Shoulder surfing (computer security)
कंप्यूटर सुरक्षा में, शोल्डर सर्फिंग एक प्रकार की सोशल इंजीनियरिंग तकनीक है जिसका उपयोग पीड़ित के कंधे को देखकर व्यक्तिगत पहचान संख्या (पिन), पासवर्ड और अन्य गोपनीय डेटा जैसी जानकारी प्राप्त करने के लिए किया जाता है। अनधिकृत उपयोगकर्ता किसी उपकरण पर इनपुट किए गए कीस्ट्रोक को देखते हैं या बोली जा रही संवेदनशील जानकारी को सुनते हैं, जिसे ईव्ज़ड्रॉपिंग के रूप में भी जाना जाता है। विधियाँ और इतिहास यह हमला या तो निकट दूरी पर (सीधे पीड़ित के कंधे पर देखकर) या लंबी दूरी से किया जा सकता है, उदाहरण के लिए दूरबीन या इसी तरह के हार्डवेयर की एक जोड़ी। इस विधि को करने के लिए हमलावरों को किसी तकनीकी कौशल की आवश्यकता नहीं होती है, और पीड़ितों के परिवेश और टाइपिंग पैटर्न का गहन अवलोकन पर्याप्त है। 1980 के दशक की शुरुआत में, कॉलिंग कार्ड के अंकों को चुराने और लंबी दूरी की कॉल करने या उन्हें मूल खरीदार द्वारा भुगतान की गई कीमत से सस्ती कीमतों पर बाजार में बेचने के लिए सार्वजनिक भुगतान वाले फोन के पास शोल्डर सर्फिंग का अभ्यास किया गया था। हालाँकि, छिपे हुए कैमरों और गुप्त माइक्रोफोन जैसी आधुनिक तकनीकों के आगमन से कंधे पर सर्फिंग करना आसान हो जाता है और हमलावर को लंबी दूरी की कंधे पर सर्फिंग करने की अधिक गुंजाइश मिलती है। एक छिपा हुआ कैमरा हमलावर को पूरी लॉगिन प्रक्रिया और पीड़ित के अन्य गोपनीय डेटा को पकड़ने की अनुमति देता है, जिससे अंततः वित्तीय नुकसान या पहचान की चोरी हो सकती है। भीड़भाड़ वाली जगहों पर शोल्डर सर्फिंग होने की संभावना अधिक होती है क्योंकि पीड़ित का ध्यान आकर्षित किए बिना जानकारी का निरीक्षण करना आसान होता है। शोल्डर-सर्फिंग अटैक दो प्रकार के होते हैंः प्रत्यक्ष अवलोकन हमले, जिसमें प्रमाणीकरण जानकारी एक ऐसे व्यक्ति द्वारा प्राप्त की जाती है जो सीधे प्रमाणीकरण अनुक्रम की निगरानी कर रहा है, और रिकॉर्डिंग हमले, जिसमें उपकरण को खोलने के लिए बाद के विश्लेषण के लिए प्रमाणीकरण अनुक्रम को रिकॉर्ड करके प्रमाणीकरण जानकारी प्राप्त की जाती है। पासवर्ड या पिन प्रविष्टि के खतरों के अलावा, हाथ से पकड़े जाने वाले मोबाइल उपकरणों पर निजी सामग्री को उजागर करने के लिए दैनिक स्थितियों में कंधे पर सर्फिंग भी होती है; कंधे पर सर्फिंग दृश्य सामग्री उपयोगकर्ता की संवेदनशील जानकारी और यहां तक कि तीसरे पक्ष के बारे में निजी जानकारी को लीक करने के लिए पाई गई थी। काउंटरमेजर्स गेज़-आधारित पासवर्ड प्रविष्टि गेज़-आधारित पासवर्ड प्रविष्टि के लिए मूल प्रक्रिया सामान्य पासवर्ड प्रविष्टि के समान है, सिवाय इसके कि एक कुंजी टाइप करने या स्क्रीन को छूने के स्थान पर, उपयोगकर्ता प्रत्येक वांछित वर्ण या ट्रिगर क्षेत्र को अनुक्रम में देखता है (आई टाइपिंग के समान)। इसलिए, इस दृष्टिकोण का उपयोग चरित्र-आधारित पासवर्ड के साथ ऑन-स्क्रीन कीबोर्ड का उपयोग करके और ग्राफिकल पासवर्ड योजनाओं के साथ किया जा सकता है जैसा कि सर्वेक्षण में बताया गया है। उपयोगिता और सुरक्षा सुनिश्चित करने के लिए विभिन्न प्रकार के विचार महत्वपूर्ण हैं। 