરોને કોઈ તકનીકી કુશળતાની જરૂર નથી, અને પીડિતોની આસપાસના વાતાવરણ અને ટાઇપિંગ પેટર્નનું ઊંડું નિરીક્ષણ પૂરતું છે. 1980ના દાયકાની શરૂઆતમાં, કોલિંગ કાર્ડના અંકોની ચોરી કરવા અને લાંબા અંતરના કૉલ્સ કરવા અથવા મૂળ ખરીદનાર દ્વારા ચૂકવવામાં આવેલા ભાવ કરતાં સસ્તા ભાવે બજારમાં વેચવા માટે જાહેર પગારવાળા ફોનની નજીક શોલ્ડર સર્ફિંગની પ્રથા હતી. જો કે, છુપાયેલા કેમેરા અને ગુપ્ત માઇક્રોફોન જેવી આધુનિક તકનીકોના આગમનથી શોલ્ડર સર્ફિંગ સરળ બને છે અને હુમલાખોરને લાંબા અંતરની શોલ્ડર સર્ફિંગ કરવા માટે વધુ અવકાશ મળે છે. છુપાયેલો કેમેરા હુમલાખોરને પીડિતની સંપૂર્ણ લૉગિન પ્રક્રિયા અને અન્ય ગુપ્ત માહિતી મેળવવાની મંજૂરી આપે છે, જે આખરે નાણાકીય નુકસાન અથવા ઓળખની ચોરી તરફ દોરી શકે છે. શોલ્ડર સર્ફિંગ ગીચ સ્થળોએ થવાની સંભાવના વધુ હોય છે કારણ કે પીડિતનું ધ્યાન લીધા વિના માહિતીનું નિરીક્ષણ કરવું સરળ છે. શોલ્ડર-સર્ફિંગ એટેકના બે પ્રકાર છેઃ ડાયરેક્ટ ઓબ્ઝર્વેશન એટેક, જેમાં પ્રમાણીકરણની માહિતી એવી વ્યક્તિ દ્વારા મેળવવામાં આવે છે જે સીધા પ્રમાણીકરણ ક્રમની દેખરેખ રાખે છે, અને રેકોર્ડિંગ એટેક, જેમાં ઉપકરણને ખોલવા માટે પછીના વિશ્લેષણ માટે પ્રમાણીકરણ ક્રમને રેકોર્ડ કરીને પ્રમાણીકરણ માહિતી મેળવવામાં આવે છે. પાસવર્ડ અથવા પિન એન્ટ્રીની ધમકીઓ ઉપરાંત, હેન્ડહેલ્ડ મોબાઇલ ઉપકરણો પર ખાનગી સામગ્રીને ઉઘાડું પાડવા માટે રોજિંદી પરિસ્થિતિઓમાં શોલ્ડર સર્ફિંગ પણ થાય છે; શોલ્ડર સર્ફિંગ વિઝ્યુઅલ સામગ્રી વપરાશકર્તાની સંવેદનશીલ માહિતી અને તૃતીય-પક્ષો વિશેની ખાનગી માહિતી પણ લીક કરતી હોવાનું જાણવા મળ્યું હતું. કાઉન્ટરમેઝર્સ ગેઝ-આધારિત પાસવર્ડ એન્ટ્રી ગેઝ-આધારિત પાસવર્ડ એન્ટ્રી માટેની મૂળભૂત પ્રક્રિયા સામાન્ય પાસવર્ડ એન્ટ્રી જેવી જ છે, સિવાય કે કી લખવા અથવા સ્ક્રીનને સ્પર્શ કરવાને બદલે, વપરાશકર્તા દરેક ઇચ્છિત અક્ષર અથવા ટ્રિગર પ્રદેશને અનુક્રમમાં જુએ છે (આંખ ટાઇપિંગ જેવી જ). તેથી, આ અભિગમનો ઉપયોગ ઓન-સ્ક્રીન કીબોર્ડનો ઉપયોગ કરીને અને સર્વેક્ષણમાં દર્શાવ્યા મુજબ ગ્રાફિકલ પાસવર્ડ યોજનાઓ સાથે અક્ષર-આધારિત પાસવર્ડ બંને સાથે થઈ શકે છે. ઉપયોગીતા અને સુરક્ષાની ખાતરી કરવા માટે વિવિધ વિચારણાઓ મહત્વપૂર્ણ છે. 