Browser security
ब्राउज़र सुरक्षा वेब ब्राउज़रों के लिए इंटरनेट सुरक्षा का अनुप्रयोग है ताकि नेटवर्क डेटा और कंप्यूटर सिस्टम को गोपनीयता या मैलवेयर के उल्लंघन से बचाया जा सके। ब्राउज़रों के सुरक्षा कारनामों में अक्सर जावास्क्रिप्ट का उपयोग किया जाता है, कभी-कभी एडोब फ्लैश का उपयोग करके माध्यमिक पेलोड के साथ क्रॉस-साइट स्क्रिप्टिंग (एक्सएसएस) के साथ। सुरक्षा शोषण उन कमजोरियों (सुरक्षा खामियों) का भी लाभ उठा सकते हैं जिनका आमतौर पर सभी ब्राउज़रों (मोज़िला फ़ायरफ़ॉक्स, गूगल क्रोम, ओपेरा, माइक्रोसॉफ्ट इंटरनेट एक्सप्लोरर और सफारी सहित) में उपयोग किया जाता है। सुरक्षा वेब ब्राउज़र को निम्नलिखित में से एक या अधिक तरीकों से तोड़ा जा सकता हैः ऑपरेटिंग सिस्टम का उल्लंघन किया जाता है और मैलवेयर ब्राउज़र मेमोरी स्पेस को विशेषाधिकार मोड में पढ़/संशोधित कर रहा है ऑपरेटिंग सिस्टम में एक मैलवेयर है जो पृष्ठभूमि प्रक्रिया के रूप में चल रहा है, जो ब्राउज़र मेमोरी स्पेस को विशेषाधिकार मोड में पढ़/संशोधित कर रहा है मुख्य ब्राउज़र निष्पादन योग्य को हैक किया जा सकता है ब्राउज़र घटकों को हैक किया जा सकता है ब्राउज़र प्लगइन्स को हैक किया जा सकता है ब्राउज़र नेटवर्क संचार को मशीन के बाहर रोका जा सकता है ब्राउज़र को उपरोक्त किसी भी उल्लंघन के बारे में पता नहीं हो सकता है और उपयोगकर्ता को एक सुरक्षित कनेक्शन दिखाया जा सकता है। जब भी कोई ब्राउज़र किसी वेबसाइट के साथ संवाद करता है, तो वेबसाइट, उस संचार के हिस्से के रूप में, ब्राउज़र के बारे में कुछ जानकारी एकत्र करती है (वितरित किए जाने वाले पृष्ठ के स्वरूपण को संसाधित करने के लिए, यदि कुछ और नहीं)। यदि वेबसाइट की सामग्री में दुर्भावनापूर्ण कोड डाला गया है, या सबसे खराब स्थिति में, यदि उस वेबसाइट को विशेष रूप से दुर्भावनापूर्ण कोड को होस्ट करने के लिए डिज़ाइन किया गया है, तो किसी विशेष ब्राउज़र के लिए विशिष्ट कमजोरियां इस दुर्भावनापूर्ण कोड को ब्राउज़र एप्लिकेशन के भीतर प्रक्रियाओं को चलाने की अनुमति दे सकती हैं। एक बार जब कोई हमलावर आगंतुक की मशीन पर प्रक्रियाओं को चलाने में सक्षम हो जाता है, तो ज्ञात सुरक्षा कमजोरियों का फायदा उठाने से हमलावर को "संक्रमित" प्रणाली तक विशेषाधिकार प्राप्त पहुंच (यदि ब्राउज़र पहले से ही विशेषाधिकार प्राप्त पहुंच के साथ नहीं चल रहा है) प्राप्त करने की अनुमति मिल सकती है ताकि मशीन या यहां तक कि पीड़ित के पूरे नेटवर्क पर दुर्भावनापूर्ण