আপনার সাইট রক্ষা করুন: XSS আক্রমণ প্রতিরোধের প্রমাণিত কৌশল

কिंतु চিন্তা করবেন না, আপনি এই সব আপনার ওয়েবসাইটের সাথে ঘটতে দিবেন না কিছু সহজ ক্রস-সাইট স্ক্রিপ্টিং প্রতিরোধ ব্যবস্থা लेकर।

এই নিবন্ধে, আমরা আপনাকে আপনার ওয়েবসাইটকে ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ থেকে রক্ষা করার সঠিক ধাপগুলো বাস্তবায়ন করতে সাহায্য করব।

সংক্ষেপে: ক্রস-সাইট স্ক্রিপ্টিং (XSS) একটি বিপজ্জনক হ্যাক যা শিকার সাইটগুলোর উপর ভয়ানক ক্ষতি আনায়। কিন্তু এটি সহজে প্রতিরোধ করা যায়। আপনি ম্যালকেয়ারের মতো একটি ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ইনস্টল করতে পারেন আপনার সাইটকে এই ধরনের আক্রমণ থেকে রক্ষা করার জন্য।

ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ (XSS) কী?

একটি ক্রস-সাইট স্ক্রিপ্টিং আক্রমণে, একজন হ্যাকার একটি ওয়েবসাইট হ্যাক করে ভিজিটররূপে চরিত্রচিত্রণ করে (impersonating)।

এই ধরনের আক্রমণ বুঝার সেরা উপায় হলো হ্যাকার আক্রমণ চালানোর জন্য যে ধাপগুলো অনুসরণ করে সেগুলো ফলো করা।

→ অধিকাংশ ওয়েবসাইটে ইনপুট ফিল্ড (input fields) থাকে (যেমন যোগাযোগ বা সাইন আপ ফর্ম বা কমেন্ট সেকশন) যেগুলো ভিজিটরদের ওয়েবসাইটে ডেটা ইনপুট করার অনুমতি দেয়।

→ এই ফিল্ডগুলো একটি প্লাগইন দ্বারা সক্রিয় থাকে। সাধারণত, প্লাগইনগুলো নিশ্চিত করে যে ফিল্ডগুলোর মধ্যে ইনপুট করা ডেটা ম্যালিশিয়াস নয় যেমন কোড স্নিপেট। কিন্তু যদি প্লাগইনগুলোর XSS ভালনারেবিলিটি (vulnerability) হয়ে যায়, তবে সেগুলো একজন ভিজিটরকে ম্যালিশিয়াস ডেটা বা আস্তেহা ডেটা (untrusted data) ইনপুট করার অনুমতি দিতে পারে।

উদাহরণস্বরূপ, একটি ভালনারেবল কমেন্ট প্লাগইন ভিজিটরদের একটি ম্যালিশিয়াস লিংক ইনসার্ট করার অনুমতি দেয়।

→ যখন আপনি লিংকটিতে ক্লিক করবেন, ম্যালিশিয়াস কোড বা একটি ম্যালিশিয়াস জাভাস্ক্রিপ্ট সক্রিয় হয় এবং আপনাকে আপনার ব্রাউজার কুকিজ (browser cookies) অ্যাক্সেস করার অনুমতি চাইবে।

→ এটা মনে হবে আপনার ওয়েবসাইট আপনাকে একটি নির্দিষ্ট ফাংশন এক্সিকিউট করার জন্য বলছে। খুব সম্ভব আপনি ধোখা খাবেন এবং আপনার ব্রাউজার কুকিজ অ্যাক্সেস করার অনুমতি দেবেন।

আপনার ব্রাউজার কুকিজ অ্যাক্সেস করার অনুমতি দিয়ে আপনি হ্যাকারের সামনে সংবেদনশীল তথ্য এক্সপোজ (expose) করছেন।

→ ব্রাউজার কুকিজ সব ধরনের তথ্য স্টোর করে যার মধ্যে আপনার লগইন ক্রেডেনশিয়ালও থাকে। একবার তারা আপনার লগইন ক্রেডেনশিয়ালে অ্যাক্সেস পেলে, হ্যাকার আপনার চরিত্রচিত্রণ (impersonate) করে আপনার ওয়েবসাইটে লগইন করতে পারে।

XSS বা ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের ভিন্ন ধরনগুলো কী কী?

ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের দুটি ধরন রয়েছে। সেগুলো হলো:

• স্টোরড (Stored) বা পারসিস্টেন্ট (Persistent) XSS আক্রমণ – এটার টার্গেট হলো সাইটের ভিজিটর।
• রিফ্লেক্টেড (Reflected) বা নন-পারসিস্টেন্ট (Non-Persistent) XSS আক্রমণ – এই ধরনের আক্রমণের টার্গেট হলো ওয়েবসাইট।

ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ হয় ভালনারেবল প্লাগইনের কারণে। হ্যাকাররা ইন্টারনেট স্ক্যান করে একটি ওয়েবসাইট খুঁজে বের করতে যা ভালনারেবল প্লাগইন ব্যবহার করছে যেন ফর্ম বা কমেন্ট প্লাগইন। এই প্লাগইনগুলো সাধারণত ইউজার ইনপুট ভ্যালিডেশন (user input validation) নিয়ে সমস্যা ডেভেলপ করে। একবার তারা একটি ভালনারেবল প্লাগইন ব্যবহারকারী ওয়েবসাইট আবিষ্কার করলে, তারা আক্রমণ চালু করে।

শেষ পর্যন্ত, হ্যাকাররা শিকার ব্রাউজার কুকিজে অ্যাক্সেস পায় যা অত্যন্ত গুরুত্বপূর্ণ তথ্য স্টোর করে যেন ওয়েবসাইট লগইন ক্রেডেনশিয়াল, ই-ব্যাংকিং ক্রেডেনশিয়াল, ফেসবুক, এবং ইমেইল ক্রেডেনশিয়াল অন্যান্য জিনিসগুলোর মধ্যে।

যদি হ্যাকারর মূল লক্ষ্য আপনার ওয়েবসাইট হ্যাক করা হয়, তবে সে সাইট লগইন ক্রেডেনশিয়াল এক্সট্র্যাক্ট (extract) করবে। এটিকে রিফ্লেক্টেড XSS আক্রমণ বলা হয়। কিন্তু যদি হ্যাকারর লক্ষ্য সাইটের ব্যবহারকারী বা ভিজিটররা হয়, তবে সে ই-ব্যাংকিং, ফেসবুক, এবং জিমেইল ক্রেডেনশিয়াল এক্সট্র্যাক্ট করবে। এটিকে স্টোরড XSS বা পারসিস্টেন্ট XSS আক্রমণ বলা হয়।

এখন আপনি ক্রস-সাইট স্ক্রিপ্টিং এবং এর বিভিন্ন রূপ বুঝতে পেরেছেন, আসুন দেখি আপনার ওয়েবসাইটকে এই ধরনের হ্যাক আক্রমণ থেকে রক্ষা করার উপায়।

ক্রস-সাইট স্ক্রিপ্টিং প্রতিরোধের ব্যবস্থা (Cross-Site Scripting Prevention Measures)

ওয়ার্ডপ্রেস সাইটগুলো প্লাগইন ও থিম ব্যবহার করে তৈরি হয়। অধিকাংশ সাইটে একটি ইনপুট প্লাগইন থাকে যা একটি কন্ট্যাক্ট ফর্ম বা কমেন্ট সেকশন সক্রিয় করে যা ভিজিটরদের ডেটা ইনসার্ট করার অনুমতি দেয়।

