Cross-site request forgery
ক্রস-সাইট অনুরোধ জালিয়াতি, যা ওয়ান-ক্লিক অ্যাটাক বা সেশন রাইডিং নামেও পরিচিত এবং সংক্ষেপে সি. এস. আর. এফ (কখনও কখনও সি-সার্ফ উচ্চারিত হয়) বা এক্স. এস. আর. এফ, একটি ওয়েবসাইট বা ওয়েব অ্যাপ্লিকেশনের এক ধরনের বিদ্বেষপূর্ণ শোষণ যেখানে কোনও ব্যবহারকারীর কাছ থেকে অননুমোদিত কমান্ড জমা দেওয়া হয় যা ওয়েব অ্যাপ্লিকেশন বিশ্বাস করে। একটি দূষিত ওয়েবসাইট এই ধরনের কমান্ডগুলি প্রেরণ করতে পারে এমন অনেক উপায় রয়েছে; বিশেষভাবে তৈরি করা ইমেজ ট্যাগ, লুকানো ফর্ম এবং জাভাস্ক্রিপ্ট আনয়ন বা এক্স. এম. এল. এইচ. টি. টি. পি. অনুরোধ, উদাহরণস্বরূপ, ব্যবহারকারীর মিথস্ক্রিয়া বা এমনকি জ্ঞান ছাড়াই কাজ করতে পারে। ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস)-এর বিপরীতে, যা একটি নির্দিষ্ট সাইটের প্রতি ব্যবহারকারীর বিশ্বাসকে কাজে লাগায়, সিএসআরএফ ব্যবহারকারীর ব্রাউজারে একটি সাইটের যে বিশ্বাসকে কাজে লাগায়। একটি সি. এস. আর. এফ আক্রমণে, একজন নির্দোষ শেষ ব্যবহারকারীকে একজন আক্রমণকারী একটি ওয়েব অনুরোধ জমা দেওয়ার জন্য প্রতারিত করে যা তাদের উদ্দেশ্য ছিল না। এর ফলে ওয়েবসাইটে এমন কাজ করা হতে পারে যার মধ্যে অসাবধানতাবশত ক্লায়েন্ট বা সার্ভারের তথ্য ফাঁস, অধিবেশনের অবস্থার পরিবর্তন বা শেষ ব্যবহারকারীর অ্যাকাউন্টে কারসাজি অন্তর্ভুক্ত থাকতে পারে। "সি. এস. আর. এফ" শব্দটি সি. এস. আর. এফ আক্রমণের বিরুদ্ধে প্রতিরক্ষায় একটি সংক্ষিপ্ত রূপ হিসাবেও ব্যবহৃত হয়, যেমন কৌশল যা হেডার ডেটা, ফর্ম ডেটা বা কুকিজ ব্যবহার করে, এই ধরনের আক্রমণগুলি পরীক্ষা এবং প্রতিরোধ করতে। বৈশিষ্ট্য একটি সি. এস. আর. এফ আক্রমণে, আক্রমণকারীর লক্ষ্য হল একজন নির্দোষ শিকারকে অজান্তেই একটি ওয়েবসাইটে একটি বিদ্বেষপূর্ণভাবে তৈরি করা ওয়েব অনুরোধ জমা দেওয়া যেখানে ভুক্তভোগীর বিশেষ প্রবেশাধিকার রয়েছে। এই ওয়েব অনুরোধটি ইউআরএল প্যারামিটার, কুকিজ এবং অন্যান্য ডেটা অন্তর্ভুক্ত করার জন্য তৈরি করা যেতে পারে যা অনুরোধটি প্রক্রিয়াকরণকারী ওয়েব সার্ভারের কাছে স্বাভাবিক বলে মনে হয়। ঝুঁকিতে রয়েছে এমন ওয়েব অ্যাপ্লিকেশন যা ব্যবহারকারীর অনুমোদনের প্রয়োজন ছাড়াই বিশ্বস্ত এবং প্রমাণীকরণকৃত ব্যবহারকারীদের ইনপুটের উপর ভিত্তি করে কাজ করে (যেমন। একটি পপআপ নিশ্চিতকরণের মাধ্যমে) নির্দিষ্ট ক্রিয়া। একজন ব্যবহারকারী যিনি ব্যবহারকারীর ওয়েব ব্রাউজারে সংরক্ষিত একটি কুকি দ্বারা প্রত্যয়িত হন, তিনি অজান্তেই এমন একটি সাইটে একটি এইচটিটিপি অনুরোধ পাঠাতে পারেন যা ব্যবহারকারীকে বিশ্বাস করে এবং এর ফলে একটি অযাচিত পদক্ষেপের কারণ হতে পারে। ওয়েব ব্রাউজারগুলির একটি সাধারণ বৈশিষ্ট্য হল যে তারা স্বয়ংক্রিয়ভাবে এবং অদৃশ্যভাবে সেই ডোমেনে পাঠানো যে কোনও ওয়েব অনুরোধে প্রদত্ত ডোমেনের দ্বারা ব্যবহৃত যে কোনও কুকিজ (সেশন কুকিজ এবং অন্যান্য সহ) অন্তর্ভুক্ত করবে। এই সম্পত্তিটি সি. এস. আর. এফ আক্রমণ দ্বারা শোষিত হয়। কোনও ব্যবহারকারীকে অসাবধানতাবশত তাদের ব্রাউজারের মাধ্যমে কোনও অনুরোধ জমা দেওয়ার জন্য প্রতারিত করা হলে এই স্বয়ংক্রিয়ভাবে