प्रक्रियाओं और गतिविधियों की और भी अधिक विविधता का प्रदर्शन किया जा सके। वेब ब्राउज़र सुरक्षा के उल्लंघन आमतौर पर इंटरनेट विपणन या पहचान की चोरी के लिए व्यक्तिगत रूप से पहचान योग्य जानकारी (पी. आई. आई.) एकत्र करने वाले पॉप-अप विज्ञापन को प्रदर्शित करने के लिए सुरक्षा को दरकिनार करने के उद्देश्य से होते हैं, वेबसाइट ट्रैकिंग या वेब बग, क्लिकजैकिंग, लाइकजैकिंग (जहां फेसबुक के लाइक बटन को लक्षित किया जाता है), एच. टी. टी. पी. कुकीज़, ज़ोंबी कुकीज़ या फ्लैश कुकीज़ (स्थानीय साझा वस्तुएँ या एल. एस. ओ.) जैसे उपकरणों का उपयोग करके उपयोगकर्ता के बारे में वेब विश्लेषण; एडवेयर, वायरस, स्पाइवेयर जैसे ट्रोजन हॉर्स स्थापित करना (क्रैकिंग के माध्यम से उपयोगकर्ताओं के व्यक्तिगत कंप्यूटर तक पहुँच प्राप्त करने के लिए) या मैन-इन-द-ब्राउज़र हमलों का उपयोग करके ऑनलाइन बैंकिंग चोरी सहित अन्य मैलवेयर। क्रोमियम वेब-ब्राउज़र में कमजोरियों के गहन अध्ययन से संकेत मिलता है कि, अनुचित इनपुट सत्यापन (सी. डब्ल्यू. ई.-20) और अनुचित अभिगम नियंत्रण (सी. डब्ल्यू. ई.-284) सुरक्षा कमजोरियों के लिए सबसे अधिक होने वाले मूल कारण हैं। इसके अलावा, इस अध्ययन के समय जांच की गई कमजोरियों के बीच, तीसरे पक्ष के पुस्तकालयों के कमजोर संस्करणों के पुनः उपयोग या आयात के कारण क्रोमियम में 106 कमजोरियां हुईं। वेब ब्राउज़र सॉफ़्टवेयर में कमजोरियों को ब्राउज़र सॉफ़्टवेयर को अद्यतन रखते हुए कम किया जा सकता है, लेकिन यह पर्याप्त नहीं होगा यदि अंतर्निहित ऑपरेटिंग सिस्टम से समझौता किया जाता है, उदाहरण के लिए, एक रूटकिट द्वारा। ब्राउज़र के कुछ उप-घटक जैसे स्क्रिप्टिंग, ऐड-ऑन और कुकीज़ विशेष रूप से असुरक्षित हैं ("भ्रमित उप समस्या") और इन्हें संबोधित करने की भी आवश्यकता है। गहराई से रक्षा के सिद्धांत का पालन करते हुए, एक पूरी तरह से पैच किया गया और सही ढंग से कॉन्फ़िगर किया गया ब्राउज़र यह सुनिश्चित करने के लिए पर्याप्त नहीं हो सकता है कि ब्राउज़र से संबंधित सुरक्षा मुद्दे न हो सकें। उदाहरण के लिए, एक रूटकिट कीस्ट्रोक को पकड़ सकता है जब कोई बैंकिंग वेबसाइट में लॉग इन करता है, या वेब ब्राउज़र से नेटवर्क ट्रैफ़िक को संशोधित करके एक मैन-इन-द-मिडिल अटैक कर सकता है। डी. एन. एस. अपहरण या डी. एन. एस. स्पूफिंग का उपयोग गलत टाइप किए गए वेबसाइट नामों के लिए गलत सकारात्मक परिणाम देने के लिए या लोकप्रिय खोज इंजनों के लिए खोज परिणामों को नष्ट करने के लिए