Browser security
براؤزر سیکیورٹی نیٹ ورکڈ ڈیٹا اور کمپیوٹر سسٹم کو پرائیویسی یا میلویئر کی خلاف ورزیوں سے بچانے کے لیے ویب براؤزرز پر انٹرنیٹ سیکیورٹی کا اطلاق ہے۔ براؤزرز کے حفاظتی کارنامے اکثر جاوا اسکرپٹ کا استعمال کرتے ہیں، بعض اوقات کراس سائٹ اسکرپٹنگ (ایکس ایس ایس) کے ساتھ ایڈوب فلیش کا استعمال کرتے ہوئے ثانوی پے لوڈ کے ساتھ۔ حفاظتی کارنامے کمزوریوں (حفاظتی سوراخوں) سے بھی فائدہ اٹھا سکتے ہیں جو عام طور پر تمام براؤزرز میں استحصال کیے جاتے ہیں (بشمول موزیلا فائر فاکس، گوگل کروم، اوپیرا، مائیکروسافٹ انٹرنیٹ ایکسپلورر، اور سفاری)۔ سیکیورٹی ویب براؤزرز کی خلاف ورزی مندرجہ ذیل میں سے ایک یا زیادہ طریقوں سے کی جا سکتی ہے: آپریٹنگ سسٹم کی خلاف ورزی ہوئی ہے اور میلویئر براؤزر میموری کی جگہ کو مراعات یافتہ موڈ میں پڑھ/ترمیم کر رہا ہے۔ آپریٹنگ سسٹم میں ایک میلویئر ہے جو پس منظر کے عمل کے طور پر چل رہا ہے، جو براؤزر میموری کی جگہ کو مراعات یافتہ موڈ میں پڑھ/ترمیم کر رہا ہے۔ مین براؤزر ایگزیکٹوبل کو ہیک کیا جا سکتا ہے براؤزر کے اجزاء کو ہیک کیا جا سکتا ہے براؤزر پلگ ان کو ہیک کیا جا سکتا ہے براؤزر نیٹ ورک کے مواصلات کو مشین کے باہر روکا جا سکتا ہے براؤزر کو اوپر کی کسی بھی خلاف ورزی سے آگاہ نہیں کیا جا سکتا ہے اور صارف کو ایک محفوظ کنکشن دکھایا جا سکتا ہے۔ جب بھی کوئی براؤزر کسی ویب سائٹ کے ساتھ بات چیت کرتا ہے، تو ویب سائٹ، اس بات چیت کے حصے کے طور پر، براؤزر کے بارے میں کچھ معلومات اکٹھا کرتی ہے (تاکہ فراہم کیے جانے والے صفحے کی فارمیٹنگ پر کارروائی کی جا سکے، اگر کچھ اور نہیں)۔ اگر بدنیتی پر مبنی کوڈ ویب سائٹ کے مواد میں داخل کیا گیا ہے، یا بدترین صورت حال میں، اگر اس ویب سائٹ کو خاص طور پر بدنیتی پر مبنی کوڈ کی میزبانی کے لیے ڈیزائن کیا گیا ہے، تو کسی خاص براؤزر کے لیے مخصوص خطرات اس بدنیتی پر مبنی کوڈ کو براؤزر ایپلی کیشن کے اندر عمل کو غیر ارادی طریقوں سے چلانے کی اجازت دے سکتے ہیں (اور یاد رکھیں، ویب سائٹ براؤزر کے مواصلات سے جو معلومات اکٹھا کرتی ہے ان میں سے ایک براؤزر کی شناخت ہے-جو مخصوص خطرات کو استحصال کرنے کی اجازت دیتی ہے)۔ ایک بار جب حملہ آور وزیٹر کی مشین پر عمل چلانے کے قابل ہو جاتا ہے، تو معلوم حفاظتی کمزوریوں کا استحصال حملہ آور کو "متاثرہ" نظام تک مراعات یافتہ رسائی (اگر براؤزر پہلے سے مراعات یافتہ رسائی کے ساتھ نہیں چل رہا ہے) حاصل کرنے کی اجازت دے سکتا ہے تاکہ مشین یا یہاں تک کہ شکار کے پورے نیٹ ورک پر بدنیتی پر مبنی عمل اور سرگرمیوں کی ایک اور بھی زیادہ قسم انجام دی جا سکے۔ ویب براؤزر سیکیورٹی کی خلاف ورزیاں عام طور پر انٹرنیٹ مارکیٹنگ یا شناخت کی چوری کے لیے ذاتی طور پر قابل شناخت معلومات (پی آئی آئی) جمع کرنے والے پاپ اپ اشتہارات کو ظاہر کرنے کے لیے تحفظات کو نظرانداز کرنے کے مقصد سے ہوتی ہیں، ویب کیڑے، کلک جیکنگ، لائک جیکنگ (جہاں فیس بک کے لائک بٹن کو نشانہ بنایا جاتا ہے)، ایچ ٹی ٹی پی کوکیز، زومبی کوکیز یا فلیش کوکیز (لوکل شیئرڈ آبجیکٹس یا ایل ایس اوز) جیسے ٹولز کا استعمال کرتے ہوئے کسی صارف کے بارے میں ویب ٹریکنگ یا ویب تجزیات ؛ ایڈویئر، وائرس، اسپائی ویئر جیسے ٹروجن ہارس انسٹال کرنا (کریکنگ کے ذریعے صارفین کے ذاتی کمپیوٹر تک رسائی حاصل کرنے کے لیے) یا مین ان براؤزر حملوں کا استعمال کرتے ہوئے آن لائن بینکنگ چوری سمیت دیگر میلویئر۔ کرومیم ویب براؤزر میں کمزوریوں کا گہرائی سے مطالعہ اس بات کی نشاندہی کرتا ہے کہ، نامناسب ان پٹ توثیق (سی ڈبلیو ای-20) اور نامناسب رسائی کنٹرول (سی ڈبلیو ای-284) حفاظتی کمزوریوں کی سب سے زیادہ بنیادی وجوہات ہیں۔ مزید برآں، اس مطالعے کے وقت جانچ پڑتال کی گئی کمزوریوں میں، تھرڈ پارٹی لائبریریوں کے کمزور ورژن کو دوبارہ استعمال کرنے یا درآمد کرنے کی وجہ سے کرومیم میں 106 کمزوریاں واقع ہوئیں۔ براؤزر سافٹ ویئر کو اپ ڈیٹ رکھ کر خود ویب براؤزر سافٹ ویئر میں خطرات کو کم کیا جا سکتا ہے، لیکن اگر بنیادی آپریٹنگ سسٹم سے سمجھوتہ کیا جائے تو یہ کافی نہیں ہوگا، مثال کے طور پر، روٹ کٹ کے ذریعے۔ براؤزر کے کچھ ذیلی اجزاء جیسے اسکرپٹنگ، ایڈ آن، اور کوکیز خاص طور پر کمزور ہیں ("الجھن کا شکار ذیلی مسئلہ") اور ان پر بھی توجہ دینے کی ضرورت ہے۔ گہرائی میں دفاع کے اصول پر عمل کرتے ہوئے، مکمل طور پر پیچ شدہ اور صحیح طریقے سے تشکیل شدہ براؤزر اس بات کو یقینی بنانے کے لیے کافی نہیں ہو سکتا کہ براؤزر سے متعلق حفاظتی مسائل پیدا نہ ہوں۔ مثال کے طور پر، جب کوئی بینکنگ ویب سائٹ پر لاگ ان ہوتا ہے تو ایک روٹ کٹ کیسٹروک کو پکڑ سکتا ہے، یا ویب براؤزر پر آنے اور جانے والے نیٹ ورک ٹریفک میں ترمیم کرکے مین ان دی مڈل حملہ کر سکتا ہے۔ ڈی این ایس ہائی جیکنگ یا ڈی این ایس سپوفنگ کا استعمال غلط ٹائپ شدہ ویب سائٹ کے ناموں کے لیے غلط مثبت واپس کرنے، یا مقبول سرچ انجنوں کے لیے تلاش کے نتائج کو ختم کرنے کے لیے کیا جا سکتا ہے۔ آر ایس پی پلگ جیسے میلویئر محض بدمعاش ڈی این ایس سرورز کی طرف اشارہ کرنے کے لیے سسٹم کی ترتیب میں ترمیم کرتے ہیں۔ براؤزر ان میں سے کچھ حملوں کو روکنے میں مدد کے لیے نیٹ ورک مواصلات کے زیادہ محفوظ طریقے استعمال کر سکتے ہیں: ڈی این ایس: ڈی این ایس ایس ای سی اور ڈی این ایس کرپٹ، مثال کے طور پر غیر ڈیفالٹ ڈی این ایس سرورز جیسے گوگل پبلک ڈی این ایس یا اوپن ڈی این ایس کے ساتھ۔ ایچ ٹی ٹی پی: ڈیجیٹل طور پر دستخط شدہ عوامی کلیدی سرٹیفکیٹ یا توسیعی توثیق سرٹیفکیٹ کے ساتھ ایچ ٹی ٹی پی سیکیور اور ایس پی ڈی وائی۔ دائرے کے دفاع، عام طور پر فائر والز کے ذریعے اور فلٹرنگ پراکسی سرورز کا استعمال جو بدنیتی پر مبنی ویب سائٹس کو بلاک کرتے ہیں اور کسی بھی فائل ڈاؤن لوڈ کے اینٹی وائرس اسکین انجام دیتے ہیں، عام طور پر براؤزر تک پہنچنے سے پہلے بدنیتی پر مبنی نیٹ ورک ٹریفک کو روکنے کے لیے بڑی تنظیموں میں ایک بہترین عمل کے طور پر نافذ کیے جاتے ہیں۔ براؤزر سیکیورٹی کا موضوع پوری تنظیموں کی تخلیق کو فروغ دینے کی حد تک بڑھ گیا ہے، جیسے کہ براؤزر ایکسپلوئٹیشن فریم ورک پروجیکٹ، براؤزر سیکیورٹی کی خلاف ورزی کرنے کے لیے ٹولز جمع کرنے کے لیے پلیٹ فارم بنانا، بظاہر براؤزرز اور نیٹ ورک سسٹم کو خطرات کے لیے جانچنے کے لیے۔ پلگ ان اور ایکسٹینشنز اگرچہ براؤزر کا حصہ نہیں ہیں، براؤزر پلگ ان اور ایکسٹینشنز حملے کی سطح کو بڑھاتے ہیں، جس سے ایڈوب فلیش پلیئر، ایڈوب (ایکروبیٹ) ریڈر، جاوا پلگ ان، اور ایکٹو ایکس میں کمزوریوں کو بے نقاب کیا جاتا ہے جو عام طور پر استحصال کیے جاتے ہیں۔ محققین نے مختلف ویب براؤزرز کے حفاظتی ڈھانچے کا بڑے پیمانے پر مطالعہ کیا ہے، خاص طور پر وہ جو پلگ اینڈ پلے ڈیزائن پر انحصار کرتے ہیں۔ اس مطالعے میں 16 عام کمزوری کی اقسام اور 19 ممکنہ تخفیف کی نشاندہی کی گئی ہے۔ میلویئر کو براؤزر کی توسیع کے طور پر بھی لاگو کیا جا سکتا ہے، جیسے انٹرنیٹ ایکسپلورر کے معاملے میں براؤزر ہیلپر آبجیکٹ۔ مختلف دیگر کارناموں والی ویب سائٹس میں جو مستند نظر آنے کے لیے ڈیزائن کی گئی تھیں اور ان میں بدمعاش 'اپ ڈیٹ ایڈوب فلیش' پاپ اپ شامل تھے جو ان کی جگہ میلویئر پے لوڈ ڈاؤن لوڈ کرنے کے لیے بصری اشارے کے طور پر ڈیزائن کیے گئے تھے۔ گوگل کروم اور موزیلا فائر فاکس جیسے کچھ براؤزر غیر محفوظ پلگ ان کو بلاک کر سکتے ہیں-یا صارفین کو خبردار کر سکتے ہیں۔ ایڈوب فلیش سوشل سائنس ریسرچ نیٹ ورک کے اگست 2009 کے ایک مطالعے سے پتہ چلا ہے کہ فلیش استعمال کرنے والی 50 ٪ ویب سائٹیں بھی فلیش کوکیز کا استعمال کر رہی تھیں، پھر بھی پرائیویسی پالیسیاں شاذ و نادر ہی ان کا انکشاف کرتی ہیں، اور پرائیویسی ترجیحات کے لیے صارف کے کنٹرول کا فقدان تھا۔ زیادہ تر براؤزرز کی کیش اور ہسٹری ڈیلیٹ افعال فلیش پلیئر کی تحریری لوکل شیئرڈ آبجیکٹس کو اس کے اپنے کیش پر متاثر نہیں کرتے ہیں، اور صارف برادری ایچ ٹی ٹی پی کوکیز کے مقابلے میں فلیش کوکیز کے وجود اور فنکشن سے بہت کم واقف ہے۔ اس طرح، جن صارفین نے ایچ ٹی ٹی پی کوکیز کو حذف کر دیا ہے اور براؤزر ہسٹری فائلوں اور کیشز کو صاف کر دیا ہے وہ یقین کر سکتے ہیں کہ انہوں نے اپنے کمپیوٹر سے تمام ٹریکنگ ڈیٹا کو صاف کر دیا ہے جبکہ حقیقت میں فلیش براؤزنگ ہسٹری باقی ہے۔ دستی ہٹانے کے ساتھ ساتھ، فائر فاکس کے لیے بیٹر پرائیویسی ایڈ آن فلیش کوکیز کو ہٹا سکتا ہے۔ ایڈ بلاک پلس کو مخصوص خطرات کو فلٹر کرنے کے لیے استعمال کیا جا سکتا ہے اور فلیش بلاک کو دوسری صورت میں قابل اعتماد سائٹوں پر مواد کی اجازت دینے سے پہلے آپشن دینے کے لیے استعمال کیا جا سکتا ہے۔ چارلی ملر نے کمپیوٹر سیکیورٹی کانفرنس کینسیک ویسٹ میں "فلیش انسٹال نہ کرنے" کی سفارش کی۔ کئی دیگر حفاظتی ماہرین بھی ایڈوب فلیش پلیئر کو انسٹال نہ کرنے یا اسے بلاک کرنے کی سفارش کرتے ہیں۔ پاس ورڈ سیکیورٹی ماڈل ویب پیج کے مندرجات من مانی ہوتے ہیں اور ایڈریس بار میں دکھائے گئے ڈومین کے مالک ادارے کے زیر کنٹرول ہوتے ہیں۔ اگر ایچ ٹی ٹی پی ایس استعمال کیا جاتا ہے، تو انکرپشن کا استعمال نیٹ ورک تک رسائی رکھنے والے حملہ آوروں کے خلاف راستے میں موجود صفحہ کے مندرجات کو تبدیل کرنے سے محفوظ کرنے کے لیے کیا جاتا ہے۔ جب کسی ویب پیج پر پاس ورڈ فیلڈ پیش کیا جاتا ہے، تو صارف کو ایڈریس بار کو دیکھنا چاہیے تاکہ اس بات کا تعین کیا جا سکے کہ ایڈریس بار میں ڈومین کا نام پاس ورڈ بھیجنے کے لیے صحیح جگہ ہے یا نہیں۔ مثال کے طور پر، گوگل کے سنگل سائن آن سسٹم کے لیے (مثال کے طور پر استعمال کیا جاتا ہے۔ youtube.com)، صارف کو اپنا پاس ورڈ داخل کرنے سے پہلے ہمیشہ چیک کرنا چاہیے کہ ایڈریس بار "https://accounts.google.com" کہتا ہے۔ غیر سمجھوتہ شدہ براؤزر اس بات کی ضمانت دیتا ہے کہ ایڈریس بار درست ہے۔ یہ ضمانت ایک وجہ ہے کہ براؤزر عام طور پر فل اسکرین موڈ میں داخل ہوتے وقت انتباہ ظاہر کرتے ہیں، اس کے اوپر جہاں ایڈریس بار عام طور پر ہوتا ہے، تاکہ ایک فل اسکرین ویب سائٹ جعلی ایڈریس bar.076235245 ہارڈ ویئر براؤزر کے ساتھ جعلی براؤزر یوزر انٹرفیس نہ بنا سکے۔ غیر تحریری، صرف پڑھنے والے فائل سسٹمز سے چلنے والے ہارڈ ویئر پر مبنی براؤزرز کو مارکیٹ کرنے کی کوششیں کی گئی ہیں۔ ڈیٹا کو ڈیوائس پر محفوظ نہیں کیا جا سکتا اور میڈیا کو اوور رائٹ نہیں کیا جا سکتا، ہر بار لوڈ ہونے پر ایک کلین ایگزیکٹوبل پیش کرتا ہے۔ اس طرح کا پہلا آلہ زیوس گارڈ سیکیور ہارڈ ویئر براؤزر تھا، جو 2013 کے آخر میں جاری کیا گیا تھا۔ زیوس گارڈ ویب سائٹ 2016 کے وسط سے فعال نہیں ہے۔ ایک اور ڈیوائس، آئی کلاک ویب سائٹ کا آئی کلاک اسٹیک ایک مکمل لائیو او ایس فراہم کرتا ہے جو کمپیوٹر کے پورے آپریٹنگ سسٹم کو مکمل طور پر تبدیل کر دیتا ہے اور صرف پڑھنے والے سسٹم سے دو ویب براؤزر پیش کرتا ہے۔ آئی کلاک کے ساتھ وہ گمنام براؤزنگ کے لیے ٹور براؤزر کے ساتھ ساتھ غیر گمنام براؤزنگ کے لیے ایک باقاعدہ فائر فاکس براؤزر فراہم کرتے ہیں۔ کوئی بھی غیر محفوظ ویب ٹریفک (مثال کے طور پر، HTTPS کا استعمال نہ کرنا)، اب بھی درمیانی تبدیلی یا نیٹ ورک ٹریفک پر مبنی دیگر ہیرا پھیری کے تابع ہو سکتا ہے۔ لائیو سی ڈی لائیو سی ڈی، جو ایک آپریٹنگ سسٹم کو غیر تحریری ماخذ سے چلاتے ہیں، عام طور پر ویب براؤزرز کے ساتھ ان کی ڈیفالٹ امیج کے حصے کے طور پر آتے ہیں۔ اگر اصل لائیو سی ڈی امیج میلویئر سے پاک ہے، تو ویب براؤزر سمیت استعمال ہونے والا تمام سافٹ ویئر، جب بھی لائیو سی ڈی امیج کو بوٹ کیا جائے گا، میلویئر سے پاک لوڈ ہو جائے گا۔ براؤزر کو سخت کرنا انٹرنیٹ کو کم سے کم استحقاق والے صارف اکاؤنٹ کے طور پر براؤز کرنا (یعنی۔ ایڈمنسٹریٹر کے مراعات کے بغیر) ویب براؤزر میں سیکیورٹی استحصال کی صلاحیت کو پورے آپریٹنگ سسٹم سے سمجھوتہ کرنے سے محدود کرتا ہے۔ انٹرنیٹ ایکسپلورر 4 اور بعد میں مختلف طریقوں سے ایکٹو ایکس کنٹرولز، ایڈ آنز اور براؤزر ایکسٹینشنز کو بلاک لسٹ کرنے اور اجازت دینے کی اجازت دیتا ہے۔ انٹرنیٹ ایکسپلورر 7 نے "پروٹیکٹڈ موڈ" شامل کیا، ایک ایسی ٹیکنالوجی جو ونڈوز وسٹا کے سیکیورٹی سینڈ باکسنگ فیچر کے استعمال کے ذریعے براؤزر کو سخت کرتی ہے جسے مینڈیٹری انٹیگریٹی کنٹرول کہا جاتا ہے۔ گوگل کروم آپریٹنگ سسٹم تک ویب پیج تک رسائی کو محدود کرنے کے لیے ایک سینڈ باکس فراہم کرتا ہے۔ گوگل کو اطلاع دی گئی مشتبہ میلویئر سائٹس، اور گوگل کے ذریعہ تصدیق شدہ، بعض براؤزرز میں ہوسٹنگ میلویئر کے طور پر نشان زد ہیں۔ یہاں تک کہ تازہ ترین براؤزرز کو سخت کرنے کے لیے تھرڈ پارٹی ایکسٹینشنز اور پلگ ان دستیاب ہیں، اور کچھ پرانے براؤزرز اور آپریٹنگ سسٹم کے لیے۔ وائٹ لسٹ پر مبنی سافٹ ویئر جیسے نو اسکرپٹ جاوا اسکرپٹ اور ایڈوب فلیش کو بلاک کر سکتا ہے جو پرائیویسی پر زیادہ تر حملوں کے لیے استعمال ہوتا ہے، جس سے صارفین کو صرف ان سائٹس کا انتخاب کرنے کی اجازت ملتی ہے جن کے بارے میں وہ جانتے ہیں کہ وہ محفوظ ہیں-ایڈ بلاک پلس وائٹ لسٹ ایڈ فلٹرینگ رولز سبسکرپشنز کا بھی استعمال کرتا ہے، حالانکہ خود سافٹ ویئر اور فلٹرینگ لسٹ مینٹینرز دونوں ہی بائی ڈیفالٹ کے لیے تنازعہ کی زد میں آ چکے ہیں جو کچھ سائٹس کو پری سیٹ فلٹرز کو پاس کرنے کی اجازت دیتے ہیں۔ یو ایس-سی ای آر ٹی نو اسکرپٹ کا استعمال کرتے ہوئے فلیش کو بلاک کرنے کی سفارش کرتا ہے۔ جدید ویب براؤزرز کو کمزوریوں کو بے نقاب کرنے کے لیے وسیع پیمانے پر فزنگ سے گزرنا پڑتا ہے۔ گوگل کروم کا کرومیم کوڈ کروم سیکیورٹی ٹیم کے ذریعے 15,000 کور کے ساتھ مسلسل نظر انداز کیا جاتا ہے۔ مائیکروسافٹ ایج اور انٹرنیٹ ایکسپلورر کے لیے، مائیکروسافٹ نے پروڈکٹ ڈویلپمنٹ کے دوران 670 مشین سالوں کے ساتھ فجڈ ٹیسٹنگ کی، جس سے 1 بلین ایچ ٹی ایم ایل فائلوں سے 400 بلین سے زیادہ ڈی او ایم ہیرا پھیری پیدا ہوئی۔ بہترین عمل صاف سافٹ ویئر لوڈ کریں: ایک معروف صاف او ایس سے بوٹ کریں جس میں ایک معروف صاف ویب براؤزر ہے کراس اوریجن ریسورس شیئرنگ (سی او آر ایس) کی کمزوری کے خلاف مناسب جوابی اقدامات اپنائیں (مثال کے طور پر ویب کٹ پر مبنی براؤزرز کے لیے پیچ فراہم کیے جاتے ہیں) تھرڈ پارٹی سافٹ ویئر کے ذریعے حملوں کو روکیں: سخت ویب براؤزر یا ایڈ آن فری براؤزنگ موڈ کا استعمال کریں ڈی این ایس ہیرا پھیری کو روکیں: قابل اعتماد اور محفوظ ڈی این ایس کا استعمال کریں ویب سائٹ پر مبنی کارناموں سے بچیں: انٹرنیٹ سیکیورٹی سافٹ ویئر میں عام طور پر پائے جانے والے لنک چیکنگ براؤزر پلگ انز کو استعمال کریں بدنیتی پر مبنی مواد سے بچیں: دائرے کے دفاع اور اینٹی میلویئر سافٹ ویئر کو استعمال کریں فلٹر ببل فریم انجیکشن سے چلنے والے انٹرنیٹ نیٹ ورک سیکیورٹی پالیسی ایپلی کیشن سیکیورٹی حوالہ جات مزید پڑھنے ویب براؤزر ویب براؤزر