ईबे की कम-से-उत्कृष्ट सुरक्षा प्रथाओं के लिए प्रतिष्ठा है, और ऐसा लगता है कि यह जल्द ही बेहतर नहीं होने वाला है। हाल ही में उजागर हुई एक सुरक्षा भेद्यता कुछ उपयोगकर्ताओं को खतरे में डाल रही है, और ईबे ने पूर्ण सुधार के बजाय केवल आंशिक सुधार जारी करने का फैसला किया है।
यहां आपको भेद्यता के बारे में जानने की जरूरत है, यह कैसे काम करती है, और कैसे सुरक्षित रहें।
सक्रिय सामग्री, XSS, और ईबे घोटाले
प्रश्न में विशेष सुरक्षा भेद्यता "सक्रिय सामग्री" से जुड़ी है, जिसे विक्रेता अपने विज्ञापनों में एम्बेड कर सकते हैं। सक्रिय सामग्री आइटम विवरण को अधिक दिलचस्प या उपयोगी बनाने के लिए विभिन्न तकनीकों का उपयोग कर सकती है -- यह एक छोटा फ्लैश ऐप, एक जावास्क्रिप्ट मेनू, एक वेब पोल, या कुछ और हो सकता है जो एम्बेडेड और इंटरैक्टिव है। नीचे चित्रित विज्ञापन में, यह "xsellgalleryscript" नामक एक स्क्रिप्ट है जो आपको विक्रेता से अन्य आइटम खरीदने के लिए प्रेरित करने की कोशिश करती है।
अधिकांश मामलों में, सक्रिय सामग्री पूरी तरह से सुरक्षित है। यह हल्का परेशान करने वाला है, लेकिन सुरक्षित। हालांकि, क्रॉस-साइट स्क्रिप्टिंग (XSS) के साथ, किसी अन्य साइट पर स्थित एक स्क्रिप्ट को ईबे पेज पर लोड किया जा सकता है, और वह स्क्रिप्ट कुछ भी हो सकती है -- यह मैलवेयर डाउनलोड कर सकती है, आपके उपयोगकर्ता क्रेडेंशियल्स को फ़िश करने का प्रयास कर सकती है, या अन्य प्रकार की तबाही मचा सकती है। बेशक, क्योंकि यह हमला काफी आम है, ईबे इसे रोकने का प्रयास करने वाले फिल्टर का उपयोग करता है।
दुर्भाग्य से, किसी ने एक रास्ता खोज लिया। यह JSF*ck नामक एक तकनीक का उपयोग करता है, केवल छह वर्णों का उपयोग करके जावास्क्रिप्ट कोड लिखने का एक आकर्षक तरीका: []()!+। दो ब्रैकेट, दो पैरेंथेसिस, एक विस्मयादिबोधक बिंदु, और एक प्लस साइन के साथ, आप कोई भी जावास्क्रिप्ट कोड बना और चला सकते हैं।
यह एक मजेदार अभ्यास है, जैसे ब्रेनफक प्रोग्रामिंग भाषा। लेकिन इसका उपयोग ईबे के फिल्टर को बायपास करने के लिए भी किया जा सकता है।
चेक प्वाइंट नामक एक साइबर सुरक्षा फर्म ने सबसे पहले इस भेद्यता की सूचना दी, और कहा कि इसका उपयोग डेस्कटॉप साइट पर या iOS या एंड्रॉइड ऐप्स के माध्यम से मैलवेयर डाउनलोड करने या उपयोगकर्ताओं को फ़िशिंग पेज पर रीडायरेक्ट करने के लिए किया जा सकता है जहां वे अनजाने में उपयोगकर्ता क्रेडेंशियल्स दे सकते हैं। यहां एक हमले का वीडियो है:
चेक प्वाइंट ने दिसंबर 2015 में इस भेद्यता का प्रदर्शन और रिपोर्ट किया, उम्मीद करते हुए कि वे शोषण को रोकने के लिए अपने सॉफ्टवेयर को अपडेट करेंगे। बीबीसी के अनुसार, ईबे ने जनवरी में चेक प्वाइंट को बताया कि उनकी भेद्यता को ठीक करने की कोई योजना नहीं है, लेकिन उन्होंने फरवरी में आंशिक सुधार लागू किया। सिर्फ आंशिक सुधार क्यों? "[I] यह समझना महत्वपूर्ण है कि हमारे मार्केटप्लेस पर दुर्भावनापूर्ण सामग्री असाधारण रूप से असामान्य है," ईबे ने बीबीसी को बताया।
ईबे के इस दावे के बावजूद कि इस प्रकार के हमले का जोखिम बेहद कम है, सुरक्षा फर्म नेटक्राफ्ट ने बताया कि इसका उपयोग सक्रिय रूप से संभावित खरीदारों के ईमेल पते फ़िश करने और उन्हें नकली एस्क्रो सेवा के माध्यम से भुगतान पूरा करने के लिए प्रोत्साहित करने के लिए किया जा रहा था। और घोटाला काम कर गया -- नेटक्राफ्ट ने एक परेशान उपयोगकर्ता की याचिका के स्क्रीनशॉट साझा किए जिसे ईबे, पुलिस, और उसके बैंक द्वारा बताया गया कि वे उसकी मदद नहीं कर सकते।
