यदि आप अधिकांश लोगों की तरह हैं, तो आप कष्टप्रद वेब फॉर्म को पूरा करने के लिए ब्राउज़र ऑटोफिल पर भरोसा करते हैं। ब्राउज़र "ऑटोफिल" आपके द्वारा पहले इन फ़ील्ड में दर्ज की गई जानकारी के आधार पर वेब फॉर्म में फ़ील्ड में आपकी जानकारी स्वचालित रूप से भर देता है।
बुरी खबर यह है कि दुर्भावनापूर्ण थर्ड पार्टी और ब्लैक-हैट हैकर्स ब्राउज़रों में इस ऑटोफिल सुविधा का उपयोग आपको अपनी संवेदनशील जानकारी देने के लिए धोखा देने के लिए कर सकते हैं। फिनलैंड के एक व्हाइट-हैट हैकर, विलजामी कुओसमैनन, जो एक वेब डेवलपर भी हैं, ने अपने GitHub डेमो में दिखाया कि हमलावर प्लगइन्स, पासवर्ड मैनेजर (और ऐसे टूल), और ब्राउज़रों में ऑटोफिल सुविधा को हाईजैक कर सकते हैं।
कुओसमैनन से बहुत पहले, ElevenPaths के सुरक्षा विश्लेषक, रिकार्डो मार्टिन रोड्रिग्ज ने 2013 में इस ब्राउज़र ऑटोफिल भेद्यता की खोज की थी। अभी तक, Google को इस भेद्यता का कोई समाधान नहीं मिला है।
अनजाने में अपनी संवेदनशील जानकारी बिखेरना
कुओसमैनन के प्रूफ-ऑफ-कॉन्सेप्ट डेमो वेबसाइट पर आपको केवल दो फ़ील्ड वाला एक साधारण वेब फॉर्म दिखाई देगा - नाम और ईमेल पता। हालांकि, फॉर्म में कई छिपे हुए (यानी दृष्टि से बाहर) फ़ील्ड हैं; इन छिपे हुए फ़ील्ड में पता, संगठन, फोन नंबर, शहर, पोस्टल कोड, और देश शामिल हैं।
ऊपर दिए गए फॉर्म की तरह, आप केवल नाम और ईमेल फ़ील्ड देखेंगे, लेकिन आपका ऑटोफिल फीचर स्वचालित रूप से शेष फ़ील्ड में आपके विवरण भर देगा। ऊपर दिए गए फ़िशिंग वेब फॉर्म की तरह, जब आप सबमिट बटन पर क्लिक करेंगे तो आपकी जानकारी से अधिक जानकारी एकत्र हो जाएगी।
अपने ब्राउज़र और एक्सटेंशन ऑटोफिल सुविधाओं का परीक्षण करने के लिए, आप कुओसमैनन द्वारा स्थापित प्रूफ-ऑफ-कॉन्सेप्ट साइट का उपयोग कर सकते हैं। फॉर्म सबमिट करने पर मैंने देखा कि इसने मेरे द्वारा दी गई जानकारी से अधिक जानकारी ले ली थी। मैंने इस परीक्षण के लिए नवीनतम Mozilla Firefox का उपयोग किया और यह देखकर चकित रह गया कि मैंने कितनी जानकारी उजागर कर दी।
Chrome में HTTPS के बिना वेबसाइटों के लिए वित्तीय डेटा ऑटो-फिल करने पर चेतावनी ट्रिगर होती है। मेरे अनुभव में कुओसमैनन के फॉर्म ने वह तारीख एकत्र करने का प्रयास किया जब मैंने फॉर्म भरा, मेरा पता, मेरा क्रेडिट कार्ड नंबर, CVV, क्रेडिट कार्ड समाप्ति तिथि, मेरा शहर, देश, ईमेल, नाम, संगठन, फोन, और पोस्टल कोड।
फॉर्म ने मेरे ब्राउज़र प्रकार, मेरे वर्तमान IP पते और अधिक पर कुछ मेटाडेटा एकत्र करने का भी प्रयास किया।
Apple Safari, Google Chrome, और Opera सभी कुओसमैनन हमले के परीक्षण के दौरान कमजोर थे।
जनवरी 2017 में Mozilla के प्रमुख सुरक्षा इंजीनियर, डैनियल वेडिट्ज़ ने कहा कि Firefox ब्राउज़रों को प्रोग्रामेटिक रूप से टेक्स्ट बॉक्स भरने में धोखा नहीं दिया जा सकता। Firefox उपयोगकर्ता ब्राउज़र ऑटोफिल हमलों से सुरक्षित हैं (कम से कम अभी के लिए), क्योंकि ब्राउज़र में मल्टी-बॉक्स ऑटोफिल सिस्टम नहीं है। Mozilla का Firefox ब्राउज़र उपयोगकर्ताओं के लिए वेब फॉर्म में प्रत्येक टेक्स्ट बॉक्स के लिए पूर्व-भरे डेटा को मैन्युअल रूप से चुनना अनिवार्य बनाता है।
निष्कर्ष: अपने ब्राउज़र ऑटोफिल फीचर को बंद करें
फ़िशिंग हमलों के खिलाफ सबसे आसान सावधानी है अपने ब्राउज़र, एक्सटेंशन सेटिंग्स या पासवर्ड मैनेजर में फॉर्म ऑटोफिल फीचर को बंद करना। आपका ब्राउज़र ऑटोफिल फीचर, डिफ़ॉल्ट रूप से, चालू होता है।
Chrome में ऑटोफिल बंद करने के लिए:
1. ब्राउज़र की "सेटिंग्स" पर जाएं।
2. पेज के नीचे "उन्नत सेटिंग्स" ढूंढें।
3. "पासवर्ड और फॉर्म" क्षेत्र में "ऑटोफिल सक्षम करें" को अनचेक करें।
Opera में ऑटोफिल बंद करने के लिए:
1. सेटिंग्स पर जाएं।
2. "ऑटोफिल" पर जाएं और इसे बंद करें।
Safari में ऑटोफिल बंद करने के लिए:
1. "प्राथमिकताएं" पर जाएं।
2. इसे बंद करने के लिए "ऑटोफिल" पर क्लिक करें।
यदि आपको यह पोस्ट उपयोगी लगी तो कृपया नीचे "हां" पर क्लिक करें। हमें आपकी टिप्पणियां देखकर भी खुशी होगी।