1900ના દાયકાની શરૂઆતમાં તેની ઉત્પત્તિ થઈ ત્યારથી આઈ ટ્રેકિંગ ટેકનોલોજીએ નોંધપાત્ર પ્રગતિ કરી છે. અત્યાધુનિક આઈ ટ્રેકર્સ 1 ડિગ્રી વિઝ્યુઅલ એંગલની ચોકસાઈ સાથે નોન-એન્કેમ્બરિંગ, રિમોટ વિડિયો-આધારિત આઈ ટ્રેકિંગ પ્રદાન કરે છે. આઈ ટ્રેકર્સ એ કોમ્પ્યુટર વિઝનની એક વિશિષ્ટ એપ્લિકેશન છે. કેમેરાનો ઉપયોગ વપરાશકર્તાની આંખો પર નજર રાખવા માટે થાય છે. એક અથવા વધુ ઇન્ફ્રારેડ પ્રકાશ સ્રોતો વપરાશકર્તાના ચહેરાને પ્રકાશિત કરે છે અને ચમક પેદા કરે છે-કોર્નિયા પરના પ્રકાશ સ્રોતનું પ્રતિબિંબ. જેમ જેમ વપરાશકર્તા જુદી જુદી દિશામાં જુએ છે તેમ તેમ વિદ્યાર્થીની આગળ વધે છે પરંતુ કોર્નિયા પરની ચમકનું સ્થાન નિશ્ચિત રહે છે. વિદ્યાર્થીની અને ઝગમગાટના કેન્દ્રની સંબંધિત ગતિ અને સ્થિતિનો ઉપયોગ નજર વેક્ટરનો અંદાજ કાઢવા માટે થાય છે, જે પછી સ્ક્રીન પ્લેન પર કોઓર્ડિનેટ્સમાં મેપ કરવામાં આવે છે. સંશોધકોએ નજર-આધારિત પાસવર્ડ એન્ટ્રી માટે ફ્રન્ટ-ફેસિંગ કેમેરાનો લાભ લઈને મોબાઇલ ઉપકરણો પર શોલ્ડર સર્ફિંગનો સામનો કરવાની રીતો પ્રસ્તાવિત કરી. ઉદાહરણ તરીકે, ગેઝટચપિન અને ગેઝટચપાસ ડાબી/જમણી બાજુએ આંખની હિલચાલના સ્વરૂપમાં ગેઝ ઇનપુટને જોડે છે, અને સ્ક્રીન પરના બટનોને ટેપ કરીને ટચ ઇનપુટ કરે છે. આ પદ્ધતિઓ પરંપરાગત ટચ-આધારિત ઇનપુટ (દા. ત., પિન અને લોક પેટર્ન) કરતાં વધુ સુરક્ષિત છે કારણ કે તેમને (1) વપરાશકર્તાની આંખોનું નિરીક્ષણ કરવા, (2) વપરાશકર્તાના ટચ ઇનપુટનું નિરીક્ષણ કરવા અને (3) અવલોકનોને જોડવા માટે શોલ્ડર સર્ફર્સની જરૂર પડે છે. પેઇન્ટિંગ આલ્બમ મિકેનિઝમ પેઇન્ટિંગ આલ્બમ મિકેનિઝમ એ એન્ટી-શોલ્ડર સર્ફિંગ મિકેનિઝમ છે, જેમાં રિકોલ અને રેકગ્નિશન ગ્રાફિકલ તકનીકો બંનેની લાક્ષણિકતાઓ છે. આલ્ફાન્યૂમેરિક અક્ષરોનો સમાવેશ કરતા નિયમિત પિન અથવા પાસવર્ડનો ઉપયોગ કરવાને