অন্তর্ভুক্ত কুকিগুলি জাল অনুরোধটি ওয়েব সার্ভারের কাছে বাস্তব দেখাবে এবং এটি ডেটা ফেরত দেওয়া, সেশন অবস্থা পরিচালনা করা বা ভুক্তভোগীর অ্যাকাউন্টে পরিবর্তন করা সহ যথাযথভাবে অনুরোধ করা কোনও কাজ সম্পাদন করবে। সি. এস. আর. এফ আক্রমণ কার্যকর করার জন্য, একজন আক্রমণকারীকে অবশ্যই একটি পুনরুত্পাদনযোগ্য ওয়েব অনুরোধ সনাক্ত করতে হবে যা লক্ষ্য পৃষ্ঠায় অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তনের মতো একটি নির্দিষ্ট কাজ সম্পাদন করে। একবার এই ধরনের অনুরোধ চিহ্নিত হয়ে গেলে, একটি লিঙ্ক তৈরি করা যেতে পারে যা এই দূষিত অনুরোধটি তৈরি করে এবং সেই লিঙ্কটি আক্রমণকারীর নিয়ন্ত্রণের মধ্যে একটি পৃষ্ঠায় এম্বেড করা যেতে পারে। এই লিঙ্কটি এমনভাবে স্থাপন করা যেতে পারে যে ভুক্তভোগীর লিঙ্কটিতে ক্লিক করারও প্রয়োজন হয় না। উদাহরণস্বরূপ, এটি ভুক্তভোগীকে পাঠানো ইমেলের একটি এইচটিএমএল ইমেজ ট্যাগের মধ্যে এম্বেড করা হতে পারে যা ভুক্তভোগী তাদের ইমেল খুললে স্বয়ংক্রিয়ভাবে লোড হয়ে যাবে। একবার ভুক্তভোগী লিঙ্কটিতে ক্লিক করলে, তাদের ব্রাউজার স্বয়ংক্রিয়ভাবে সেই ওয়েবসাইট দ্বারা ব্যবহৃত যে কোনও কুকিজ অন্তর্ভুক্ত করবে এবং ওয়েব সার্ভারে অনুরোধ জমা দেবে। ওয়েব সার্ভার জালিয়াতি সনাক্ত করতে সক্ষম হবে না কারণ অনুরোধটি এমন একজন ব্যবহারকারীর দ্বারা করা হয়েছিল যিনি লগ ইন করেছিলেন এবং সমস্ত প্রয়োজনীয় কুকি জমা দিয়েছিলেন। ক্রস-সাইট অনুরোধ জালিয়াতি একটি ওয়েব ব্রাউজারের বিরুদ্ধে বিভ্রান্ত ডেপুটি আক্রমণের একটি উদাহরণ কারণ ওয়েব ব্রাউজারটি কম সুবিধাপ্রাপ্ত আক্রমণকারীর দ্বারা একটি জাল অনুরোধ জমা দেওয়ার জন্য প্রতারিত হয়। সি. এস. আর. এফ-এর সাধারণত নিম্নলিখিত বৈশিষ্ট্যগুলি থাকেঃ এতে এমন সাইটগুলি জড়িত থাকে যা ব্যবহারকারীর পরিচয়ের উপর নির্ভর করে। এটি সেই পরিচয়ের প্রতি সাইটের আস্থাকে কাজে লাগায়। এটি ব্যবহারকারীর ব্রাউজারকে এমন একটি লক্ষ্য সাইটে এইচটিটিপি অনুরোধ পাঠাতে প্ররোচিত করে যেখানে ব্যবহারকারী ইতিমধ্যে প্রমাণীকৃত। এতে এইচ. টি. টি. পি-র অনুরোধ রয়েছে যার পার্শ্বপ্রতিক্রিয়া রয়েছে। ইতিহাস সি. এস. আর. এফ টোকেনের দুর্বলতা জানা গেছে এবং কিছু ক্ষেত্রে 2001 সাল থেকে তা কাজে লাগানো হয়েছে। যেহেতু এটি ব্যবহারকারীর আইপি ঠিকানা থেকে করা হয়, তাই কিছু ওয়েবসাইট লগগুলিতে সি. এস. আর. এফ-এর প্রমাণ নাও থাকতে পারে। শোষণগুলি কম রিপোর্ট করা হয়, অন্তত প্রকাশ্যে, এবং 2007 সাল পর্যন্ত কয়েকটি নথিভুক্ত উদাহরণ ছিলঃ 2006 সালে নেটফ্লিক্স ওয়েবসাইটে সি. এস. আর. এফ-এর জন্য অসংখ্য দুর্বলতা ছিল, যা কোনও আক্রমণকারীকে ভুক্তভোগীর ভাড়া সারিতে একটি ডিভিডি যুক্ত করার, অ্যাকাউন্টে শিপিং ঠিকানা পরিবর্তন করার, বা অ্যাকাউন্টটি সম্পূর্ণরূপে আপস করার জন্য ভুক্তভোগীর লগইন শংসাপত্রগুলি পরিবর্তন করার মতো কাজগুলি করার অনুমতি দিতে পারে। আই. এন. জি ডাইরেক্ট-এর অনলাইন ব্যাঙ্কিং ওয়েব অ্যাপ্লিকেশনটি সি. এস. আর. এফ-এর আক্রমণের ঝুঁকিতে ছিল যা অবৈধ অর্থ স্থানান্তরের অনুমতি দিয়েছিল। জনপ্রিয় ভিডিও ওয়েবসাইট ইউটিউবও 2008 সালে