ইবের (eBay) নিরাপত্তা অনুশীলন সম্পর্কে ভালো সুনাম নেই, এবং মনে হচ্ছে এটি কোনোদিন ভালো হবে না। সাম্প্রতিক একটি প্রকাশিত সিকিউরিটি ভালনারেবিলিটি কিছু ব্যবহারকারীকে ঝুঁকিতে ফেলেছে, এবং ইবে একটি আংশিক ফিক্স (partial fix) ইস্যু করেছে, সম্পূর্ণ ফিক্সের বদলে।
এখানে আপনার জানা দরকার ভালনারেবিলিটি সম্পর্কে, এটি কীভাবে কাজ করে, এবং কীভাবে নিরাপদ থাকবেন।
এক্টিভ কন্টেন্ট (Active Content), XSS, এবং ইবে স্ক্যাম
প্রশ্নের সিকিউরিটি ভালনারেবিলিটি "এক্টিভ কন্টেন্ট"-এর সাথে জড়িত, যা সেলাররা তাদের অ্যাডে এম্বেড (embed) করতে পারে। এক্টিভ কন্টেন্ট বিভিন্ন প্রযুক্তি ব্যবহার করে একটি আইটেম ডেসক্রিপশনকে আরও আকর্ষণীয় বা উপযোগী করতে পারে - এটা একটি ছোট ফ্ল্যাশ (Flash) অ্যাপ, একটি জাভাস্ক্রিপ্ট মেনু, একটি ওয়েব পোল, বা অন্য যেকোনো এম্বেডেড ও ইন্টারেক্টিভ জিনিস। নিচের অ্যাডের ছবিতে, এটি একটি স্ক্রিপ্ট যাকে "xsellgalleryscript" বলা হয় যেটি আপনাকে সেলারের অন্যান্য আইটেম কিনতে প্ররোচিত করার চেষ্টা করে।
অধিকাংশ কেসে, এক্টিভ কন্টেন্ট সম্পূর্ণ নিরাপদ। এটি কিছুটা বিরক্তিকর, কিন্তু নিরাপদ। কিন্তু ক্রস-সাইট স্ক্রিপ্টিং (XSS) দিয়ে, অন্য একটি সাইটে থাকা একটি স্ক্রিপ্ট ইবের পেজে লোড করা যায়, এবং সেটি যেকোনো কিছু হতে পারে - এটি ম্যালওয়্যার ডাউনলোড করতে পারে, আপনার ইউজার শংসাপত্র ফিশ (phish) করার চেষ্টা করতে পারে, বা অন্য ধরনের হাহাকার মचाতে পারে। অবশ্যই, যেহেতু এই আক্রমণ একটি সাধারণ আক্রমণ, ইবে ফিল্টার ব্যবহার করে যাতে এটা রোধ করা যায়।
দুর্ভাগ্যক্রমে, কেউ একটি উপায় খুঁজে পেয়েছে। এটি একটি টেকনিক ব্যবহার করে যাকে JSF*ck বলা হয়, জাভাস্ক্রিপ্ট কোড লিখার একটি চমৎকার উপায় শুধু ছয় ক্যারেক্টার ব্যবহার করে: []()!+. দুটি ব্র্যাকেট, দুটি প্যারেন্থেসিস, একটি এক্সক্লামেশন পয়েন্ট, এবং একটি প্লাস সাইন দিয়ে আপনি যেকোনো জাভাস্ক্রিপ্ট কোড তৈরি ও রান করতে পারেন।
এটি একটি মজার এক্সারসাইজ, ব্রেইনফাক (Brainf**k) প্রোগ্রামিং ল্যাঙ্গুয়েজের মতো। কিন্তু এটিও ইবের ফিল্টার বাইপাস (bypass) করার জন্য ব্যবহার করা যেতে পারে।
চেক পয়েন্ট (Check Point) নামের একটি সাইবারসিকিউরিটি ফার্ম প্রথমে এই ভালনারেবিলিটি রিপোর্ট করেছিল, এবং বলেছিল এটি ডেস্কটপ সাইট বা iOS বা অ্যান্ড্রয়েড অ্যাপের মাধ্যমে ম্যালওয়্যার ডাউনলোড করতে বা ব্যবহারকারীদের ফিশিং পেজে রিডাইরেক্ট করতে ব্যবহার করা যেতে পারে যেখানে তারা অনিচ্ছাক্রমে ইউজার শংসাপত্র দিয়ে দিতে পারে। এখানে একটি আক্রমণের ভিডিও:
চেক পয়েন্ট ডিসেম্বর ২০১৫ সালে এই ভালনারেবিলিটি ডেমো করে রিপোর্ট করেছিল, আশা করছিল ইবে তাদের সফটওয়্যার আপডেট করবে এক্সপ্লয়েট (exploit) রোধ করতে। BBC অনুযায়ী, ইবে জানুয়ারিতে চেক পয়েন্টকে বললো সেটি ফিক্স করার কোনো প্ল্যান নেই, কিন্তু ফেব্রুয়ারিতে একটি আংশিক ফিক্স ইমপ্লিমেন্ট করল। কেন শুধু আংশিক ফিক্স? "[I]t's important to understand that malicious content on our marketplace is extraordinarily uncommon," ইবে BBC-কে বলল।