অনেক ইনপুট প্লাগইন সময়ের সাথে সাথে XSS ভালনারেবিলিটি ডেভেলপ করে। আমরা আগে আলোচনা করেছি, হ্যাকাররা এই ভালনারেবিলিটি ব্যবহার করে আপনার সাইটে ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ চালাতে পারে। যেহেতু প্লাগইন ওয়েবসাইটের একটি গুরুত্বপূর্ণ অংশ, আপনি সেটি শুধু ডিলিট করে দিতে পারবেন না। আপনি যা করতে পারেন সেটি হলো আপনার ওয়েবসাইটে XSS আক্রমণ প্রতিরোধের ব্যবস্থা নেওয়া।

আমরা আপনাকে ৫টি ব্যবস্থা দেখাব যেগুলো আপনাকে আপনার সাইটে বাস্তবায়ন করতে হবে XSS ভালনারেবিলিটি প্রতিরোধ করতে এবং XSS আক্রমণ থেকে রক্ষা পেতে।

1. একটি সিকিউরিটি প্লাগইন ইনস্টল করুন
2. Prevent XSS Vulnerability প্লাগইন ইনস্টল করুন
3. লাইভ করার আগে কমেন্ট রিভিউ করুন
4. আপনার প্লাগইনগুলো আপডেট রাখুন
5. প্রতিষ্ঠিত মার্কেটপ্লেস থেকে প্লাগইন ব্যবহার করুন

১. একটি সিকিউরিটি প্লাগইন ইনস্টল করুন

ম্যালকেয়ার (MalCare) এর মতো একটি ভালো সিকিউরিটি প্লাগইন আপনার ওয়েবসাইটকে একটি ওয়ার্ডপ্রেস ফায়ারওয়াল দিয়ে রক্ষা করবে এবং সাইট হার্ডেনিং (site hardening) Maßnahmen বাস্তবায়ন করতে দেবে।

i. ফায়ারওয়াল (Firewall)

ওয়ার্ডপ্রেস ফায়ারওয়াল প্লাগইন আগত ট্রাফিক (oncoming traffic) অনুসন্ধান করে এবং খারাপ ট্রাফিক আপনার ওয়েবসাইটে অ্যাক্সেস করা থেকে প্রতিরোধ করে। ভিজিটররা (হ্যাকাররা সহ) একটি ডিভাইস যেমন স্মার্টফোন বা ল্যাপটপ ব্যবহার করে আপনার সাইটে অ্যাক্সেস করে। প্রতিটি ডিভাইস একটি অনন্য কোডের সাথে যুক্ত থাকে যাকে IP ঠিকানা (IP address) বলা হয়। ম্যালকেয়ার এর ফায়ারওয়াল ইন্টারনেট স্ক্যান করে খারাপ IP ঠিকানা খুঁজে বের করে। অতীতে ম্যালিশিয়াস কার্যক্রমের সাথে জড়িত IP ঠিকানাগুলো আপনার ওয়েবসাইটে অ্যাক্সেস করা থেকে ব্লক করা হয়।

এভাবে, যারা আপনার সাইটে XSS আক্রমণ বাস্তবায়ন করার চেষ্টা করবে, তারা শুরুর দিকে ही ব্লক হয়ে যাবে।

ii. সাইট হার্ডেনিং (Site Hardening)

ম্যালকেয়ার-এ অনেক ওয়ার্ডপ্রেস হার্ডেনিং Maßnahme রয়েছে এবং 그중 একটি হলো সিকিউরিটি কিজ পরিবর্তন করা। আমরা জানি ক্রস-সাইট স্ক্রিপ্টিং XSS আক্রমণে, হ্যাকাররা ব্যবহারকারীর ব্রাউজার কুকিজ চুরি করার চেষ্টা করে যেটিতে ব্যবহারকারীর ক্রেডেনশিয়াল থাকে। তবে, ওয়ার্ডপ্রেস এই ক্রেডেনশিয়ালগুলো একটি এনক্রিপ্টেড (encrypted) রূপে স্টোর করে। এটি আপনার পাসওয়ার্ডে সিকিউরিটি কিজ (security keys) এবং সল্টস (salts) যোগ করে যা এটিকে ডিসিপহার (decipher) করা কঠিন করে।