সি. এস. আর. এফ-এর ঝুঁকিতে ছিল এবং এটি যে কোনও আক্রমণকারীকে যে কোনও ব্যবহারকারীর প্রায় সমস্ত ক্রিয়া সম্পাদন করার অনুমতি দেয়। ম্যাকাফি সিকিউরও সি. এস. আর. এফ-এর জন্য ঝুঁকিপূর্ণ ছিল এবং এটি আক্রমণকারীদের তাদের কোম্পানি সিস্টেম পরিবর্তন করার অনুমতি দেয়। এটি নতুন সংস্করণগুলিতে সংশোধন করা হয়েছে। রাউটারের ডিএনএস সেটিংস পরিবর্তন করার প্রচেষ্টা সহ 2018 সালে ওয়েব-সক্ষম ডিভাইসগুলির বিরুদ্ধে নতুন আক্রমণ করা হয়েছিল। কিছু রাউটার নির্মাতারা সুরক্ষার উন্নতির জন্য তাড়াহুড়ো করে ফার্মওয়্যার আপডেট প্রকাশ করে এবং ঝুঁকি কমাতে ব্যবহারকারীদের রাউটার সেটিংস পরিবর্তন করার পরামর্শ দেয়। "সুস্পষ্ট নিরাপত্তা কারণ" উল্লেখ করে বিস্তারিত প্রকাশ করা হয়নি। উদাহরণ আক্রমণকারীরা যারা একটি পুনরুত্পাদনযোগ্য লিঙ্ক খুঁজে পেতে পারে যা শিকারটি লগ ইন করার সময় লক্ষ্য পৃষ্ঠায় একটি নির্দিষ্ট ক্রিয়া সম্পাদন করে এমন একটি লিঙ্ক তাদের নিয়ন্ত্রণে থাকা একটি পৃষ্ঠায় এম্বেড করতে পারে এবং শিকারকে এটি খোলার জন্য প্রতারণা করতে পারে। আক্রমণ বাহক লিঙ্কটি এমন একটি স্থানে স্থাপন করা যেতে পারে যেখানে ভুক্তভোগী লক্ষ্য সাইটে লগ ইন করার সময় পরিদর্শন করতে পারে (উদাহরণস্বরূপ, একটি আলোচনা ফোরাম), বা একটি এইচটিএমএল ইমেল বডি বা সংযুক্তিতে পাঠানো হতে পারে। uTorrent (CVE-2008-6586)-এ একটি প্রকৃত সি. এস. আর. এফ দুর্বলতা এই সত্যটিকে কাজে লাগায় যে স্থানীয় হোস্টে অ্যাক্সেসযোগ্য তার ওয়েব কনসোলঃ 8080 একটি সাধারণ জি. ই. টি অনুরোধ ব্যবহার করে সমালোচনামূলক ক্রিয়াকলাপগুলি কার্যকর করার অনুমতি দেয়ঃ একটি. টরেন্ট ফাইল ডাউনলোড করতে বাধ্য করুনঃ 8080/জি. আই. আই./? এই পৃষ্ঠাগুলি খোলার সময় যারা দুর্বল ইউটিরেন্ট সংস্করণ চালাচ্ছেন তারা আক্রমণের জন্য সংবেদনশীল ছিলেন। ইমেজ ট্যাগ ব্যবহার করে সি. এস. আর. এফ আক্রমণ প্রায়শই ইন্টারনেট ফোরাম থেকে করা হয়, যেখানে ব্যবহারকারীদের ছবি পোস্ট করার অনুমতি দেওয়া হয় তবে জাভাস্ক্রিপ্ট নয়, উদাহরণস্বরূপ বিবিসিডোড ব্যবহার করেঃ [আইএমজি] এইচ. টি. পিঃ// স্থানীয় হোস্টঃ 8080/জি. আই./? অ্যাকশন = অ্যাড-ইউ. আর. এল & এস = <আই. ডি1> [/আই. এম. জি] স্থানীয় ইউটরেন্ট অ্যাপ্লিকেশনে আক্রমণ লিঙ্কটি অ্যাক্সেস করার সময়, ব্রাউজার সর্বদা স্বয়ংক্রিয়ভাবে সেই ডোমেনের জন্য যে কোনও বিদ্যমান কুকিজ পাঠাবে। ওয়েব ব্রাউজারগুলির এই সাধারণ বৈশিষ্ট্যটি সি. এস. আর. এফ আক্রমণগুলিকে তাদের লক্ষ্যযুক্ত দুর্বলতাগুলি কাজে লাগাতে এবং প্রতিকূল ক্রিয়া সম্পাদন করতে সক্ষম করে যতক্ষণ না ব্যবহারকারী আক্রমণের সময় লক্ষ্যযুক্ত ওয়েবসাইটে (এই উদাহরণে, স্থানীয় ইউটরেন্ট ওয়েব ইন্টারফেসে) লগ ইন করে থাকে। উপরে বর্ণিত uTorrent উদাহরণে, আক্রমণটি সহজতর হয়েছিল এই কারণে যে uTorrent-এর ওয়েব ইন্টারফেস সমালোচনামূলক অবস্থা-পরিবর্তনমূলক ক্রিয়াকলাপের জন্য GET অনুরোধ ব্যবহার করেছিল (শংসাপত্র পরিবর্তন, একটি ফাইল ডাউনলোড ইত্যাদি)। ), যা স্পষ্টভাবে নিরুৎসাহিত করেঃ এই অনুমানের কারণে, ওয়েব কাঠামোর অনেক বিদ্যমান সি. এস. আর. এফ প্রতিরোধ ব্যবস্থা জি. ই. টি