ইবের আग्रহ সত্ত্বেও যে এই ধরনের আক্রমণের রিস্ক অত্যন্ত কম, সিকিউরিটি ফার্ম নেটক্রাফট (Netcraft) রিপোর্ট করলো এটি সক্রিয়ভাবে ব্যবহার করা হচ্ছে সম্ভাব্য কেনদের ইমেইল ঠিকানা ফিশ করতে এবং তাদের নকল এস্ক্রো সার্ভিস (escrow service) দিয়ে পেমেন্ট সম্পূর্ণ করতে উৎসাহিত করতে। এবং স্ক্যামটি সফল হয়েছে - নেটক্রাফট একটি উদ্বিগ্ন ব্যবহারকারীর পেটিশনের স্ক্রিনশট শেয়ার করলো যাকে ইবে, পুলিশ, এবং তার ব্যাংক বললো তারা সাহায্য করতে পারবেন না।
ইবেতে XSS ভালনারেবিলিটি থেকে নিজেকে রক্ষা করার উপায়
যতক্ষণ না ইবে এই সমস্যাটি সম্পূর্ণরূপে ফিক্স করে, একটি চান্স আছে যে আপনি একটি লিস্টিংয়ের সাথে مواجهা হতে পারেন যা একজন স্ক্যামার কমপ্রোমাইজ করে আপনাকে ঝুঁকিতে ফেলেছে। যাই হোক, আপনার রিস্ক কমাতে কয়েকটি জিনিস করতে পারেন।
প্রথমে আপনার ব্রাউজারে ক্লিক-টু-প্লে (click-to-play) এবিলিটি আছে কিনা সেটি নিশ্চিত করুন। ক্রোমে (Chrome) এটি বিল্ট-ইন, ফায়ারফক্সে (Firefox) জনপ্রিয় নোস্ক্রিপ্ট (NoScript) এক্সটেনশন, এবং সাফারি (Safari) ইউজাররা জেএস ব্লকার ৫ (JS Blocker 5) ইনস্টল করতে পারেন। এটি কোনো স্ক্রিপ্ট লোড হতে দেবে না যদি না আপনি স্পষ্টভাবে পারমিশন দেন। ইবেতে সেটি লোড করার প্রয়োজন নেই, কিন্তু যদি করতেই হয়, তবে এক ক্লিকে এনেবল করতে পারেন।
আপনি যদি প্লাগইন এনেবল করেন, তবে অতিরিক্ত সতর্ক থাকতে হবে যাতে আপনি শিকার হচ্ছেন না। যখনই আপনি ইবেতে Buy It Now, Make Offer, বা Bid লিংকে ক্লিক করতে যাচ্ছেন, নিশ্চিত করুন আপনার ব্রাউজারের URL ইবে.কম (ebay.com), অন্য কিছু নয়। আপনি যদি ফিশ হয়েন, তবে ডোমেন কিছু অন্য হবে।
আপনি যদি ইবের মোবাইল অ্যাপ ব্যবহার করেন, তবে যেকোনো লিংক করা পেজের URL ডাবল-চেক করুন, বিশেষ করে যদি সেটি ইবে লগইন তথ্য চায়। এবং অন্য কোনো অ্যাপ ডাউনলোড করবেন না! ইবের অ্যাপ আপনাকে অন্য কিছু ইনস্টল করতে বলবে না। ব্রাইন ক্রেবস (Brian Krebs), সেরা সিকিউরিটি ব্লগারদের একজন, তার ৩টি বেসিক রুল ফর অনলাইন সেফটি-এ বলে, আপনি যদি সেটি খুঁজে বের করতে না যান, তবে ইনস্টল করবেন না!
এছাড়া, এটি স্ট্যান্ডার্ড অনলাইন মার্কেটপ্লেস সেফটি বিষয়। শুধু ওয়েবসাইটের মাধ্যমে যোগাযোগ করুন, ইমেইল দিয়ে না, কোনো বিষয়ে না। ইবের থেকে আসা ইমেইলে লিংকে ক্লিক করবেন না, শুধু ebay.com-এ যান যদি ইমেইলটি স্ক্যামার থেকে আসা হয়। সাইটের লিংকগুলো সেফ কি না সেটি চেক করুন ব্যবহার করার আগে। শক্তিশালী পাসওয়ার্ড ব্যবহার করুন, এবং নিয়মিত বদলান। সব সময় শেয়ার করা "নিজেকে নিরাপদ রাখুন" টিপসগুলো এখানেও প্রযোজ্য।
এই ইবে ক্রস-সাইট স্ক্রিপ্টিং স্ক্যামে ফাঁসে না পড়বেন
ইবেতে স্ক্যাম থেকে নিজেকে রক্ষা করার জন্য একটু সতর্কতা এবং কিছু প্রোঅ্যাক্টিভ প্রিভেনশন (proactive prevention) দরকার। স্ক্রিপ্ট-ব্লকিং ব্রাউজার বা এক্সটেনশন ব্যবহার, সন্দেহজনক URL দেখা, এবং অদ্ভুত ডাউনলোড বা অনুরোধের ওপর নজর রাখা - এই কয়েকটি কুইক স্টেপ নিলে আপনি পুরোপুরি নিরাপদ থাকবেন, এমনকি ইবে এই ভালনারেবিলিটি ফিক্স না করলেও (যা তারা সম্ভবত করবেন না, কমপক্ষে কিছু সময়ের জন্য)। তাই কয়েকটি কুইক স্টেপ নিন, এবং ফিরে যান ইবেতে শপিং করে টাকা বাঁচাতে!
আপনি কি ইবেতে শপিং করেন? সিকিউরিটি ভালনারেবিলিটিতে নন-অ্যাকশন (non-action) এর তাদের রেকর্ড আপনাকে চিন্তিত করে কি? এই নির্দিষ্ট বাগ রিপোর্ট করার পরেও তারা ভালো রেসপন্স দিলো না বলে আপনি কম শপিং করবেন? নিচে আপনার মতামত শেয়ার করুন!