1900 के दशक की शुरुआत में अपनी उत्पत्ति के बाद से आई ट्रैकिंग तकनीक में काफी प्रगति हुई है। अत्याधुनिक आई ट्रैकर 1 डिग्री दृश्य कोण की सटीकता के साथ गैर-एनकम्बरिंग, दूरस्थ वीडियो-आधारित आई ट्रैकिंग प्रदान करते हैं। आई ट्रैकर कंप्यूटर दृष्टि का एक विशेष अनुप्रयोग है। उपयोगकर्ता की आँखों की निगरानी के लिए एक कैमरे का उपयोग किया जाता है। एक या अधिक अवरक्त प्रकाश स्रोत उपयोगकर्ता के चेहरे को रोशन करते हैं और एक चमक पैदा करते हैं-कॉर्निया पर प्रकाश स्रोत का प्रतिबिंब। जैसे-जैसे उपयोगकर्ता अलग-अलग दिशाओं में देखता है, पुतली चलती है लेकिन कॉर्निया पर चमक का स्थान स्थिर रहता है। पुतली और चमक के केंद्र की सापेक्ष गति और स्थिति का उपयोग टकटकी वेक्टर का अनुमान लगाने के लिए किया जाता है, जिसे फिर स्क्रीन तल पर निर्देशांक के लिए मैप किया जाता है। शोधकर्ताओं ने टकटकी-आधारित पासवर्ड प्रविष्टि के लिए सामने वाले कैमरे का लाभ उठाकर मोबाइल उपकरणों पर कंधे पर सर्फिंग का मुकाबला करने के तरीकों का प्रस्ताव दिया। उदाहरण के लिए, GazeTouchPin और GazeTouchPass बाईं/दाईं ओर आंखों की गतिविधियों के रूप में टकटकी इनपुट को जोड़ते हैं, और ऑन-स्क्रीन बटनों को टैप करके इनपुट को स्पर्श करते हैं। ये विधियाँ पारंपरिक स्पर्श-आधारित इनपुट (जैसे, पिन और लॉक पैटर्न) की तुलना में अधिक सुरक्षित हैं क्योंकि उन्हें (1) उपयोगकर्ता की आंखों का निरीक्षण करने के लिए, (2) उपयोगकर्ता के स्पर्श इनपुट का निरीक्षण करने के लिए, और (3) टिप्पणियों को संयोजित करने के लिए कंधे पर सर्फर की आवश्यकता होती है। पेंटिंग एल्बम मैकेनिज्म एक एंटी-शोल्डर सर्फिंग मैकेनिज्म है, जिसमें रिकॉल और रिकग्निशन ग्राफिकल तकनीक दोनों की विशेषताएं हैं। अल्फान्यूमेरिक वर्णों वाले नियमित पिन या पासवर्ड का उपयोग करने के बजाय, उपयोगकर्ता सिस्टम को खोलने के लिए रंगों या चित्रों का एक क्रम चुनते हैं। साइन-इन प्रक्रिया के दौरान चुने गए रंगों और चित्रों का क्रम पंजीकरण के क्रम से मेल खाना चाहिए। यह एंटी-शोल्डर सर्फिंग सुरक्षा विधि उपयोगकर्ताओं की पसंद के प्रति लगाव के सर्वेक्षण परिणामों के आधार पर और बच्चों द्वारा चित्रों को चित्रित करने के तरीके पर अवलोकन के माध्यम से विकसित की गई थी। परिणामी तंत्र उपयोगकर्ता विकल्पों के सर्वेक्षण से विकसित किया गया था, और परिणाम ने स्वाइप योजना, रंग योजना और स्कॉट योजना नामक तीन इनपुट योजनाओं का निर्माण किया, जो पासवर्ड बनाने के तरीके