ফেসবুক ও গুগল ওয়েবসাইট লগইন কীভাবে ডেটা চুরির পথ প্রশস্ত করতে পারে

ফেসবুক দিয়ে লগইন। গুগল দিয়ে লগইন। ওয়েবসাইটগুলো আমাদের সহজে সাইন-ইন করার ইচ্ছা ব্যবহার করে যাতে আমরা সাইটে যাই এবং তারা ব্যক্তিগত ডেটার একটি অংশ হাতিয়ে নেয়। কিন্তু এর দাম কী? একটি সিকিউরিটি রিসার্চার gầnে ফেসবুক লগইন ফিচারে একটি venerability আবিষ্কার করেছেন যা হাজার হাজার সাইটে পাওয়া যায়। একইভাবে, গুগল অ্যাপ ডোমেইন নেম ইন্টারফেসে একটি বাগের কারণে লাখ লাখ মানুষের প্রাইভেট ডেটা পাবলিক হয়ে গিয়েছে।

দুটি বড় টেক গায়েন্টের সম্মুখীন এই সমস্যাগুলো অত্যন্ত গুরুত্বপূর্ণ। এই সমস্যাগুলো যথাযথ উদ্বেগের সাথে ট리트 করা হবে এবং venerability-গুলো প্যাচ করা হবে, কিন্তু সাধারণ মানুষকে যথেষ্ট সচেতন করা হয়েছে কিনা? আসুন প্রতিটি কেস এবং এটি আপনার ওয়েব সিকিউরিটির জন্য কী বোঝায় সেটা দেখি।

কেস ১: ফেসবুক দিয়ে লগইন

ফেসবুক লগইন venerability আপনার একাউন্টগুলো এক্সপোজ করে—কিন্তু আপনার আসলে ফেসবুক পাসওয়ার্ড নয়—এবং থার্ড-পার্টি অ্যাপ্লিকেশনগুলো যা আপনি ইনস্টল করেছেন, যেমন Bit.ly, Mashable, Vimeo, About.me, এবং অন্যান্য অনেক।

Egor Homakov, Sakurity-এর সিকিউরিটি রিসার্চার, এই ক্রিটিক্যাল ফ্লটি আবিষ্কার করেছেন যা ফেসবুক কোডে একটি oversight-র ফলাফল। ফ্লটি উদ্ভূত হয়েছে তিনটি ভিন্ন প্রক্রিয়ায়—ফেসবুক লগইন, ফেসবুক লগআউট, এবং থার্ড-পার্টি একাউন্ট কানেকশন—উপযুক্ত Cross-Site Request Forgery (CSFR) প্রোটেকশনের অভাবের কারণে। এই venerability-এর মাধ্যমে অনাকাঙ্ক্ষিত পার্টি একটি অথেনটিকেটেড একাউন্টের মধ্যে কাজ সম্পাদন করতে পারে। আপনি বুঝতে পারেন এটি কত বড় সমস্যা।

তবে ফেসবুক এখনও এই সমস্যা সমাধানের জন্য খুব কম কাজ করেছে কারণ এটি তাদের অসংখ্য সাইটের সাথে কম্প্যাটিবিলিটি ভাঙবে। থার্ড ইস্যুটি যেকোনো চিন্তিত ওয়েবসাইট মালিক ঠিক করতে পারে, কিন্তু প্রথম দুটি একদম ফেসবুক দায়িত্বে পড়ে।

ফেসবুকের নिष्क্রিয়তার আরও একটি উদাহরণ দিয়ে Homakov বিষয়টিকে আরও তীব্র করেছেন RECONNECT নামে একটি হ্যাকিং টুল রিলিজ করে। এটি বাগটি এক্সপ্লয়েট করে, হ্যাকারদের কাস্টম URL তৈরি ও ইনসার্ট করতে দেয় যাতে থার্ড-পার্টি সাইটের একাউন্ট হাইজ্যাক করা যায়। Homakovকে টুল রিলিজের জন্য দায়বদ্ধ বলা যেতে পারে, কিন্তু দায় পুরোপুরি ফেসবুকের ওপর পড়ে যারা এক বছর আগে এই venerability উজাগর হওয়ার পরও প্যাচ করতে অস্বীকৃতি জানিয়েছে।

মینه সময়, সতর্ক থাকুন। স্প্যামি লুকিং পেজ থেকে অnee বিশ্বস্ত লিংকে ক্লিক করবেন না, অথবা যাদের চিনতে না পারেন তাদের ফ্রেন্ড রিকোয়েস্ট এক্সেপ্ট করবেন না। ফেসবুক একটি স্টেটমেন্টও রিলিজ করেছে:

"This is a well-understood behaviour. Site developers using Login can prevent this issue by following our best practices and using the 'state' parameter we provide for OAuth Login."