অনুরোধগুলিকে অন্তর্ভুক্ত করবে না, বরং শুধুমাত্র এইচ. টি. টি. পি পদ্ধতির ক্ষেত্রে সুরক্ষা প্রয়োগ করবে যা রাষ্ট্র-পরিবর্তন করার উদ্দেশ্যে করা হয়েছে। জাল লগইন অনুরোধ একজন আক্রমণকারী আক্রমণকারীর পরিচয়পত্র ব্যবহার করে শিকারকে একটি লক্ষ্য ওয়েবসাইটে লগ করার অনুরোধ করতে পারে; এটি লগইন সি. এস. আর. এফ নামে পরিচিত। লগইন সি. এস. আর. এফ বিভিন্ন অভিনব আক্রমণকে সম্ভব করে তোলে; উদাহরণস্বরূপ, একজন আক্রমণকারী পরে তাদের বৈধ পরিচয়পত্র দিয়ে সাইটে লগ ইন করতে পারে এবং অ্যাকাউন্টে সংরক্ষিত ক্রিয়াকলাপের ইতিহাসের মতো ব্যক্তিগত তথ্য দেখতে পারে। গুগল এবং ইয়াহুর বিরুদ্ধে এই আক্রমণ দেখানো হয়েছে। এইচ. টি. টি. পি ক্রিয়া এবং সি. এস. আর. এফ প্রকারের উপর নির্ভর করে, এইচ. টি. টি. পি অনুরোধ পদ্ধতিগুলি সি. এস. আর. এফ আক্রমণের প্রতি তাদের সংবেদনশীলতার ক্ষেত্রে পরিবর্তিত হয় (ওয়েব ব্রাউজার দ্বারা তাদের পরিচালনার পার্থক্যের কারণে)। অতএব, আক্রমণের বিরুদ্ধে সুরক্ষামূলক ব্যবস্থা এইচটিটিপি অনুরোধের পদ্ধতির উপর নির্ভর করে। এইচ. টি. টি. পি জি. ই. টি-তে সি. এস. আর. এফ-এর ব্যবহার তুচ্ছ, উপরে বর্ণিত পদ্ধতিগুলি ব্যবহার করে, যেমন ম্যানিপুলেটেড প্যারামিটারযুক্ত একটি সাধারণ হাইপারলিঙ্ক এবং স্বয়ংক্রিয়ভাবে একটি আইএমজি ট্যাগ দ্বারা লোড করা। তবে এইচটিটিপি নির্দিষ্টকরণ অনুসারে, জিইটি একটি নিরাপদ পদ্ধতি হিসাবে ব্যবহার করা উচিত, অর্থাৎ অ্যাপ্লিকেশনটিতে ব্যবহারকারীর অবস্থা উল্লেখযোগ্যভাবে পরিবর্তন করা উচিত নয়। এই ধরনের ক্রিয়াকলাপের জন্য জিইটি ব্যবহারকারী অ্যাপ্লিকেশনগুলির এইচটিটিপি পোস্টে স্যুইচ করা উচিত বা অ্যান্টি-সিএসআরএফ সুরক্ষা ব্যবহার করা উচিত। সি. এস. আর. এফ-এর প্রতি এইচ. টি. টি. পি পোস্ট-এর দুর্বলতা নির্ভর করে ব্যবহারের দৃশ্যপটের উপরঃ পি. ও. এস. টি-এর সহজতম আকারে একটি ক্যোয়ারি স্ট্রিং হিসাবে এনকোড করা ডেটা সহ (ফিল্ড 1 = ভ্যালু 1 এবং ফিল্ড 2 = ভ্যালু 2) সি. এস. আর. এফ আক্রমণ সহজেই একটি সাধারণ এইচ. টি. এম. এল ফর্ম ব্যবহার করে প্রয়োগ করা হয় এবং অ্যান্টি-সি. এস. আর. এফ ব্যবস্থা প্রয়োগ করা আবশ্যক। যদি অন্য কোনও বিন্যাসে (জে. এস. ও. এন, এক্স. এম. এল) তথ্য পাঠানো হয়, তাহলে একটি আদর্শ পদ্ধতি হল সি. এস. আর. এফ-এর আক্রমণ প্রতিরোধ করে সি. এস. আর. এফ-এর সাথে সি. এস. আর. এফ-এর অনুরোধ সহ এক্স. এম. এল. এইচ. টি. টি. পি-রিকুয়েস্ট ব্যবহার করে একটি পোস্ট অনুরোধ জারি করা; এন. সি. টি. আই. পি. ই বৈশিষ্ট্য ব্যবহার করে একটি সাধারণ এইচ. টি. এম. এল ফর্ম থেকে নির্বিচারে বিষয়বস্তু পাঠানোর একটি কৌশল রয়েছে; এই ধরনের জাল অনুরোধকে পাঠ্য/সাধারণ বিষয়বস্তুর ধরন দ্বারা বৈধ থেকে আলাদা করা যেতে পারে, তবে এটি সার্ভারে প্রয়োগ না করা হলে, সি. এস. আর. এফ-কে অন্যান্য এইচ. টি. টি. পি পদ্ধতি (পি. ইউ. টি, ডি. ই. ই. ই ইত্যাদি) কার্যকর করা যেতে পারে। শুধুমাত্র সি. এস. আর. এফ-কে প্রতিরোধকারী একই-উৎস নীতি (এস. ও. পি) এবং ক্রস-অরিজিন রিসোর্স শেয়ারিং (সি. ও. আর. এস)-এর সঙ্গে এক্স. এম. এল. এইচ. টি. টি. পি. রিকুয়েস্ট ব্যবহার করে