हैं। प्रत्येक इनपुट योजना समान नहीं होती है, और यह उपयोगकर्ता पर निर्भर करता है कि वह अपनी पसंद की इनपुट योजना का चयन करे। स्वाइप योजना माइक्रोसॉफ्ट विंडोज 8 में लागू की गई है, और बाद के संस्करणों में, इसे पिक्चर पासवर्ड के रूप में जाना जाता है; हालाँकि इसने उपयोगकर्ता को एक सुरक्षित पर्याप्त इशारे का उपयोग करने की आवश्यकता के लिए आलोचना की है। गुप्त टैप विधि कंधे पर सर्फिंग के कम जोखिम के साथ संवेदनशील जानकारी तक पहुंच के लिए, गुप्त टैप विधि एक ऐसी तकनीक है जो प्रवेश के दौरान प्रमाणीकरण जानकारी को उजागर नहीं करती है, भले ही अन्य व्यक्ति इनपुट प्रक्रिया को देखने का प्रयास करें। इसके अतिरिक्त, कैमरा रिकॉर्डिंग का खतरा भी एक खतरा है। इसलिए, प्रमाणीकरण जानकारी को किसी भी स्मार्टफोन से रोकने के लिए प्रमाणीकरण प्रक्रिया को और अधिक जटिल बनाना आवश्यक है, जैसे कि फिंगरप्रिंट स्कैनिंग या चेहरे की पहचान, जिन्हें कंधे के सर्फर द्वारा दोहराया नहीं जा सकता है। गुप्त टैप प्रमाणीकरण विधि आइकन या सिस्टम के किसी अन्य रूप का उपयोग कर सकती है। एक गुप्त नल प्रणाली के लक्ष्य हैंः गुप्त अवलोकन प्रतिरोधः प्रतिरोध शक्ति को एक ऐसे स्तर पर बनाए रखें जो प्रमाणीकरण जानकारी को अन्य व्यक्तियों को प्रकट होने से रोकता है, भले ही प्रमाणीकरण संचालन कई बार किया गया हो। आक्रमण प्रतिरोध को दर्ज करनाः प्रतिरोध शक्ति को एक ऐसे स्तर पर बनाए रखें जो प्रमाणीकरण जानकारी को अन्य व्यक्तियों द्वारा विश्लेषण किए जाने से रोकता है, भले ही प्रमाणीकरण संचालन पूरी तरह से दर्ज हो। ब्रूट-फोर्स अटैक रेजिस्टेंसः प्रतिरोध शक्ति को एक ऐसे स्तर पर बनाए रखें जो प्रमाणीकरण प्रक्रिया को चार अंकों के पिन पर ब्रूट-फोर्स अटैक की तुलना में अधिक आसानी से टूटने से रोकता है। यह नीति आई. एस. ओ. 9564-1 में दिए गए मानक का पालन करती है। उपयोगिताः उपयोगिता का एक स्तर बनाए रखें जो ऑपरेटरों को आसानी से प्रमाणीकरण संचालन करने की अनुमति देता है। अल्फान्यूमेरिक और ग्राफिकल पासवर्ड के बीच जोखिमों की तुलना अल्फान्यूमेरिक पासवर्ड की तुलना में ग्राफिकल पासवर्ड का प्राथमिक लाभ बेहतर याद रखने की क्षमता है। हालांकि, इस लाभ का संभावित नुकसान कंधे पर सर्फिंग का बढ़ता खतरा है। ग्राफिकल पासवर्ड जो ग्राफिक्स या चित्रों का उपयोग करते हैं जैसे कि पासफेस, जिमिनी, वी. आई. पी., पासप्वाइंट या ग्राफिक्स और ऑडियो जैसे ए. वी. ए. पी. के संयोजन सभी इस बढ़े हुए जोखिम के अधीन हैं जब तक कि कार्यान्वयन में किसी भी तरह से कम न किया जाए। परिणाम इस तथ्य को इंगित करते हैं कि अल्फान्यूमेरिक और ग्राफिकल पासवर्ड-आधारित प्रमाणीकरण तंत्र दोनों में कंधे पर सर्फिंग के लिए एक महत्वपूर्ण भेद्यता हो सकती है जब तक कि कुछ सावधानियां नहीं बरती जाती हैं। इस आम धारणा के