Shoulder surfing (computer security)
کمپیوٹر سیکیورٹی میں، شولڈر سرفنگ ایک قسم کی سوشل انجینئرنگ تکنیک ہے جو شکار کے کندھے کو دیکھ کر ذاتی شناختی نمبر (پن)، پاس ورڈ اور دیگر خفیہ ڈیٹا جیسی معلومات حاصل کرنے کے لیے استعمال ہوتی ہے۔ غیر مجاز صارفین کسی ڈیوائس پر داخل کیے گئے کیسٹروک کو دیکھتے ہیں یا بولی جانے والی حساس معلومات کو سنتے ہیں، جسے جاسوسی بھی کہا جاتا ہے۔ طریقہ کار اور تاریخ یہ حملہ یا تو قریب سے (شکار کے کندھے کو براہ راست دیکھ کر) یا لمبی رینج سے کیا جا سکتا ہے، مثال کے طور پر دوربین یا اسی طرح کے ہارڈ ویئر کی جوڑی۔ اس طریقہ کو انجام دینے کے لیے حملہ آوروں کو کسی تکنیکی مہارت کی ضرورت نہیں ہے، اور متاثرین کے ماحول اور ٹائپنگ پیٹرن کا گہری مشاہدہ کافی ہے۔ 1980 کی دہائی کے اوائل میں، کالنگ کارڈ کے ہندسوں کو چوری کرنے اور لمبی دوری کی کال کرنے یا انہیں اصل خریدار کی ادائیگی سے سستی قیمتوں پر مارکیٹ میں فروخت کرنے کے لیے عوامی تنخواہ والے فون کے قریب شولڈر سرفنگ کا رواج تھا۔ تاہم، جدید دور کی ٹیکنالوجیز جیسے پوشیدہ کیمرے اور خفیہ مائکروفون کی آمد شولڈر سرفنگ کو آسان بناتی ہے اور حملہ آور کو لانگ رینج شولڈر سرفنگ انجام دینے کی زیادہ گنجائش دیتی ہے۔ ایک پوشیدہ کیمرہ حملہ آور کو لاگ ان کے پورے عمل اور شکار کے دیگر خفیہ ڈیٹا کو حاصل کرنے کی اجازت دیتا ہے، جو بالآخر مالی نقصان یا شناخت کی چوری کا باعث بن سکتا ہے۔ شولڈر سرفنگ ہجوم والی جگہوں پر ہونے کا زیادہ امکان ہے کیونکہ شکار کی توجہ حاصل کیے بغیر معلومات کا مشاہدہ کرنا آسان ہے۔ شولڈر سرفنگ حملے کی دو قسمیں ہیں: براہ راست مشاہداتی حملے، جس میں تصدیق کی معلومات ایک ایسے شخص کے ذریعے حاصل کی جاتی ہیں جو تصدیق کے سلسلے کی براہ راست نگرانی کر رہا ہوتا ہے، اور ریکارڈنگ حملے، جس میں تصدیق کی معلومات بعد میں تجزیہ کے لیے تصدیق کے سلسلے کو ریکارڈ کرکے حاصل کی جاتی ہے تاکہ آلہ کو کھولا جا سکے۔ پاس ورڈ یا پن اندراج کی دھمکیوں کے علاوہ، ہینڈ ہیلڈ موبائل ڈیوائسز پر نجی مواد کو بے نقاب کرنے کے لیے روزمرہ کے حالات میں شولڈر سرفنگ بھی ہوتی ہے۔ شولڈر سرفنگ بصری مواد صارف کی حساس معلومات اور یہاں تک کہ تیسرے فریق کے بارے میں نجی معلومات کو لیک کرنے کے لیے پایا گیا۔ جوابی اقدامات نظر پر مبنی پاس ورڈ اندراج نظر پر مبنی پاس ورڈ اندراج کا بنیادی طریقہ کار عام پاس ورڈ اندراج سے ملتا جلتا ہے، سوائے اس کے کہ کلید ٹائپ کرنے یا اسکرین کو چھونے کی جگہ، صارف ہر مطلوبہ کردار یا محرک کے علاقے کو ترتیب میں دیکھتا ہے (جیسے آنکھ ٹائپ کرنا)۔ لہذا اس نقطہ نظر کو آن اسکرین کی بورڈ کا استعمال کرکے اور گرافیکل پاس ورڈ اسکیموں کے ساتھ کردار پر مبنی پاس ورڈ دونوں کے ساتھ استعمال کیا جا سکتا ہے جیسا کہ سروے میں بتایا گیا ہے۔ استعمال اور سلامتی کو یقینی بنانے کے لیے مختلف قسم کے تحفظات اہم ہیں۔ آئی ٹریکنگ ٹیکنالوجی نے 1900 کی دہائی کے اوائل میں اپنی ابتدا کے بعد سے نمایاں ترقی کی ہے۔ جدید ترین آئی ٹریکرز 1 ڈگری بصری زاویے کی درستگی کے ساتھ نان اینکمبرنگ، ریموٹ ویڈیو پر مبنی آئی ٹریکنگ پیش کرتے ہیں۔ آئی ٹریکرز کمپیوٹر وژن کی ایک خصوصی ایپلی کیشن ہیں۔ صارف کی آنکھوں کی نگرانی کے لیے کیمرہ استعمال کیا جاتا ہے۔ ایک یا زیادہ اورکت روشنی کے ذرائع صارف کے چہرے کو روشن کرتے ہیں اور ایک چمک پیدا کرتے ہیں-کارنیا پر روشنی کے منبع کی عکاسی۔ جیسے جیسے صارف مختلف سمتوں میں دیکھتا ہے شاگرد حرکت کرتا ہے لیکن کارنیا پر چمک کا مقام طے رہتا ہے۔ شاگرد اور چمک کے مرکز کی متعلقہ حرکت اور پوزیشن کو گیز ویکٹر کا اندازہ لگانے کے لیے استعمال کیا جاتا ہے، جسے پھر اسکرین کے سطح پر نقاط میں نقشہ بنایا جاتا ہے۔ محققین نے نظر پر مبنی پاس ورڈ اندراج کے لیے سامنے والے کیمرے کا فائدہ اٹھاتے ہوئے موبائل آلات پر شولڈر سرفنگ کا مقابلہ کرنے کے طریقے تجویز کیے۔ مثال کے طور پر، گیز ٹچ پن اور گیز ٹچ پاس بائیں/دائیں طرف آنکھوں کی نقل و حرکت کی شکل میں گیز ان پٹ کو یکجا کرتے ہیں، اور آن اسکرین بٹنوں کو ٹیپ کرکے ٹچ ان پٹ کرتے ہیں۔ یہ طریقے روایتی ٹچ پر مبنی ان پٹ (مثال کے طور پر پن اور لاک پیٹرن) سے زیادہ محفوظ ہیں کیونکہ ان کے لیے شولڈر سرفروں کی ضرورت ہوتی ہے (1) صارف کی آنکھوں کا مشاہدہ کریں، (2) صارف کے ٹچ ان پٹ کا مشاہدہ کریں، اور (3) مشاہدات کو یکجا کریں۔ پینٹنگ البم میکانزم پینٹنگ البم میکانزم ایک اینٹی شولڈر سرفنگ میکانزم ہے، جس میں یاد کرنے اور پہچاننے کی گرافیکل تکنیک دونوں کی خصوصیات ہیں۔ عام پن یا پاس ورڈ استعمال کرنے کے بجائے جس میں حرف حرف شامل ہوں، صارفین سسٹم کو غیر مقفل کرنے کے لیے رنگوں یا تصاویر کا ایک سلسلہ منتخب کرتے ہیں۔ سائن ان کے عمل کے دوران منتخب کردہ رنگوں اور تصاویر کی ترتیب کو رجسٹریشن کے آرڈر سے ملنا ہوتا ہے۔ یہ اینٹی شولڈر سرفنگ حفاظتی طریقہ صارفین کے انتخاب سے وابستگی کے سروے کے نتائج کی بنیاد پر اور بچوں کے تصاویر پینٹ کرنے کے طریقے کے مشاہدے کے ذریعے تیار کیا گیا تھا۔ نتیجے کا طریقہ کار صارف کے انتخاب کے سروے سے تیار کیا گیا تھا، اور اس کے نتیجے میں تین ان پٹ اسکیمیں بنیں، جن کے نام سوائپ اسکیم، کلر اسکیم، اور اسکاٹ اسکیم ہیں، جو پاس ورڈ بنانے کے طریقے ہیں۔ ہر ان پٹ اسکیم ایک جیسی نہیں ہے، اور یہ صارف پر منحصر ہے کہ وہ اپنی پسند کی ان پٹ اسکیم کا انتخاب کرے۔ سوائپ اسکیم مائیکروسافٹ ونڈوز 8 میں نافذ کی گئی ہے، اور بعد کے ورژن میں، اسے پکچر پاس ورڈ کے نام سے جانا جاتا ہے ؛ تاہم اس نے صارف کو کافی محفوظ اشارہ استعمال کرنے کی ضرورت پر تنقید کا نشانہ بنایا ہے۔ خفیہ ٹیپ کا طریقہ کندھے کی سرفنگ کے کم خطرے کے ساتھ حساس معلومات تک رسائی کے لیے، خفیہ ٹیپ کا طریقہ ایک ایسی تکنیک ہے جو داخلے کے دوران تصدیق کی معلومات کو بے نقاب نہیں کرتی، چاہے دوسرے افراد ان پٹ کے عمل کو دیکھنے کی کوشش کریں۔ مزید برآں، کیمرہ ریکارڈنگ کا خطرہ بھی خطرہ ہے۔ لہذا، تصدیق کے عمل کو مزید پیچیدہ بنانا ضروری ہے تاکہ تصدیق کی معلومات کو کسی بھی اسمارٹ فون سے روکا جا سکے، بائیومیٹرک جیسے فنگر پرنٹ اسکیننگ یا چہرے کی شناخت، جسے کندھے کے سرف کے ذریعے نقل نہیں کیا جا سکتا۔ خفیہ ٹیپ تصدیق کا طریقہ شبیہیں یا نظام کی کسی اور شکل کا استعمال کر سکتا ہے۔ خفیہ ٹیپ سسٹم کے اہداف یہ ہیں: خفیہ مشاہدے کی مزاحمت: مزاحمت کی طاقت کو اس سطح پر برقرار رکھیں جو تصدیق کی معلومات کو دوسرے افراد پر ظاہر ہونے سے روکتی ہے، چاہے تصدیق کا عمل متعدد بار انجام دیا جائے۔ حملے کی مزاحمت کو ریکارڈ کرنا: مزاحمت کی طاقت کو اس سطح پر برقرار رکھیں جو تصدیق کی معلومات کو دوسرے افراد کے ذریعہ تجزیہ کرنے سے روکتا ہے چاہے تصدیق کا عمل مکمل طور پر ریکارڈ ہو۔ بروٹ فورس اٹیک ریزسٹنس: مزاحمت کی طاقت کو اس سطح پر برقرار رکھیں جو تصدیق کے عمل کو چار ہندسوں کے پن پر بروٹ فورس کے حملے سے زیادہ آسانی سے ٹوٹنے سے روکتا ہے۔ یہ پالیسی آئی ایس او 9564-1 میں پیش کردہ معیار کی پیروی کرتی ہے۔ استعمال کی اہلیت: استعمال کی ایسی سطح کو برقرار رکھیں جو آپریٹرز کو تصدیق کے عمل کو آسانی سے انجام دینے کی اجازت دے۔ حرفی ہندسی اور گرافیکل پاس ورڈ کے درمیان خطرات کا موازنہ حرفی ہندسی پاس ورڈ کے مقابلے میں گرافیکل پاس ورڈ کا بنیادی فائدہ بہتر یادداشت ہے۔ تاہم، اس فائدے کا ممکنہ نقصان کندھے سے سرفنگ کا بڑھتا ہوا خطرہ ہے۔ گرافک پاس ورڈ جو گرافکس یا تصاویر جیسے پاس فیس، جمنی، وی آئی پی، پاس پوائنٹ یا گرافکس اور آڈیو جیسے اے وی اے پی کا مجموعہ استعمال کرتے ہیں، ممکنہ طور پر اس بڑھتے ہوئے خطرے کے تابع ہیں جب تک کہ عمل میں کسی طرح سے کم نہ کیا جائے۔ نتائج اس حقیقت کی نشاندہی کرتے ہیں کہ حرفی اور گرافیکل پاس ورڈ پر مبنی تصدیق کے طریقہ کار دونوں میں کندھے کی سرفنگ کے لیے نمایاں خطرہ ہو سکتا ہے جب تک کہ کچھ احتیاطی تدابیر اختیار نہ کی جائیں۔ اس عام عقیدے کے باوجود کہ غیر لغت کے پاس ورڈ پاس ورڈ پر مبنی تصدیق کی سب سے محفوظ قسم ہیں، ہمارے نتائج یہ ظاہر کرتے ہیں کہ درحقیقت یہ کندھے کی سرفنگ کے لیے سب سے زیادہ کمزور ترتیب ہے۔ پن اندراج ذاتی شناختی نمبر (یا مختصر میں پن) کا استعمال مختلف حالات میں خود کو تصدیق کرنے کے لیے کیا جاتا ہے، جب کہ خودکار ٹیلر مشین سے رقم نکلوانا یا جمع کرنا، فون، دروازہ، لیپ ٹاپ یا پی ڈی اے کھولنا۔ اگرچہ تصدیق کا یہ طریقہ کچھ حالات میں دو مراحل کی تصدیق کا عمل ہے، لیکن یہ کندھے کی سرفنگ کے حملے کا شکار ہے۔ حملہ آور یا تو براہ راست شکار کے کندھے کو دیکھ کر یا لاگ ان کے پورے عمل کو ریکارڈ کر کے پن حاصل کر سکتا ہے۔ شیشے والے موبائل فون، چمکدار اسکرین جیسی اشیاء پر، صارف پن ظاہر کرتے ہوئے اسکرین پر دھبے چھوڑ سکتا ہے۔ کچھ انتہائی جدید حملے تھرمل کیمروں کا استعمال کرتے ہیں تاکہ درج کردہ پن کے تھرمل دستخطی کو دیکھا جا سکے۔ تھرمل حملے تصدیق کرنے والے شخص کے راز میں داخل ہونے کے بعد چابیاں پر باقی گرمی کے فنگر پرنٹس کا فائدہ اٹھاتے ہیں۔ لہذا، تصدیق کے عمل کو محفوظ بنانے کے لیے شولڈر سرفنگ مزاحم پن انٹری کے مختلف طریقے استعمال کیے جاتے ہیں۔ مثالوں میں بلٹ ان پرائیویسی شیلڈز کے ساتھ پن پیڈ شامل ہیں۔ اے ٹی ایم اور کچھ داخلی نظاموں میں استعمال ہونے والی ایک اور مثال دھاتی پن پیڈ کے استعمال کی ہے، جو تھرمل کیمرے کے حملوں کو ان کے مواد، تحفظ، عکاسی یا اندرونی حرارت کی وجہ سے تقریبا ناممکن بنا دیتا ہے۔ گرم اشیاء یا ہاتھوں سے مسح کرنے کے ذریعے حرارت کی منتقلی تجربات میں تھرمل حملوں کا مقابلہ کرنے کے لیے موثر پائی جاتی ہے۔ کاؤنٹر میزر ٹیسٹنگ علمی ٹریپ ڈور گیم میں تین گروپ شامل ہیں: ایک مشین ویریفائر، ایک انسانی کہاوت، اور ایک انسانی مبصر۔ ہر گروپ کا مقصد یہ ہے کہ ایک انسانی کہاوت کو مشین تصدیق کنندہ کے ذریعہ پوچھے گئے سوالات کا جواب دے کر پن ڈالنا پڑتا ہے جب کہ ایک مبصر پن کو کندھے سے کندھا ملا کر سرف کرنے کی کوشش کرتا ہے۔ چونکہ جوابی اقدامات ڈیزائن کے لحاظ سے آسانی سے قبضہ کرنا مشکل ہوتے ہیں، مبصر کے لیے لاگ ان کے پورے عمل کو یاد رکھنا آسان نہیں ہوتا جب تک کہ مبصر کے پاس ریکارڈنگ ڈیوائس نہ ہو۔ ورچوئل رئیلٹی ایک صارف شولڈر سرفنگ کے مسائل کو کم کرنے کے لیے ورچوئل رئیلٹی ہیڈ سیٹ پہن سکتا ہے، تاہم اشارے کے کنٹرول، بٹن دبانے اور وائس کمانڈز پر پھر بھی حملہ کیا جا سکتا ہے۔ سوشل انجینئرنگ (سیکیورٹی) انفارمیشن ڈائیونگ کریڈٹ کارڈ فراڈ فشنگ حوالہ جات ہیکنگ (کمپیوٹر سیکیورٹی) ہیکر کلچر کمپیوٹنگ اصطلاحات بھی دیکھیں۔