ईबे पर XSS भेद्यता से खुद को कैसे सुरक्षित रखें
जब तक ईबे इस समस्या को पूरी तरह से ठीक नहीं करता, एक मौका है कि आप एक ऐसी लिस्टिंग में भाग सकते हैं जिसे एक स्कैमर ने समझौता किया है और खुद को जोखिम में डाल सकते हैं। हालांकि, कुछ चीजें हैं जो आप जोखिम कम करने के लिए कर सकते हैं।
पहली चीज जो आपको करनी चाहिए वह है यह सुनिश्चित करना कि आप अपने ब्राउज़र में क्लिक-टू-प्ले क्षमता का उपयोग कर रहे हैं। क्रोम में यह क्षमता अंतर्निहित है, फ़ायरफ़ॉक्स में लोकप्रिय नोस्क्रिप्ट एक्सटेंशन है, और सफारी उपयोगकर्ता JS Blocker 5 इंस्टॉल कर सकते हैं। यह किसी भी स्क्रिप्ट को लोड होने से रोकेगा जब तक कि आप विशेष रूप से उन्हें अनुमति न दें। आपको ईबे पर उन्हें लोड करने की आवश्यकता नहीं होनी चाहिए, लेकिन यदि आप करते हैं, तो आप एक क्लिक से उन्हें सक्षम कर सकते हैं।
अगर आप प्लगइन्स सक्षम करते हैं, तो आपको यह सुनिश्चित करने के लिए अतिरिक्त सतर्क रहना होगा कि आपका फायदा नहीं उठाया जा रहा है। जब भी आप ईबे पर अभी खरीदें, ऑफर दें, या बोली लगाएं लिंक पर क्लिक करने वाले हों, तो सुनिश्चित करें कि आपके ब्राउज़र में URL ebay.com है, और कुछ और नहीं। यदि आपको फ़िश किया जा रहा है, तो डोमेन ebay.com के अलावा कुछ और होगा।
यदि आप ईबे मोबाइल ऐप का उपयोग कर रहे हैं, तो किसी भी लिंक किए गए पेज के URL को दोबारा जांचना सुनिश्चित करें, खासकर यदि यह आपसे ईबे लॉगिन जानकारी मांग रहा है। और कोई अन्य ऐप डाउनलोड न करें! ईबे ऐप आपको कुछ और डाउनलोड करने के लिए प्रोत्साहित नहीं करेगा। जैसा कि ब्रायन क्रेब्स, वहां के सर्वश्रेष्ठ सुरक्षा ब्लॉगर्स में से एक, ऑनलाइन सुरक्षा के लिए अपने 3 बुनियादी नियमों में कहते हैं, अगर आपने इसे खोजने के लिए बाहर नहीं गए, तो इसे इंस्टॉल न करें!
इससे आगे, यह मानक ऑनलाइन मार्केटप्लेस सुरक्षा सामान है। केवल वेबसाइट के माध्यम से संवाद करें, ईमेल के माध्यम से नहीं, चाहे कुछ भी हो। ईबे से ईमेल में लिंक पर क्लिक न करें, बस ebay.com पर जाएं क्योंकि ईमेल स्कैमर से आया हो सकता है। साइट पर लिंक सुरक्षित हैं या नहीं, उपयोग करने से पहले जांचें। एक मजबूत पासवर्ड का उपयोग करें, और इसे नियमित रूप से बदलें। वे सभी नियमित "खुद को सुरक्षित रखें" टिप्स जो हम हर समय साझा करते हैं, यहां भी लागू होते हैं।
इस ईबे क्रॉस-साइट स्क्रिप्टिंग घोटाले से न फंसें
ईबे पर घोटालों से खुद को बचाने के लिए थोड़ी सतर्कता और थोड़ी सक्रिय रोकथाम की आवश्यकता होती है। स्क्रिप्ट-ब्लॉकिंग ब्राउज़र या एक्सटेंशन का उपयोग करने, संदिग्ध URL देखने, और अजीब डाउनलोड या अनुरोधों को देखने के लिए सुनिश्चित करने के बीच, आपको पूरी तरह से ठीक होना चाहिए, भले ही ईबे इस भेद्यता को ठीक न करे (जो वे शायद कुछ समय के लिए नहीं करेंगे, कम से कम)। तो कुछ त्वरित कदम उठाएं, और ईबे पर खरीदारी करके बहुत सारे पैसे बचाने के लिए वापस जाएं!
क्या आप ईबे पर खरीदारी करते हैं? क्या सुरक्षा भेद्यता पर उनकी निष्क्रियता का रिकॉर्ड आपको चिंतित करता है? क्या आप उनके वहां खरीदारी करने की संभावना कम है क्योंकि उन्होंने इस विशेष बग की रिपोर्टिंग पर अच्छी प्रतिक्रिया नहीं दी? नीचे अपने विचार साझा करें!