যদি হ্যাকাররা কিজ এবং সল্টস কী থাকে সেটি জানেন, তবে তারা আপনার লগইন পাসওয়ার্ড কী তা শিখতে পারেন। এইीलिए ওয়েব অ্যাপ্লিকেশন সিকিউরিটি গবেষকরা আর্ধ-বার্ষিক বা ত্রৈমাসিক ভিত্তিতে ওয়ার্ডপ্রেস সল্টস এবং কিজ পরিবর্তন করার সুপারিশ করে। ম্যালকেয়ারের সাথে, আপনি এক ক্লিকে আপনার সিকিউরিটি কিজ পরিবর্তন করতে পারেন।

২. Prevent XSS Vulnerability প্লাগইন ইনস্টল করুন

একটি বিশ্বস্ত সিকিউরিটি প্লাগইন 자리에 থাকার পর, আমরা Prevent XSS Vulnerability প্লাগইন ইনস্টল করার সুপারিশ করি XSS আক্রমণে সাধারণত পাওয়া প্যারামিটারগুলো শনাক্ত করতে।

উদাহরণস্বরূপ, হ্যাকাররা আপনার কমেন্ট সেকশনে যে ম্যালিশিয়াস লিংক ছেড়ে দিতে পারে সেটি এক্সক্লামেশন মার্ক (exclamation marks), ওপেনিং রাউন্ড ব্র্যাকেটস (opening round brackets), ইত্যাদি সিম্বল ব্যবহার করতে পারে। এই প্যারামিটারগুলো ব্লক করে, প্লাগইনটি আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ প্রতিরোধে সাহায্য করবে।

কথা হলো, এই প্লাগইন XSS-এর বিরুদ্ধে সীমিত সুরক্ষা প্রদান করতে পারে। একটি ফায়ারওয়াল XSS আক্রমণ dini detect ও প্রতিরোধে গুরুত্বপূর্ণ ভূমিকা পালন করে। এইीलिए আমরা প্রথমে এই প্লাগইন একটি সিকিউরিটি প্লাগইন যোগ করেও ব্যবহার করার সুপারিশ করি।

৩. লাইভ করার আগে কমেন্ট ম্যানুয়ালি অনুমোদন করুন

ক্রস-সাইট স্ক্রিপ্টিং আক্রমণে, হ্যাকাররা কমেন্ট সেকশনে ম্যালিশিয়াস লিংক ছেড়ে দেয় আশা করে কেউ লিংকটি ক্লিক করবে।

আপনার ওয়েবসাইটে কমেন্ট অনুমোদন করার আগে সেগুলো পরীক্ষা করা ভালো। ওয়ার্ডপ্রেসের নেটিভ (native) কমেন্ট সিস্টেমসহ জনপ্রিয় কমেন্ট প্লাগইন যেন JetPack, Thrive Comments, Disqus, ইত্যাদি আপনাকে কমেন্টগুলো ম্যানুয়ালি রিভিউ করে গ্রহণ ও পাবলিশ করার অনুমতি দেয়।

কথা হলো, ম্যালিশিয়াস লিংক শনাক্ত করা সহজ নয়। হ্যাকাররা আসল কমেন্টের সাথে লিংক লুকিয়ে দেয় যাতে সেগুলো বৈধ মনে হয়। এমনকি লিংকটি ইনভেস্টিগেট করার সময়, আপনি যদি ভুলে ক্লিক করে দেন, তবে সেটি হ্যাক আক্রমণ শুরু করতে পারে।