উৎসাহজনক।

কেস ১a: কে আমাকে আনফ্রেন্ড করল?

অন্যান্য ফেসবুক ব্যবহারকারীরা থার্ড-পার্টি OAuth লগইন ক্রেডেনশিয়াল চুরির জন্য ডিজাইন করা একটি অন্য "সার্ভিস"-এর শিকার হচ্ছে। OAuth লগইন ডিজাইন করা হয়েছে যাতে ব্যবহারকারীরা কোনো থার্ড-পার্টি অ্যাপ্লিকেশন বা সার্ভিসে পাসওয়ার্ড দিতে না পারে, সিকিউরিটির دیوار রক্ষা করতে।

UnfriendAlert এর মতো সার্ভিসগুলো তাদের লক্ষ্য করে যারা জানতে চায় কে তাদের অনলাইন বন্ধুত্ব ত্যাগ করেছে, তাদের লগইন ক্রেডেনশিয়াল চাইয়ে এবং সেগুলো সরাসরি ম্যালিশিয়াস সাইট yougotunfriended.com-এ পাঠায়। UnfriendAlert একটি Potentially Unwanted Program (PUP) হিসেবে ক্লাসিফাইড, ইচ্ছাকৃতভাবে অ্যাডওয়্যার এবং ম্যালওয়্যার ইনস্টল করে।

দুর্ভাগ্যবশত, ফেসবুক সম্পূর্ণরূপে এই সার্ভিসগুলো বন্ধ করতে পারে না, তাই দায় ব্যবহারকারীদের ওপর—সতর্ক থাকুন এবং এমন কিছুতে না ফাঁসুন যা সত্য হওয়ার लिये খুব ভালো লাগে।

কেস ২: গুগল অ্যাপস বাগ

আমাদের দ্বিতীয় venerability উদ্ভূত হয়েছে গুগল অ্যাপসের ডোমেইন নেম রেজিস্ট্রেশন হ্যান্ডলিং-এ একটি ফ্ল-এর কারণে। আপনি যদি কখনো ওয়েবসাইট রেজিস্টার করেন, তবে আপনার নাম, ঠিকানা, ইমেইল ঠিকানা এবং অন্যান্য গুরুত্বপূর্ণ প্রাইভেট তথ্য প্রদান করা আবশ্যক। রেজিস্ট্রেশনের পর, যেকোনো যিনি পর্যাপ্ত সময় দিলে Whois রান করে এই পাবলিক ইনফরমেশন পেতে পারেন, যদি না আপনি রেজিস্ট্রেশনের সময় আপনার পারসোনাল ডেটা প্রাইভেট রাখার অনুরোধ করেন। এই ফিচার সাধারণত পেইড এবং ঐচ্ছিক।

যে ব্যক্তিরা eNom-এর মাধ্যমে সাইট রেজিস্টার করেছেন এবং প্রাইভেট Whois অনুরোধ করেছেন, তাদের ডেটা প্রায় ১৮ মাস ধরে ধীরে ধীরে লিক হয়েছে। সফটওয়্যার ডিফেক্টটি ফেব্রুয়ারি ১৯ তারিখে আবিষ্কৃত হয়েছে এবং পাঁচ দিন পর প্লাগ করা হয়েছে, কিন্তু প্রতিবার রিনিউয়ালের সময় প্রাইভেট ডেটা লিক হয়েছে, যা প্রাইভেট ব্যক্তিদের যেকোনো সংখ্যক ডেটা প্রোটেকশন সমস্যার মুখোমুখি করিয়েছে।

২৮২,০০০ বাল্ক রেকর্ড রিলিজটি অ্যাক্সেস করা সহজ নয়। আপনি 웹ে আপাত দিয়ে এটা পাবেন না। কিন্তু এটা গুগলের ট্র্যাক রেকর্ডে একটি অমোচনীয় দাগ, এবং ইন্টারনেটের ব্যাপক 부분 থেকে এটি অমোচনীয়। এবং যদি ৫%, ১০%, অথবা ১৫% ব্যক্তি হাইলি টার্গেটেড, ম্যালিশিয়াস স্পিয়ার ফিশিং ইমেইল পেতে শুরু করে, তবে এই ইস্যু গুগল এবং eNom-द্বন্দ্বের জন্য একটি বড় ডেটা সিরদর্দে পরিণত হবে।