किया जा सकता है। आर. एस. पी. प्लग जैसे मैलवेयर केवल दुष्ट डी. एन. एस. सर्वरों को इंगित करने के लिए एक प्रणाली के विन्यास को संशोधित करते हैं। ब्राउज़र इनमें से कुछ हमलों को रोकने में मदद करने के लिए नेटवर्क संचार के अधिक सुरक्षित तरीकों का उपयोग कर सकते हैंः डी. एन. एस.: डी. एन. एस. एस. ई. सी. और डी. एन. एस. सी. क्रिप्ट, उदाहरण के लिए गैर-डिफ़ॉल्ट डी. एन. एस. सर्वर जैसे गूगल पब्लिक डी. एन. एस. या ओपन. डी. एन. एस. के साथ। एच. टी. टी. पी.: डिजिटल रूप से हस्ताक्षरित सार्वजनिक कुंजी प्रमाणपत्र या विस्तारित सत्यापन प्रमाणपत्रों के साथ एच. टी. टी. पी. सुरक्षित और एस. पी. डी. वाई.। परिधि सुरक्षा, आमतौर पर फ़ायरवॉल के माध्यम से और प्रॉक्सी सर्वर को फ़िल्टर करने का उपयोग जो दुर्भावनापूर्ण वेबसाइटों को अवरुद्ध करता है और किसी भी फ़ाइल डाउनलोड के एंटीवायरस स्कैन करता है, आमतौर पर बड़े संगठनों में दुर्भावनापूर्ण नेटवर्क ट्रैफ़िक को ब्राउज़र तक पहुंचने से पहले अवरुद्ध करने के लिए एक सर्वोत्तम अभ्यास के रूप में लागू किया जाता है। ब्राउज़र सुरक्षा का विषय पूरे संगठनों के निर्माण को बढ़ावा देने के बिंदु तक बढ़ गया है, जैसे कि द ब्राउज़र एक्सप्लोइटेशन फ्रेमवर्क प्रोजेक्ट, ब्राउज़र सुरक्षा का उल्लंघन करने के लिए उपकरण एकत्र करने के लिए मंच बनाना, जाहिरा तौर पर कमजोरियों के लिए ब्राउज़र और नेटवर्क सिस्टम का परीक्षण करने के लिए। प्लगइन और एक्सटेंशन हालांकि ब्राउज़र का हिस्सा नहीं हैं, ब्राउज़र प्लगइन और एक्सटेंशन हमले की सतह का विस्तार करते हैं, एडोब फ्लैश प्लेयर, एडोब (एक्रोबेट) रीडर, जावा प्लगइन और एक्टिवएक्स में कमजोरियों को उजागर करते हैं जो आमतौर पर शोषण किए जाते हैं। शोधकर्ताओं ने विभिन्न वेब-ब्राउज़रों की सुरक्षा संरचना का व्यापक रूप से अध्ययन किया है, विशेष रूप से वे जो प्लग-एंड-प्ले डिज़ाइनों पर निर्भर हैं। इस अध्ययन ने 16 सामान्य भेद्यता प्रकारों और 19 संभावित शमन की पहचान की है। मैलवेयर को ब्राउज़र एक्सटेंशन के रूप में भी लागू किया जा सकता है, जैसे कि इंटरनेट एक्सप्लोरर के मामले में ब्राउज़र हेल्पर ऑब्जेक्ट। विभिन्न अन्य शोषण वेबसाइटों में जिन्हें प्रामाणिक दिखने के लिए डिज़ाइन किया गया था और जिसमें दुष्ट 'अपडेट एडोब फ़्लैश' पॉपअप शामिल थे, जिन्हें उनके स्थान पर मैलवेयर पेलोड डाउनलोड करने के लिए दृश्य संकेतों के रूप में डिज़ाइन किया गया था। गूगल क्रोम और मोज़िला फ़ायरफ़ॉक्स जैसे कुछ ब्राउज़र