নেটওয়ার্কিং-এ CSRF কী?
Cross-Site Request Forgery (CSRF) আক্রমণ ঘটে যখন একটি ম্যালিশিয়াস ওয়েবসাইট, ব্লগ, ইমেইল, ইনস্ট্যান্ট মেসেজ বা ওয়েব অ্যাপ্লিকেশন একটি বিশ্বস্ত সাইটে রিকোয়েস্ট পাঠায়, যেখানে ইউজার ইতিমধ্যে অথেন্টিকেশন তথ্য দিয়ে রেখেছে, অনিচ্ছাকৃত অ্যাকশনের জন্য।
CSRF কী এবং উদাহরণ?
এই আক্রমণকে XSRF, Sea Surf, বা Session Riding বলা হয়। এতে ব্যবহারকারীকে ছল করে অন্য একটি অ্যাপ্লিকেশনে (যেখানে ইউজার লগ-ইন করা আছে) অনিচ্ছাকৃত অ্যাকশন এক্সিকিউট করানো হয়। সফল CSRF আক্রমণে ব্যবসা ও এন্ড ইউজার দুটিরই গাম্ভীর ক্ষতি হতে পারে।
CSRF কী কাজে লাগে? (আক্রমণকারীর দৃষ্টিকোণ)
XSRF আক্রমণে একটি ওয়েব অ্যাপ্লিকেশন থেকে CSRF টার্গেটে ম্যালিশিয়াস রিকোয়েস্ট পাঠানো হয় অথেন্টিকেশন প্রসেসের অংশ হিসেবে। জালিয়াত রিকোয়েস্ট আক্রমণকারী দেখতে না পাওয়ায়, CSRF আক্রমণ ডেটা চুরির বদলে স্টেট চেঞ্জ (state change) ওপর ফোকাস করে।
CSRF কী প্রতিরক্ষা করে? (Anti-CSRF টোকেন)
ফর্মে টোকেন থাকলে CSRF আক্রমণ রোধ হয়, কারণ আক্রমণকারীর টোকেন অনুমান করতে হয় ভিক্টিমকে রিকোয়েস্ট পাঠানোর জন্য। ক্রিপ্টোগ্রাফিক সিকিউরিটি অ্যান্টি-CSRF মেকানিজমের কার্যকারিতার মূল।
সাইবার সিকিউরিটিতে CSRF কী?
Cross-Site Request Forgery (CSRF) একটি ল্যাটারাল মুভমেন্ট আক্রমণ যা অথেন্টিকেটেড ইউজারকে বাধ্য করে ওয়েব অ্যাপ্লিকেশনে (যেখানে সে ইতিমধ্যে অথেন্টিকেটেড) রিকোয়েস্ট পাঠাতে। আক্রমণকারীর লক্ষ্য ইউজারকে স্টেট-চেঞ্জিং রিকোয়েস্ট করতে বাধ্য করা।
CSRF কী ধরনের ভালনারেবিলিটি?
Cross-site request forgery (CSRF) ফলস্বরূপ আক্রমণকারী ব্যবহারকারীকে অনিচ্ছাকৃত অ্যাকশন এক্সিকিউট করতে বাধ্য করতে পারে।
টেলিকমে CSRF কী?
XSRF, Sea Surf, বা Session Riding নামে পরিচিত এই আক্রমণে ব্যবহারকারীকে অন্য অ্যাপ্লিকেশনে (যেখানে লগ-ইন আছে) অনিচ্ছাকৃত অ্যাকশন এক্সিকিউট করানো হয়।
CSRF-এর পূর্ণরূপ কী?
Cross-Site Request Forgery (CSRF) - সাইবার স্ক্যামের একটি প্রকার।
CSRF-এর কারণ কী?
আক্রমণকারী নিরদোষ এন্ড ইউজারকে ছল করে অনিচ্ছাকৃত তথ্য সাবমিট করায়। এর ফলে ক্লায়েন্ট/সার্ভার ডেটা অনিচ্ছাকৃতভাবে লিক হতে পারে, সেশনের স্টেট চেঞ্জ হতে পারে, ইউজার অ্যাকাউন্ট ম্যানিপুলেট হতে পারে।
CSRF কী করে?
CSRF (cross-site request forgery) হলো একটি এন্ড ইউজারকে তাদের ইচ্ছা বিনা একটি ওয়েব অ্যাপ্লিকেশনে (যেখানে সে বর্তমানে লগ-ইন করা আছে) কিছু করার জন্য বাধ্য করা।
CSRF কি আবশ্যক? (টোকেনের প্রয়োজনীয়তা)
সাধারণত আক্রমণকারী সার্ভার হেডার সহজে ম্যানিপুলেট করতে পারে। এক্সিস্টিং সার্ভার হেডার তুলনা করলে CSRF আক্রমণ এড়ানো যায় না, তাই ম্যাচিং CSRF টোকেন দিতে হয়। যখন কোনো অ্যাকশন স্টেট চেঞ্জ করতে পারে, তখন CSRF টোকেন পাঠাতে হয়।
HTTPS কি CSRF থেকে রক্ষা করে?
না, পেজ HTTPS-এ চালালে CSRF রোধ হয় না। ব্রাউজার ও সার্ভারের মধ্যে কমিউনিকেশন এনক্রিপ্ট করলে CSRF-এ কোনো প্রভাব পড়ে না।
CSRF টোকেন কীভাবে রক্ষা করে?
আক্রমণকারীর জন্য এমন HTTP রিকোয়েস্ট তৈরি করা অসম্ভব করে দেয় যা ভিক্টিম ইউজারের কাছে ফিড করা যায়, এইভাবে CSRF টোকেন ওয়েবসাইটকে CSRF আক্রমণ থেকে রক্ষা করে।
CSRF-এর সুপারিশ (Best Practice) কী?
CSRF মিটিগেশনের জন্য দুই ধরণের টোকেন-বেইজড ডিফেন্স সুপারিশ করা হয়: stateful বা stateless। অত্যন্ত সংবেদনশীল অপারেশনে (যেখানে ইউজার ইন্টারঅ্যাকশন দরকার) এক্সট্রা অথেন্টিকেশন বা one-time token ব্যবহার করুন। টোকেন-বেইজড মিটিগেশন রিস্ক কমাতে সাহায্য করে।
CSRF থেকে রক্ষার সেরা অনুশীলন (Best Practice)
- ফ্রেমওয়ার্কের বিল্ট-ইন CSRF প্রোটেকশন ব্যবহার করুন
- স্টেটফুল সফটওয়্যারের জন্য Synchronizer Token Pattern ব্যবহার করুন
- স্টেটলেস সফটওয়্যারের জন্য Double-submit Cookies ব্যবহার করুন