बावजूद कि गैर-शब्दकोश पासवर्ड सबसे सुरक्षित प्रकार के पासवर्ड-आधारित प्रमाणीकरण हैं, हमारे परिणाम दर्शाते हैं कि यह वास्तव में, कंधे पर सर्फिंग के लिए सबसे कमजोर विन्यास है। पिन प्रविष्टि व्यक्तिगत पहचान संख्या (या संक्षिप्त में पिन) का उपयोग विभिन्न स्थितियों में स्वयं को प्रमाणित करने के लिए किया जाता है, जब एक स्वचालित टेलर मशीन से पैसे निकालते या जमा करते हैं, एक फोन, एक दरवाजा, एक लैपटॉप या एक पीडीए को खोलते हैं। यद्यपि प्रमाणीकरण की यह विधि कुछ स्थितियों में दो-चरणीय सत्यापन प्रक्रिया है, लेकिन यह कंधे पर सर्फिंग हमले के लिए असुरक्षित है। एक हमलावर या तो सीधे पीड़ित के कंधे को देखकर या पूरी लॉगिन प्रक्रिया को रिकॉर्ड करके पिन प्राप्त कर सकता है। कांच, चमकदार स्क्रीन वाले मोबाइल फोन जैसी वस्तुओं पर, उपयोगकर्ता एक पिन प्रकट करते हुए स्क्रीन पर धब्बे छोड़ सकता है। कुछ अत्यधिक उन्नत हमले थर्मल कैमरों का उपयोग करके दर्ज किए गए पिन के थर्मल हस्ताक्षर को देखते हैं। थर्मल हमले का लाभ उठाते हैं कि प्रमाणित करने वाले व्यक्ति के रहस्य में प्रवेश करने के बाद चाबियों पर गर्मी के उंगलियों के निशान बचे रहते हैं। इसलिए, प्रमाणीकरण प्रक्रिया को सुरक्षित बनाने के लिए विभिन्न शोल्डर सर्फिंग प्रतिरोधी पिन प्रविष्टि पद्धतियों का उपयोग किया जाता है। उदाहरणों में अंतर्निहित गोपनीयता शील्ड के साथ पिन पैड शामिल हैं। एटीएम और कुछ प्रवेश प्रणालियों में उपयोग किया जाने वाला एक अन्य उदाहरण धातु के पिन पैड का उपयोग है, जो थर्मल कैमरा हमलों को उनकी सामग्री, परिरक्षण, परावर्तनशीलता या आंतरिक ताप के कारण लगभग असंभव बनाता है। गर्म वस्तुओं या हाथों से पोंछने के माध्यम से गर्मी का स्थानांतरण प्रयोगों में थर्मल हमलों का मुकाबला करने के लिए प्रभावी पाया गया है। संज्ञानात्मक ट्रैपडोर खेल में तीन समूह शामिल हैंः एक मशीन सत्यापनकर्ता, एक मानव कहावत और एक मानव पर्यवेक्षक। प्रत्येक समूह का लक्ष्य यह है कि एक मानव कहावत को मशीन सत्यापनकर्ता द्वारा पूछे गए प्रश्नों का उत्तर देकर पिन डालना होता है, जबकि एक पर्यवेक्षक पिन को सर्फ करने का प्रयास करता है। चूंकि प्रतिकारक उपाय डिजाइन द्वारा आसानी से हड़पना कठिन होता है, इसलिए पर्यवेक्षक के लिए पूरी लॉगिन प्रक्रिया को याद रखना आसान नहीं होता है जब तक कि पर्यवेक्षक के पास रिकॉर्डिंग उपकरण न हो। आभासी वास्तविकता एक उपयोगकर्ता कंधे पर सर्फिंग की समस्याओं को कम करने के लिए एक आभासी वास्तविकता हेडसेट पहन सकता है, हालांकि हाव-भाव नियंत्रण, बटन दबाए जाने और आवाज आदेशों पर अभी भी हमला किया जा सकता है। सोशल इंजीनियरिंग (सुरक्षा) सूचना डाइविंग क्रेडिट कार्ड धोखाधड़ी फ़िशिंग संदर्भ हैकिंग (कंप्यूटर सुरक्षा) हैकर संस्कृति कम्प्यूटिंग शब्दावली भी देखें।