असुरक्षित प्लगइन्स को अवरुद्ध कर सकते हैं-या उपयोगकर्ताओं को चेतावनी दे सकते हैं। एडोब फ्लैश सोशल साइंस रिसर्च नेटवर्क द्वारा अगस्त 2009 के एक अध्ययन में पाया गया कि फ्लैश का उपयोग करने वाली 50 प्रतिशत वेबसाइटें भी फ्लैश कुकीज़ का उपयोग कर रही थीं, फिर भी गोपनीयता नीतियों ने शायद ही कभी उनका खुलासा किया, और गोपनीयता प्राथमिकताओं के लिए उपयोगकर्ता नियंत्रण की कमी थी। अधिकांश ब्राउज़रों के कैश और इतिहास हटाने के कार्य फ़्लैश प्लेयर के लेखन स्थानीय साझा वस्तुओं को अपने कैश पर प्रभावित नहीं करते हैं, और उपयोगकर्ता समुदाय एचटीटीपी कुकीज़ की तुलना में फ़्लैश कुकीज़ के अस्तित्व और कार्य के बारे में बहुत कम जानता है। इस प्रकार, जिन उपयोगकर्ताओं ने एचटीटीपी कुकीज़ को हटा दिया है और ब्राउज़र इतिहास फ़ाइलों और कैश को साफ़ कर दिया है, वे मान सकते हैं कि उन्होंने अपने कंप्यूटर से सभी ट्रैकिंग डेटा को साफ़ कर दिया है, जबकि वास्तव में फ़्लैश ब्राउज़िंग इतिहास बना हुआ है। हाथ से हटाने के साथ-साथ, फ़ायरफ़ॉक्स के लिए बेटर प्राइवेसी ऐड-ऑन फ़्लैश कुकीज़ को हटा सकता है। एडब्लॉक प्लस का उपयोग विशिष्ट खतरों को छानने के लिए किया जा सकता है और फ्लैशब्लॉक का उपयोग अन्यथा विश्वसनीय साइटों पर सामग्री की अनुमति देने से पहले एक विकल्प देने के लिए किया जा सकता है। चार्ली मिलर ने कंप्यूटर सुरक्षा सम्मेलन कैनसेकवेस्ट में "फ्लैश स्थापित नहीं करने" की सिफारिश की। कई अन्य सुरक्षा विशेषज्ञ भी एडोब फ्लैश प्लेयर को स्थापित नहीं करने या इसे अवरुद्ध करने की सलाह देते हैं। पासवर्ड सुरक्षा मॉडल एक वेब पेज की सामग्री मनमाने ढंग से होती है और पता पट्टी में प्रदर्शित डोमेन नाम की इकाई द्वारा नियंत्रित होती है। यदि एच. टी. टी. पी. एस. का उपयोग किया जाता है, तो एन्क्रिप्शन का उपयोग नेटवर्क तक पहुंच वाले हमलावरों को रास्ते में पृष्ठ सामग्री को बदलने से बचाने के लिए किया जाता है। जब किसी वेब पेज पर पासवर्ड फ़ील्ड के साथ प्रस्तुत किया जाता है, तो उपयोगकर्ता को यह निर्धारित करने के लिए एड्रेस बार को देखना चाहिए कि एड्रेस बार में डोमेन नाम पासवर्ड भेजने के लिए सही जगह है या नहीं। उदाहरण के लिए, गूगल की एकल साइन-ऑन प्रणाली के लिए (उदाहरण के लिए। youtube.com), उपयोगकर्ता को अपना पासवर्ड डालने से पहले हमेशा यह जांचना चाहिए कि पता पट्टी "https://accounts.google.com" कहता है या नहीं। एक असम्बद्ध ब्राउज़र इस बात की गारंटी देता है कि पता पट्टी सही