অনেক সাইট মালিক কমেন্ট প্লাগইন ব্যবহার করা পছন্দ করেন ওয়ার্ডপ্রেসের নেটিভ কমেন্ট সিস্টেমের পরিবর্তে। এর কারণ হলো কমেন্ট প্লাগইনগুলোর স্প্যাম ম্যানেজ করার ক্ষমতা ভালো। কিন্তু আমরা বলেছি, প্লাগইনগুলো সময়ের সাথে সাথে ভালনারেবিলিটি ডেভেলপ করে এবং এটি আপনার ওয়েবসাইটকে হ্যাক আক্রমণের জন্য খুলে দিতে পারে।

আপনার কমেন্ট প্লাগইন রক্ষা করতে এবং যেকোনো কন্টেন্ট সিকিউরিটি ভালনারেবিলিটি উবারের জন্য, আমরা আপনাকে আপনার প্লাগইনগুলো আপডেট রাখার পরামর্শ দিচ্ছি। আমরা আগের সেকশনে কেন তা আলোচনা করেছি।

৪. আপনার প্লাগইনগুলো আপডেট রাখুন

প্লাগইন ডেভেলপাররা যখন তাদের সফটওয়্যারের XSS ভালনারেবিলিটি আবিষ্কার করে, তারা দ্রুত সেটি ফিক্স করে এবং একটি সিকিউরিটি প্যাচ (security patch) রিলিজ করে।

এই প্যাচটি একটি আপডেট (update)-র রূপে আসে।

আপনি একবার আপনার সাইটে প্লাগইন আপডেট করলে, XSS ভালনারেবিলিটি প্যাচ হয়ে যাবে। কিন্তু আপডেট বিলম্ব করা হলে, আপনার ওয়েবসাইট ক্রস-সাইট স্ক্রিপ্টিং বা XSS আক্রমণের জন্য আপায়প্রদ হয়ে যাবে।

এটি কারণ, একবার একটি সিকিউরিটি প্যাচ রিলিজ হলে, ভালনারেবিলিটি পাবলিক ইনফরমেশন (public information) হয়ে যায়। এর মানে হ্যাকাররা জানেন যে পুরনো ভার্সনের প্লাগইনে একটি ভালনারেবিলিটি রয়েছে। হ্যাকাররা বট ও টুলস ব্যবহার করে ইন্টারনেট স্ক্যান করে ওয়ার্ডপ্রেস ওয়েবসাইট খুঁজে বের করে যেটি প্লাগইনের সেই নির্দিষ্ট ভার্সন ব্যবহার করছে যা ভালনারেবল।

আপনি আপডেট বিলম্ব করলে, আপনার ওয়েবসাইট একটি হ্যাকের টার্গেট হয়ে যাবে।

তারা তখন ক্রস-সাইট স্ক্রিপ্টিং ভালনারেবিলিটি শোষণ করে আপনার ওয়েবসাইট হ্যাক করতে পারে। তাই, একটি রুল অফ থাম্ব (rule of thumb) হিসেবে, সবসময় আপনার ওয়েবসাইট আপডেট রাখুন।

৫. বিশ্বস্ত মার্কেটপ্লেস থেকে প্লাগইন কিনুন

আপনি যদি জেটপ্যাক (Jetpack) এবং ডিসকাস (Disqus) এর মতো ফ্রি প্লাগইন ব্যবহার করেন, সেগুলো অফিশিয়াল ওয়ার্ডপ্রেস রিপোজিটরি (WordPress repository) থেকে ডাউনলোড করা সেরা। আপনি যদি প্রিমিয়াম প্লাগইন ব্যবহার করতে যান যেন থ্রাইভ কমেন্টস (Thrive Comments) বা WpDevArt, সেগুলো তাদের অফিশিয়াল ওয়েবসাইট বা বিশ্বস্ত মার্কেটপ্লেস থেকে নিন যেন  Code Canyon, ThemeForest, Envato, ইত্যাদি।