জারি করা যেতে পারে; তবে এই পদক্ষেপগুলি এমন ওয়েবসাইটগুলিতে সক্রিয় থাকবে না যা অ্যাক্সেস-কন্ট্রোল-অ্যালো-অরিজিনঃ * হেডার ব্যবহার করে এগুলি স্পষ্টভাবে নিষ্ক্রিয় করেঃ সি. এস. আর. এফ-এর অন্যান্য পন্থা অতিরিক্তভাবে, যখন সাধারণত একটি স্থির ধরনের আক্রমণ হিসাবে বর্ণনা করা হয়, সি. এস. আর. এফ-কে একটি ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের জন্য পে-লোডের অংশ হিসাবে গতিশীলভাবে তৈরি করা যেতে পারে, যেমনটি স্যামি ওয়ার্ম দ্বারা প্রদর্শিত হয়, বা অফসাইট বিষয়বস্তুর মাধ্যমে ফাঁস হওয়া সেশন তথ্য থেকে ফ্লাইতে নির্মিত হয় এবং একটি দূষিত ইউ. আর. এল হিসাবে একটি লক্ষ্যে পাঠানো হয়। সি. এস. আর. এফ টোকেনগুলি সেশন ফিক্সশন বা অন্যান্য দুর্বলতার কারণে আক্রমণকারী দ্বারা কোনও ক্লায়েন্টের কাছে পাঠানো যেতে পারে, বা ব্রুট-ফোর্স আক্রমণের মাধ্যমে অনুমান করা যেতে পারে, যা একটি দূষিত পৃষ্ঠায় রেন্ডার করা হয় যা হাজার হাজার ব্যর্থ অনুরোধ তৈরি করে। "ডায়নামিক সি. এস. আর. এফ"-এর অ্যাটাক ক্লাস, বা সেশন-নির্দিষ্ট জালিয়াতির জন্য প্রতি-ক্লায়েন্ট পে-লোড ব্যবহার করা, 2009 সালে ব্ল্যাকহ্যাট ব্রিফিংসে নাথান হ্যামিয়েল এবং শন ময়ের দ্বারা বর্ণনা করা হয়েছিল, যদিও ট্যাক্সোনমি এখনও ব্যাপক গ্রহণযোগ্যতা অর্জন করতে পারেনি। 2012 সালের জানুয়ারিতে স্থানীয় ও. ডব্লিউ. এ. এস. পি অধ্যায়ের বৈঠকে ওরেন ওফের গতিশীল সি. এস. আর. এফ আক্রমণ রচনার জন্য একটি নতুন ভেক্টর উপস্থাপন করেছিলেন-"এ. জে. এ. এক্স হ্যামার-গতিশীল সি. এস. আর. এফ"। সি. এস. আর. এফ টোকেন দুর্বলতার জন্য প্রভাবের তীব্রতা মেট্রিক্স জারি করা হয়েছে যার ফলে মূল সুবিধাগুলির সাথে দূরবর্তী কোড কার্যকর করার পাশাপাশি একটি দুর্বলতা যা একটি মূল শংসাপত্রকে আপস করতে পারে, যা একটি পাবলিক কী পরিকাঠামোকে সম্পূর্ণরূপে দুর্বল করে দেবে। সীমাবদ্ধতা ক্রস-সাইট অনুরোধ জালিয়াতির সফল হওয়ার জন্য বেশ কয়েকটি জিনিস ঘটতে হবেঃ আক্রমণকারীকে অবশ্যই এমন কোনও সাইটকে লক্ষ্য করতে হবে যা রেফারার হেডারটি পরীক্ষা করে না বা ব্রাউজার বা প্লাগইন দিয়ে কোনও শিকারকে লক্ষ্য করতে হবে যা রেফারার স্পুফিংয়ের অনুমতি দেয়। আক্রমণকারীকে অবশ্যই টার্গেট সাইটে একটি ফর্ম জমা দিতে হবে, বা এমন একটি ইউআরএল খুঁজে বের করতে হবে যার পার্শ্বপ্রতিক্রিয়া রয়েছে, যা কিছু করে (যেমন, অর্থ স্থানান্তর, বা ভুক্তভোগীর ই-মেইল ঠিকানা বা পাসওয়ার্ড পরিবর্তন করে)। আক্রমণকারীকে অবশ্যই সমস্ত ফর্ম বা ইউআরএল ইনপুটগুলির জন্য সঠিক মান নির্ধারণ করতে হবে; যদি তাদের মধ্যে কোনও গোপন প্রমাণীকরণ মান বা আইডি থাকতে হয় যা আক্রমণকারী অনুমান করতে পারে না, তবে আক্রমণটি সম্ভবত ব্যর্থ হবে (যদি না আক্রমণকারী তাদের অনুমানের ক্ষেত্রে অত্যন্ত ভাগ্যবান না হয়)। আক্রমণকারীকে অবশ্যই ভুক্তভোগীকে দূষিত কোড সহ একটি ওয়েব পেজে প্রলুব্ধ করতে হবে যখন ভুক্তভোগীকে লক্ষ্য সাইটে লগ ইন করা হয়। আক্রমণটি অন্ধঃ আক্রমণকারী লক্ষ্য ওয়েবসাইটটি জাল অনুরোধের প্রতিক্রিয়ায় শিকারকে কী ফেরত পাঠায় তা দেখতে পারে না, যদি না তারা লক্ষ্য ওয়েবসাইটে