है। यह गारंटी एक कारण है कि ब्राउज़र आम तौर पर पूर्णस्क्रीन मोड में प्रवेश करते समय एक चेतावनी प्रदर्शित करते हैं, जहां पता पट्टी सामान्य रूप से होगी, ताकि एक पूर्णस्क्रीन वेबसाइट नकली पते bar.076235245 हार्डवेयर ब्राउज़र के साथ एक नकली ब्राउज़र उपयोगकर्ता इंटरफ़ेस नहीं बना सके। डेटा को उपकरण पर संग्रहीत नहीं किया जा सकता है और मीडिया को अधिलेखित नहीं किया जा सकता है, जो हर बार लोड होने पर एक स्वच्छ निष्पादन योग्य प्रस्तुत करता है। इस तरह का पहला उपकरण ज़ीउसगार्ड सिक्योर हार्डवेयर ब्राउज़र था, जिसे 2013 के अंत में जारी किया गया था। ज़ीउसगार्ड वेबसाइट 2016 के मध्य से काम नहीं कर रही है। एक अन्य उपकरण, आईक्लॉक वेबसाइट का आईक्लॉक® स्टिक एक पूर्ण लाइव ओएस प्रदान करता है जो कंप्यूटर के पूरे ऑपरेटिंग सिस्टम को पूरी तरह से बदल देता है और केवल-पढ़ने वाले सिस्टम से दो वेब ब्राउज़र प्रदान करता है। आईक्लॉक के साथ वे बेनामी ब्राउज़िंग के लिए टोर ब्राउज़र के साथ-साथ गैर-बेनामी ब्राउज़िंग के लिए एक नियमित फ़ायरफ़ॉक्स ब्राउज़र प्रदान करते हैं। कोई भी गैर-सुरक्षित वेब ट्रैफिक (उदाहरण के लिए, HTTPS का उपयोग नहीं करना), अभी भी मैन-इन-द-मिडल परिवर्तन या अन्य नेटवर्क ट्रैफिक-आधारित हेरफेर के अधीन हो सकता है। लाइवसीडी लाइवसीडी, जो एक गैर-लिखने योग्य स्रोत से एक ऑपरेटिंग सिस्टम चलाते हैं, आमतौर पर अपनी डिफ़ॉल्ट छवि के हिस्से के रूप में वेब ब्राउज़र के साथ आते हैं। यदि मूल लाइवसीडी छवि मैलवेयर से मुक्त है, तो वेब ब्राउज़र सहित उपयोग किए जाने वाले सभी सॉफ़्टवेयर, हर बार लाइवसीडी छवि को बूट करने पर मैलवेयर से मुक्त लोड होंगे। ब्राउज़र को सख्त बनाना इंटरनेट को कम से कम विशेषाधिकार वाले उपयोगकर्ता खाते के रूप में ब्राउज़ करना (यानी। प्रशासक विशेषाधिकारों के बिना) एक वेब ब्राउज़र में सुरक्षा शोषण की क्षमता को पूरे ऑपरेटिंग सिस्टम से समझौता करने से सीमित करता है। इंटरनेट एक्सप्लोरर 4 और बाद में एक्टिवएक्स नियंत्रणों, ऐड-ऑन और ब्राउज़र एक्सटेंशन को विभिन्न तरीकों से अवरुद्ध करने और अनुमति देने की अनुमति देता है। इंटरनेट एक्सप्लोरर 7 ने "संरक्षित मोड" जोड़ा, एक ऐसी तकनीक जो अनिवार्य अखंडता नियंत्रण नामक विंडोज विस्टा की सुरक्षा सैंडबॉक्सिंग सुविधा के अनुप्रयोग के माध्यम से ब्राउज़र को सख्त करती है। गूगल क्रोम ऑपरेटिंग सिस्टम तक वेब पेज की पहुंच को सीमित करने के लिए एक सैंडबॉक्स प्रदान करता है। संदिग्ध मैलवेयर साइटों