બદલે, વપરાશકર્તાઓ સિસ્ટમને ખોલવા માટે રંગો અથવા ચિત્રોનો ક્રમ પસંદ કરે છે. સાઇન-ઇન પ્રક્રિયા દરમિયાન પસંદ કરેલા રંગો અને ચિત્રોનો ક્રમ નોંધણીના ઓર્ડર સાથે મેળ ખાતો હોવો જોઈએ. આ એન્ટી-શોલ્ડર સર્ફિંગ સુરક્ષા પદ્ધતિ વપરાશકર્તાઓની પસંદગીઓ પ્રત્યેની આત્મીયતાના સર્વેક્ષણ પરિણામોના આધારે અને બાળકો જે રીતે ચિત્રો બનાવે છે તેના નિરીક્ષણ દ્વારા વિકસાવવામાં આવી હતી. પરિણામી પદ્ધતિ વપરાશકર્તાની પસંદગીઓના સર્વેક્ષણમાંથી વિકસાવવામાં આવી હતી, અને પરિણામથી સ્વાઇપ સ્કીમ, કલર સ્કીમ અને સ્કોટ સ્કીમ નામની ત્રણ ઇનપુટ યોજનાઓ બનાવવામાં આવી હતી, જે પાસવર્ડ બનાવવાની પદ્ધતિઓ છે. દરેક ઇનપુટ યોજના સમાન નથી, અને તે વપરાશકર્તા પર નિર્ભર કરે છે કે તેઓ જે ઇનપુટ યોજના પસંદ કરે છે. સ્વાઇપ યોજના માઇક્રોસોફ્ટ વિન્ડોઝ 8 માં લાગુ કરવામાં આવી છે, અને પછીની આવૃત્તિઓમાં, તે પિક્ચર પાસવર્ડ તરીકે ઓળખાય છે; જો કે, વપરાશકર્તાને પર્યાપ્ત સુરક્ષિત હાવભાવનો ઉપયોગ કરવાની જરૂરિયાત માટે તેની ટીકા થઈ છે. ગુપ્ત ટેપ પદ્ધતિ ખભા પર સર્ફિંગના ઓછા જોખમ સાથે સંવેદનશીલ માહિતીની પહોંચ માટે, ગુપ્ત ટેપ પદ્ધતિ એ એક એવી તકનીક છે જે પ્રવેશ દરમિયાન પ્રમાણીકરણ માહિતીને છતી કરતી નથી, પછી ભલે અન્ય વ્યક્તિઓ ઇનપુટ પ્રક્રિયા જોવાનો પ્રયાસ કરે. વધુમાં, કેમેરા રેકોર્ડિંગનું જોખમ પણ જોખમ ઊભું કરે છે. તેથી, પ્રમાણીકરણની પ્રક્રિયાને વધુ જટિલ બનાવવી જરૂરી છે જેથી પ્રમાણીકરણની માહિતીને કોઈપણ સ્માર્ટફોનથી અટકાવી શકાય, જેમ કે ફિંગરપ્રિન્ટ સ્કેનીંગ અથવા ચહેરાની ઓળખ, જે ખભા સર્ફર દ્વારા નકલ કરી શકાતી નથી. ગુપ્ત ટેપ પ્રમાણીકરણ પદ્ધતિ ચિહ્નો અથવા સિસ્ટમના અન્ય કોઈ સ્વરૂપનો ઉપયોગ કરી શકે છે. ગુપ્ત ટેપ પ્રણાલીના લક્ષ્યાંકો છેઃ ગુપ્ત નિરીક્ષણ પ્રતિકારઃ એવા સ્તરે પ્રતિકારની શક્તિ જાળવી રાખો કે જે પ્રમાણીકરણની માહિતીને અન્ય વ્યક્તિઓ સમક્ષ જાહેર થવાથી અટકાવે, પછી ભલે પ્રમાણીકરણ કામગીરી ઘણી વખત કરવામાં આવે. રેકોર્ડિંગ એટેક રેઝિસ્ટન્સઃ એવા સ્તરે પ્રતિકારની