ক্রস-সাইট স্ক্রিপ্টিং বা অন্যান্য বাগ ব্যবহার করে। একইভাবে, আক্রমণকারী শুধুমাত্র যে কোনও লিঙ্ককে লক্ষ্যবস্তু করতে পারে বা প্রাথমিক জাল অনুরোধের পরে আসা যে কোনও ফর্ম জমা দিতে পারে যদি পরবর্তী লিঙ্ক বা ফর্মগুলি একইভাবে অনুমানযোগ্য হয়। (একাধিক লক্ষ্য একটি পৃষ্ঠায় একাধিক চিত্র অন্তর্ভুক্ত করে বা ক্লিকের মধ্যে বিলম্ব প্রবর্তন করতে জাভাস্ক্রিপ্ট ব্যবহার করে অনুকরণ করা যেতে পারে।) প্রতিরোধ বেশিরভাগ সি. এস. আর. এফ প্রতিরোধ কৌশল অনুরোধগুলিতে অতিরিক্ত প্রমাণীকরণ তথ্য এম্বেড করে কাজ করে যা ওয়েব অ্যাপ্লিকেশনটিকে অননুমোদিত অবস্থান থেকে অনুরোধগুলি সনাক্ত করতে দেয়। সিঙ্ক্রোনাইজার টোকেন প্যাটার্ন (এস. টি. পি) একটি কৌশল যেখানে একটি টোকেন, প্রতিটি অনুরোধের জন্য একটি গোপন এবং অনন্য মান, ওয়েব অ্যাপ্লিকেশন দ্বারা সমস্ত এইচ. টি. এম. এল ফর্মগুলিতে এম্বেড করা হয় এবং সার্ভারের পাশে যাচাই করা হয়। টোকেনটি এমন কোনও পদ্ধতি দ্বারা তৈরি করা যেতে পারে যা অপ্রত্যাশিততা এবং স্বতন্ত্রতা নিশ্চিত করে (যেমন। এলোমেলো বীজের একটি হ্যাশ চেইন ব্যবহার করে)। আক্রমণকারী এইভাবে তাদের প্রমাণীকরণের অনুরোধে একটি সঠিক টোকেন স্থাপন করতে অক্ষম। এইচ. টি. এম. এল আকারে জ্যাঙ্গো দ্বারা সেট করা এস. টি. পি-র উদাহরণ হলঃ <ইনপুট প্রকার = "লুকানো" নাম = "সি. এস. আর. এফ. মিডলওয়্যারটোকেন" মান = "কে. বি. ইউ. এম. এইচ. টি. এল. এম. পি. ওয়াই. জে. 7. সি. ডি. 2ডি. 7. জে. কে. পি. 1. পি. 3কিউ. এম. এল. এল. কে. পি. টি"/> এস. টি. পি সবচেয়ে সামঞ্জস্যপূর্ণ কারণ এটি শুধুমাত্র এইচ. টি. এম. এল-এর উপর নির্ভর করে, তবে প্রতিটি অনুরোধে টোকেনের বৈধতা পরীক্ষা করার সাথে সম্পর্কিত বোঝার কারণে সার্ভার সাইডে কিছু জটিলতা প্রবর্তন করে। যেহেতু টোকেনটি অনন্য এবং অপ্রত্যাশিত, তাই এটি ঘটনাগুলির যথাযথ ক্রমও প্রয়োগ করে (যেমন। স্ক্রিন 1, তারপর 2, তারপর 3) যা ব্যবহারযোগ্যতার সমস্যা উত্থাপন করে (যেমন। ব্যবহারকারী একাধিক ট্যাব খোলে)। অনুরোধ অনুযায়ী সি. এস. আর. এফ টোকেনের পরিবর্তে প্রতি সেশনে সি. এস. আর. এফ টোকেন ব্যবহার করে এটি শিথিল করা যেতে পারে। কুকি-টু-হেডার টোকেন ওয়েব অ্যাপ্লিকেশনগুলি যা তাদের বেশিরভাগ ক্রিয়াকলাপের জন্য জাভাস্ক্রিপ্ট ব্যবহার করে তারা নিম্নলিখিত অ্যান্টি-সি. এস. আর. এফ কৌশলটি ব্যবহার করতে পারেঃ কোনও সংশ্লিষ্ট সার্ভার সেশন ছাড়াই প্রাথমিক পরিদর্শনে, ওয়েব অ্যাপ্লিকেশন একটি কুকি সেট করে। কুকিতে সাধারণত একটি এলোমেলো টোকেন থাকে যা ওয়েব সেশন সেট-কুকির জীবনকাল পর্যন্ত একই থাকতে পারেঃ _ _ হোস্ট-সিএসআরএফ _ টোকেন = i8XNjC4b8KVok4uw5RftR38Wgp2BFwql; মেয়াদ শেষ = থু, 23-জুলাই 2015 10:25:33 জিএমটি; ম্যাক্স-এজ = 31449600; পাথ =/; সেমসাইট = ল্যাক্স; ক্লায়েন্টের দিকে পরিচালিত সুরক্ষিত জাভাস্ক্রিপ্ট তার মান পড়ে এবং প্রতিটি লেনদেনের অনুরোধ এক্স-সিএসআরএফ-টোকেনের সাথে পাঠানো একটি কাস্টম এইচটিটিপি হেডারে অনুলিপি করেঃ i8XNjC4b8KVok4uw একটি দুর্বৃত্ত ফাইল বা ইমেল থেকে চলমান জাভাস্ক্রিপ্ট কাস্টম হেডারে অনুলিপি করার জন্য কুকি মানটি সফলভাবে পড়তে