को गूगल को सूचित किया जाता है, और गूगल द्वारा पुष्टि की जाती है, जिन्हें कुछ ब्राउज़रों में मैलवेयर होस्ट करने के रूप में चिह्नित किया जाता है। नवीनतम ब्राउज़रों को भी सख्त करने के लिए तृतीय-पक्ष एक्सटेंशन और प्लगइन्स उपलब्ध हैं, और कुछ पुराने ब्राउज़रों और ऑपरेटिंग सिस्टम के लिए भी उपलब्ध हैं। श्वेतसूची-आधारित सॉफ्टवेयर जैसे नोस्क्रिप्ट जावास्क्रिप्ट और एडोब फ्लैश को अवरुद्ध कर सकता है जिसका उपयोग गोपनीयता पर अधिकांश हमलों के लिए किया जाता है, जिससे उपयोगकर्ता केवल उन साइटों को चुन सकते हैं जिन्हें वे जानते हैं कि वे सुरक्षित हैं-एडब्लॉक प्लस श्वेतसूची विज्ञापन फ़िल्टरिंग नियमों की सदस्यता का भी उपयोग करता है, हालांकि सॉफ्टवेयर स्वयं और फ़िल्टरिंग सूची अनुरक्षक दोनों ही कुछ साइटों को पूर्व-निर्धारित फ़िल्टरों को पारित करने की अनुमति देने के लिए विवाद के दायरे में आ गए हैं। यू. एस.-सी. ई. आर. टी. नोस्क्रिप्ट का उपयोग करके फ्लैश को अवरुद्ध करने की सिफारिश करता है। अस्पष्टता को उजागर करने के लिए आधुनिक वेब ब्राउज़रों को व्यापक अस्पष्टता से गुजरना पड़ता है। गूगल क्रोम का क्रोमियम कोड 15,000 कोर के साथ क्रोम सुरक्षा दल द्वारा लगातार अस्पष्ट किया जाता है। माइक्रोसॉफ्ट एज और इंटरनेट एक्सप्लोरर के लिए, माइक्रोसॉफ्ट ने उत्पाद विकास के दौरान 670 मशीन-वर्षों के साथ अस्पष्ट परीक्षण किया, जिससे 1 बिलियन एच. टी. एम. एल. फ़ाइलों से 400 बिलियन से अधिक डी. ओ. एम. हेरफेर उत्पन्न हुए। सबसे अच्छा अभ्यास लोड क्लीन सॉफ्टवेयरः एक ज्ञात स्वच्छ ओएस से बूट करें जिसमें एक ज्ञात स्वच्छ वेब ब्राउज़र है क्रॉस-ओरिजिन रिसोर्स शेयरिंग (सी. ओ. आर. एस.) भेद्यता के खिलाफ पर्याप्त जवाबी उपाय अपनाएं (उदाहरण के लिए वेबकिट-आधारित ब्राउज़रों के लिए पैच प्रदान किए जाते हैं) तीसरे पक्ष के सॉफ़्टवेयर के माध्यम से हमलों को रोकेंः एक कठोर वेब ब्राउज़र या ऐड-ऑन-फ्री-ब्राउज़िंग मोड का उपयोग करें डी. एन. एस. हेरफेर को रोकेंः विश्वसनीय और सुरक्षित डी. एन. एस. का उपयोग करें वेबसाइट-आधारित कारनामों से बचेंः आमतौर पर इंटरनेट सुरक्षा सॉफ़्टवेयर में पाए जाने वाले लिंक-चेकिंग ब्राउज़र प्लग-इन का उपयोग करें दुर्भावनापूर्ण सामग्री से बचेंः परिधि सुरक्षा और एंटी-मैलवेयर सॉफ़्टवेयर का उपयोग करें और भी देखें फ़िल्टर बबल फ्रेम इंजेक्शन पहचान नेटवर्किंग इंटरनेट सुरक्षा नेटवर्क सुरक्षा नीति अनुप्रयोग सुरक्षा संदर्भ आगे पढ़ने के लिए वेब ब्राउज़र