বিশ্বস্ত মার্কেটপ্লেস উচ্চ মানের প্লাগইন অফার করে যা ক্রস-সাইট স্ক্রিপ্টিং ভালনারেবিলিটি উত্থানের সম্ভাবনা কমিয়ে দেয়।

এই দিনে, প্রিমিয়াম প্লাগইনগুলোর পাইরেটেড (pirated) ভার্সন ফ্রিতে অফার করে অনেক ওয়েবসাইট আছে। এই পাইরেটেড প্লাগইনগুলোর অধিকাংশ প্রি-ইনস্টল্ড ম্যালওয়্যার সহ আসে। আপনার সাইটে সেগুলো ইনস্টল করা হ্যাকারদের জন্য দরজা খোলা রাখার সমান। অধিকন্তু, পাইরেটেড প্লাগইনগুলো আপডেট পায় না যার মানে প্লাগইনগুলোর ভালনারেবিলিটি গুলো থাকে, আপনার ওয়েবসাইটকে হ্যাক আক্রমণের জন্য আপায়প্রদ রেখে।

অবিশ্বস্ত উৎস থেকে পাইরেটেড প্লাগইন ব্যবহার এড়িয়ে চলুন। শুধু বিশ্বস্ত মার্কেটপ্লেস বা ওয়ার্ডপ্রেস রিপোজিটরি থেকে প্লাগইন ব্যবহার করুন।

এতে, আমরা আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে ক্রস-সাইট স্ক্রিপ্টিং প্রতিরোধের শেষে এসেছি। আমরা আশাবাদী যে আপনি এই ব্যবস্থাগুলো বাস্তবায়ন করলে, আপনার ওয়েবসাইট ক্রস-সাইট স্ক্রিপ্টিং আক্রমণ থেকে রক্ষা পাবে।

যাওয়ার আগে

ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের বিরুদ্ধে আপনার ওয়ার্ডপ্রেস সাইট রক্ষা করা ওয়েবসাইট সিকিউরিটির দিকে একটি সঠিক ধাপ।

তবে, ক্রস-সাইট স্ক্রিপ্টিং শুধু একটি সাধারণ হ্যাক আক্রমণের ধরন (SQL ইনজেকশন আক্রমণের মতো)  ওয়ার্ডপ্রেস সাইটগুলোর ওপর। হ্যাকারদের হাতের মোড়া অনেক ট্রিক রয়েছে। আপনার ওয়েবসাইটে একটি সর্বাঙ্গীণ সিকিউরিটি সমাধান বাস্তবায়ন করা সেরা যাতে ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের পাশাপাশি সব ধরনের ওয়ার্ডপ্রেস আক্রমণ প্রতিরোধ করা যায়।

আমরা আপনার সাইটে ম্যালকেয়ারের মতো একটি বিশ্বস্ত ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ইনস্টল করার সুপারিশ করি নিয়মিত সিকিউরিটি টেস্টিং-এর জন্য। এতে একটি সিকিউরিটি স্ক্যানার বা ওয়েব ভালনারেবিলিটি স্ক্যানার (web vulnerability scanner) থাকে যা আপনার সাইট স্ক্যান ও মনিটর করে এবং হ্যাকারদের অ্যাক্সেস করা থেকে প্রতিরোধ করে। এটি আপনাকে সাইট হার্ডেনিং Maßnahmen নেওয়ার সুযোগ দেয় আপনার ওয়েবসাইট আরও সুরক্ষিত করার জন্য। আপনি নিশ্চিন্ত হয়ে আপনার ওয়েবসাইট চালাতে পারেন জানা সেটি সুরক্ষিত।

এখনই ম্যালকেয়ার সিকিউরিটি প্লাগইন টেস্ট করুন!

আপনি যদি এই নিবন্ধটি উপকারী পান, অন্যদের সাথে শেয়ার করুন যাদের ওয়ার্ডপ্রেস সাইট রক্ষা করার প্রয়োজন।