কেস ৩: স্পুফড মি

এটি একটি মাল্টিপল নেটওয়ার্ক venerability যা আবার থার্ড-পার্টি সাইন-ইন সিস্টেম এক্সপ্লয়েট করে যা অনেক জনপ্রিয় সাইট ব্যবহার করে। হ্যাকার একটি ভালনernerেবল সার্ভিসে শিকার자의 ইমেইল ঠিকানা দিয়ে একটি রিকোয়েস্ট দিয়ে থাকে, যা পূর্বে সেই ভালনernerেবল সার্ভিসে পরিচিত। হ্যাকার তারপর নকল একাউন্ট দিয়ে ব্যবহারকারীর ডেটা স্পুফ করে, ইমেইল ভেরিফিকেশন সহ সোশ্যাল একাউন্টে অ্যাক্সেস পায়।

এই হ্যাক কাজ করার জন্য, থার্ড-পার্টি সাইটটিকে কমপক্ষে আরেকটি সোশ্যাল নেটওয়ার্ক সাইন-ইন সাপোর্ট করতে হবে অন্য একটি আইডেন্টিটি প্রোভাইডার ব্যবহার করে, অথবা লোকাল পারসোনাল ওয়েবসাইট ক্রেডেনশিয়াল ব্যবহার করার ক্ষমতা থাকতে হবে। এটি ফেসবুক হ্যাকের মতো, কিন্তু আরও ব্যাপক ওয়েবসাইটে দেখা গেছে, যার মধ্যে Amazon, LinkedIn, এবং MYDIGIPASS എന്നിവ রয়েছে, এবং সম্ভবত সংবেদনশীল সার্ভিসে ম্যালিশিয়াস উদ্দেশ্যে সাইন-ইন করতে ব্যবহার করা যেতে পারে।

এটি ফ্ল নয়, এটি একটি ফিচার

এই আক্রমণ পদ্ধতিতে জড়িত কিছু সাইট আসলে কোনো ক্রিটিক্যাল venerability ছাড়াই নয়: সেগুলো সরাসরি সিস্টেমে বিল্ট-ইন। একটি উদাহরণ হলো টুইটার। ভ্যানিলা টুইটার ভালো, যদি আপনার এক একাউন্ট থাকে। একবার আপনি একাধিক একাউন্ট ম্যানেজ করতে শুরু করলে, ভিন্ন শিল্প, ভিন্ন অডিয়েন্সের জন্য, আপনাকে Hootsuite বা TweetDeck-এর মত অ্যাপ্লিকেশন দরকার হয়।

এই অ্যাপ্লিকেশনগুলো টুইটারের সাথে সামান্য লগইন প্রসিডিউর ব্যবহার করে কমিউনিকেট করে কারণ তাদেরও আপনার সোশ্যাল নেটওয়ার্কে ডায়রেক্ট অ্যাক্সেস দরকার, এবং ব্যবহারকারীদের একই পারমিশন দিতে বলা হয়। এতে সোশ্যাল নেটওয়ার্ক প্রোভাইডারদের জন্য একটি কঠিন পরিস্থিতি সৃষ্টি হয় কারণ থার্ড-পার্টি অ্যাপ্লিকেশনগুলো সোশ্যাল স্ফিয়ারে অনেক কিছু যোগ দেয়, কিন্তু স্পষ্টভাবে ব্যবহারকারী ও প্রোভাইডার উভয়ের জন্য সিকিউরিটি অসুবিধা সৃষ্টি করে।

রাউন্ডআপ

আমরা সোশ্যাল সাইন-ইন venerability তিন-আধটা চিহ্নিত করেছি যা আপনি এখন শনাক্ত করতে এবং आशা করি এড়াতে পারবেন। সোশ্যাল সাইন-ইন হ্যাক একদিনে বন্ধ হবেনা। হ্যাকারদের জন্য পোটেনশিয়াল পে-অফ খুব বড়, এবং ফেসবুক যেন বড় টেক কোম্পানি ব্যবহারকারীদের সর্বোত্তম স্বার্থে কাজ না করে, এটি মূলত দরজা খোলা রেখে দেয়া এবং হ্যাকারদের ডেটা প্রাইভেসির ডোরম্যাটে পা পুঁড়িয়ে যাওয়া দেয়ার সমান।

আপনার সোশ্যাল একাউন্ট কি থার্ড-পার্টি দিয়ে কমপ্রোমাইজ হয়েছে? কী হয়েছিল? আপনি কীভাবে রিকভার করেছেন?