તાકાત જાળવી રાખો કે જે પ્રમાણીકરણ કામગીરી સંપૂર્ણપણે રેકોર્ડ કરવામાં આવે તો પણ અન્ય વ્યક્તિઓ દ્વારા પ્રમાણીકરણ માહિતીનું વિશ્લેષણ કરવામાં અટકાવે. બ્રુટ-ફોર્સ એટેક રેઝિસ્ટન્સઃ એવા સ્તરે પ્રતિકારની તાકાત જાળવી રાખો કે જે ચાર આંકડાના પિન પર બ્રુટ-ફોર્સ એટેક કરતાં પ્રમાણીકરણ પ્રક્રિયાને વધુ સરળતાથી તૂટી જવાથી અટકાવે. આ નીતિ ISO 9564-1 માં મૂકવામાં આવેલા ધોરણને અનુસરે છે. ઉપયોગીતાઃ ઉપયોગીતાનું સ્તર જાળવી રાખો જે ઓપરેટરોને સરળતાથી પ્રમાણીકરણ કામગીરી કરવાની મંજૂરી આપે છે. આલ્ફાન્યૂમેરિક અને ગ્રાફિકલ પાસવર્ડ્સ વચ્ચેના જોખમોની સરખામણી આલ્ફાન્યૂમેરિક પાસવર્ડ્સની સરખામણીમાં ગ્રાફિકલ પાસવર્ડ્સનો પ્રાથમિક ફાયદો એ યાદ રાખવાની ક્ષમતામાં સુધારો છે. જો કે, આ લાભની સંભવિત હાનિ એ છે કે ખભા પર સર્ફિંગનું જોખમ વધ્યું છે. ગ્રાફિકલ પાસવર્ડ્સ કે જે ગ્રાફિક્સ અથવા ચિત્રોનો ઉપયોગ કરે છે જેમ કે પાસફેસ, જિમિની, વીઆઇપી, પાસપોઇન્ટ્સ અથવા ગ્રાફિક્સ અને ઑડિઓનું સંયોજન જેમ કે એવીએપી સંભવતઃ આ વધેલા જોખમને આધિન છે જ્યાં સુધી અમલીકરણમાં કોઈક રીતે ઘટાડવામાં ન આવે. પરિણામો એ હકીકત સૂચવે છે કે જ્યાં સુધી ચોક્કસ સાવચેતીઓ લેવામાં ન આવે ત્યાં સુધી આલ્ફાન્યૂમેરિક અને ગ્રાફિકલ પાસવર્ડ-આધારિત પ્રમાણીકરણ પદ્ધતિઓ બંનેમાં ખભા-સર્ફિંગ માટે નોંધપાત્ર નબળાઈ હોઈ શકે છે. નોન-ડિક્શનરી પાસવર્ડ્સ એ પાસવર્ડ-આધારિત પ્રમાણીકરણનો સૌથી સુરક્ષિત પ્રકાર છે તેવી સામાન્ય માન્યતા હોવા છતાં, અમારા પરિણામો દર્શાવે છે કે હકીકતમાં, તે શોલ્ડર-સર્ફિંગ માટે સૌથી સંવેદનશીલ રૂપરેખાંકન છે. પિન એન્ટ્રી વ્યક્તિગત ઓળખ નંબર (અથવા ટૂંકા માટે પિન) નો ઉપયોગ વિવિધ પરિસ્થિતિઓમાં પોતાને પ્રમાણિત કરવા માટે થાય છે, જ્યારે ઓટોમેટિક ટેલર મશીનમાંથી નાણાં ઉપાડે છે અથવા જમા કરે છે, ફોન, બારણું, લેપટોપ અથવા પીડીએ ખોલે છે. જો કે પ્રમાણીકરણની આ પદ્ધતિ કેટલીક પરિસ્થિતિઓમાં બે પગલાંની ચકાસણી પ્રક્રિયા છે, તે શોલ્ડર સર્ફિંગ હુમલા માટે સંવેદનશીલ છે. હુમલાખોર