সক্ষম হওয়া উচিত নয়। যদিও কুকি স্বয়ংক্রিয়ভাবে দুর্বৃত্ত অনুরোধের সাথে পাঠানো হতে পারে, কুকিজ সেম সাইট নীতি সাপেক্ষে, সার্ভার এখনও একটি বৈধ হেডার আশা করবে। সি. এস. আর. এফ টোকেন নিজেই অনন্য এবং অপ্রত্যাশিত হওয়া উচিত। এটি এলোমেলোভাবে তৈরি হতে পারে, অথবা এটি এইচএমএসি ব্যবহার করে সেশন টোকেন থেকে উদ্ভূত হতে পারেঃ সিএসআরএফ টোকেন = এইচএমএসি (সেশন _ টোকেন, অ্যাপ্লিকেশন _ সিক্রেট) সিএসআরএফ টোকেন কুকিতে অবশ্যই এইচটিপিঅনলি ফ্ল্যাগ থাকতে হবে না, কারণ এটি জাভাস্ক্রিপ্ট দ্বারা ডিজাইন দ্বারা পড়ার উদ্দেশ্যে করা হয়েছে। এই কৌশলটি জ্যাঙ্গো এবং অ্যাঙ্গুলারজেএস-এর মতো অনেক আধুনিক কাঠামো দ্বারা প্রয়োগ করা হয়। যেহেতু টোকেনটি পুরো ব্যবহারকারী অধিবেশনে স্থির থাকে, এটি এ. জে. এ. এক্স অ্যাপ্লিকেশনগুলির সাথে ভাল কাজ করে, তবে ওয়েব অ্যাপ্লিকেশনটিতে ঘটনাগুলির ক্রম প্রয়োগ করে না। এই কৌশল দ্বারা প্রদত্ত সুরক্ষা ব্যর্থ করা যেতে পারে যদি লক্ষ্যযুক্ত ওয়েবসাইটটি নিম্নলিখিত কৌশলগুলির মধ্যে একটি ব্যবহার করে তার একই-মূল নীতি নিষ্ক্রিয় করেঃ সিলভারলাইট নিয়ন্ত্রণ ফাইলে অনিচ্ছাকৃত প্রবেশাধিকার প্রদানকারী ফাইল যা ফ্ল্যাশ চলচ্চিত্রগুলিতে অনিচ্ছাকৃত প্রবেশাধিকার প্রদান করে ডাবল সাবমিট কুকি একইভাবে কুকি-টু-হেডার পদ্ধতির জন্য, কিন্তু জাভাস্ক্রিপ্ট জড়িত না করে, একটি সাইট কুকি হিসাবে একটি সি. এস. আর. এফ টোকেন সেট করতে পারে এবং প্রতিটি এইচ. টি. এম. এল ফর্মের মধ্যে একটি লুকানো ক্ষেত্র হিসাবে এটি সন্নিবেশ করতে পারে। যখন ফর্ম জমা দেওয়া হয়, তখন সাইটটি পরীক্ষা করতে পারে যে কুকি টোকেনটি ফর্ম টোকেনের সাথে মেলে কিনা। একই-মূল নীতি আক্রমণকারীকে লক্ষ্য ডোমেনে কুকিজ পড়তে বা সেট করতে বাধা দেয়, তাই তারা তাদের তৈরি আকারে একটি বৈধ টোকেন রাখতে পারে না। সিঙ্ক্রোনাইজার প্যাটার্নের তুলনায় এই কৌশলটির সুবিধা হল টোকেনটি সার্ভারে সংরক্ষণ করার প্রয়োজন নেই। সেম সাইট কুকি অ্যাট্রিবিউট একটি অতিরিক্ত "সেম সাইট" অ্যাট্রিবিউট অন্তর্ভুক্ত করা যেতে পারে যখন সার্ভার একটি কুকি সেট করে, ব্রাউজারকে নির্দেশ দেয় যে ক্রস-সাইট অনুরোধগুলিতে কুকি সংযুক্ত করতে হবে কিনা। যদি এই বৈশিষ্ট্যটি "কঠোর" হিসাবে সেট করা থাকে, তবে কুকি শুধুমাত্র একই সাইটের অনুরোধে পাঠানো হবে, যা সি. এস. আর. এফ-কে অকার্যকর করে তুলবে। তবে, এর জন্য ব্রাউজারকে বৈশিষ্ট্যটি চিনতে এবং সঠিকভাবে প্রয়োগ করতে হবে। ক্লায়েন্ট-সাইড সুরক্ষা ব্রাউজার এক্সটেনশন যেমন অনুরোধ নীতি (মোজিলা ফায়ারফক্সের জন্য) বা (ফায়ারফক্স এবং গুগল ক্রোম/ক্রোমিয়াম উভয়ের জন্য) ক্রস-সাইট অনুরোধের জন্য একটি ডিফল্ট-অস্বীকার নীতি প্রদান করে সি. এস. আর. এফ-কে প্রতিরোধ করতে পারে। তবে, এটি অনেক ওয়েবসাইটের স্বাভাবিক ক্রিয়াকলাপে উল্লেখযোগ্যভাবে হস্তক্ষেপ করতে পারে। সিএসফায়ার এক্সটেনশন (ফায়ারফক্সের জন্যও) ক্রস-সাইট অনুরোধ থেকে প্রমাণীকরণের তথ্য সরিয়ে সাধারণ ব্রাউজিংয়ের উপর কম প্রভাব সহ সিএসআরএফ-এর প্রভাবকে প্রশমিত করতে পারে। ফায়ারফক্সের জন্য নোস্ক্রিপ্ট এক্সটেনশনটি বিশ্বাসযোগ্য সাইটগুলি থেকে