પીડિતના ખભા પર સીધી નજર નાખીને અથવા સમગ્ર લૉગિન પ્રક્રિયાને રેકોર્ડ કરીને પિન મેળવી શકે છે. કાચવાળા મોબાઇલ ફોન, ચળકતા પડદા જેવી વસ્તુઓ પર, વપરાશકર્તા સ્ક્રીન પર ધુમ્મસ છોડી શકે છે, જે પિન દર્શાવે છે. કેટલાક અત્યંત અદ્યતન હુમલાઓ દાખલ કરેલા પિનની થર્મલ સહી જોવા માટે થર્મલ કેમેરાનો ઉપયોગ કરે છે. થર્મલ હુમલાઓ અધિકૃત કરનાર વ્યક્તિ ગુપ્તમાં પ્રવેશ્યા પછી ચાવીઓ પર બાકી રહેલી ગરમીની આંગળીની છાપનો લાભ લે છે. તેથી, પ્રમાણીકરણ પ્રક્રિયાને સુરક્ષિત બનાવવા માટે વિવિધ શોલ્ડર સર્ફિંગ પ્રતિરોધક પિન એન્ટ્રી પદ્ધતિઓનો ઉપયોગ કરવામાં આવે છે. ઉદાહરણોમાં બિલ્ટ-ઇન ગોપનીયતા કવચવાળા પિન પેડનો સમાવેશ થાય છે. એટીએમ અને કેટલીક પ્રવેશ પ્રણાલીઓમાં વપરાતું બીજું ઉદાહરણ ધાતુના પિન પેડનો ઉપયોગ છે, જે થર્મલ કેમેરા હુમલાઓને તેમની સામગ્રી, રક્ષણ, પરાવર્તકતા અથવા આંતરિક ગરમીને કારણે લગભગ અશક્ય બનાવે છે. ગરમ વસ્તુઓ અથવા હાથથી લૂછીને ગરમીનું સ્થાનાંતરણ પ્રયોગોમાં થર્મલ હુમલાઓનો સામનો કરવા માટે અસરકારક હોવાનું જણાયું છે. કોગ્નિટિવ ટ્રેપડોર ગેમમાં ત્રણ જૂથો સામેલ છેઃ એક મશીન વેરિફાયર, એક માનવ કહેવત અને એક માનવ નિરીક્ષક. દરેક જૂથનો ધ્યેય એ છે કે માનવ કહેવતમાં મશીન વેરિફાયર દ્વારા પૂછવામાં આવેલા પ્રશ્નોના જવાબ આપીને પિન દાખલ કરવો પડે છે જ્યારે નિરીક્ષક પિનને ખભા પર ઉઠાવવાનો પ્રયાસ કરે છે. પ્રતિકારક પગલાં ડિઝાઇન દ્વારા સરળતાથી પચાવી પાડવાનું મુશ્કેલ હોવાથી, નિરીક્ષક પાસે રેકોર્ડિંગ ઉપકરણ ન હોય ત્યાં સુધી નિરીક્ષક માટે સમગ્ર લૉગિન પ્રક્રિયાને યાદ રાખવી સરળ નથી. વર્ચ્યુઅલ રિયાલિટી વપરાશકર્તા ખભા પર સર્ફિંગની સમસ્યાઓને ઘટાડવા માટે વર્ચ્યુઅલ રિયાલિટી હેડસેટ પહેરી શકે છે, જો કે હાવભાવ નિયંત્રણ, બટનો દબાવવામાં આવે છે અને વૉઇસ કમાન્ડ્સ પર હજુ પણ હુમલો થઈ શકે છે. આ પણ જુઓ સામાજિક ઇજનેરી (સુરક્ષા) માહિતી ડાઇવિંગ ક્રેડિટ કાર્ડ છેતરપિંડી ફિશિંગ સંદર્ભો હેકિંગ (કોમ્પ્યુટર સુરક્ષા) હેકર સંસ્કૃતિ કોમ્પ્યુટિંગ પરિભાષા