অবিশ্বস্ত সাইটগুলিকে আলাদা করে এবং অবিশ্বস্ত সাইটগুলির দ্বারা বিশ্বস্ত সাইটগুলিতে পাঠানো পোস্ট অনুরোধগুলি থেকে প্রমাণীকরণ এবং পেলোডগুলি সরিয়ে সি. এস. আর. এফ-এর হুমকিকে প্রশমিত করে। নোস্ক্রিপ্টে অ্যাপ্লিকেশন বাউন্ডারি এনফোর্সার মডিউলটি ইন্টারনেট পৃষ্ঠাগুলি থেকে স্থানীয় সাইটগুলিতে পাঠানো অনুরোধগুলিকেও ব্লক করে (যেমন। স্থানীয় হোস্ট), স্থানীয় পরিষেবাগুলিতে (যেমন ইউটিরেন্ট) বা রাউটারগুলিতে সি. এস. আর. এফ আক্রমণ প্রতিরোধ করা। ফায়ারফক্সের জন্য সেলফ ডেস্ট্রাকটিং কুকিজ এক্সটেনশন সরাসরি সি. এস. আর. এফ থেকে সুরক্ষা দেয় না, তবে একটি খোলা ট্যাবের সাথে যুক্ত না হওয়ার সাথে সাথে কুকিজ মুছে দিয়ে আক্রমণ উইন্ডোটি হ্রাস করতে পারে। অন্যান্য কৌশল ঐতিহাসিকভাবে সি. এস. আর. এফ প্রতিরোধের জন্য বিভিন্ন অন্যান্য কৌশল ব্যবহার বা প্রস্তাব করা হয়েছেঃ অনুরোধের শিরোনামগুলিতে এক্স-অনুরোধকৃত-উইথ রয়েছে কিনা তা যাচাই করা (v2.0 এর আগে রুবি এবং v1.2.5 এর আগে জ্যাঙ্গো দ্বারা ব্যবহৃত), অথবা এইচ. টি. টি. পি রেফারার হেডার এবং/অথবা এইচ. টি. টি. পি অরিজিন হেডার পরীক্ষা করা। কোনও অনুমোদিত পৃষ্ঠা থেকে অনুরোধ আসছে কিনা তা দেখার জন্য এইচটিটিপি রেফারার হেডারটি পরীক্ষা করা সাধারণত এমবেডেড নেটওয়ার্ক ডিভাইসগুলির জন্য ব্যবহৃত হয় কারণ এটি মেমরির প্রয়োজনীয়তা বাড়ায় না। যাইহোক, যে অনুরোধে রেফারার হেডার বাদ দেওয়া হয়েছে তাকে অবশ্যই অননুমোদিত হিসাবে বিবেচনা করতে হবে কারণ একজন আক্রমণকারী এফটিপি বা এইচটিটিপিএস ইউআরএল থেকে অনুরোধ জারি করে রেফারার হেডারটি দমন করতে পারে। এই কঠোর রেফারার বৈধতা ব্রাউজার বা প্রক্সিগুলির সাথে সমস্যা সৃষ্টি করতে পারে যা গোপনীয়তার কারণে রেফারার হেডারটি বাদ দেয়। এছাড়াও, ফ্ল্যাশের পুরানো সংস্করণগুলি (9.0.18 এর আগে) দূষিত ফ্ল্যাশকে সি. আর. এল. এফ ইনজেকশন ব্যবহার করে নির্বিচারে এইচ. টি. টি. পি অনুরোধ শিরোনাম সহ জি. ই. টি বা পোস্ট অনুরোধ তৈরি করার অনুমতি দেয়। একটি ক্লায়েন্টে অনুরূপ সি. আর. এল. এফ ইনজেকশন দুর্বলতা একটি এইচ. টি. টি. পি অনুরোধের রেফারারকে প্রতারণা করতে ব্যবহার করা যেতে পারে। পোস্ট অনুরোধ পদ্ধতিটি কিছু সময়ের জন্য ইউ. আর. এল-এর পরামিতিগুলি (জি. ই. টি পদ্ধতি ব্যবহার করে) ব্যবহার করে তুচ্ছ সি. এস. আর. এফ আক্রমণের প্রতিরোধ হিসাবে বিবেচিত হয়েছিল। যাইহোক, এক্স. এম. এল. এইচ. টি. টি. পি. রিকোয়েস্ট ব্যবহার করে এখন পোস্ট এবং অন্য যে কোনও এইচ. টি. টি. পি পদ্ধতি সহজেই কার্যকর করা যেতে পারে। অপ্রত্যাশিত জিইটি অনুরোধগুলি ফিল্টার করা এখনও কিছু নির্দিষ্ট আক্রমণ প্রতিরোধ করে, যেমন দূষিত চিত্র ইউআরএল বা লিঙ্ক ঠিকানা ব্যবহার করে ক্রস-সাইট আক্রমণ এবং <স্ক্রিপ্ট> উপাদানগুলির মাধ্যমে ক্রস-সাইট তথ্য ফাঁস (জাভাস্ক্রিপ্ট হাইজ্যাকিং); এটি আক্রমণাত্মক ওয়েব ক্রলার এবং লিঙ্ক প্রিফেচিংয়ের সাথে (অ-সুরক্ষা-সম্পর্কিত) সমস্যাগুলিও প্রতিরোধ করে। ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস) দুর্বলতা (এমনকি একই ডোমেনে চলমান অন্যান্য অ্যাপ্লিকেশনগুলিতেও) আক্রমণকারীদের মূলত সমস্ত সিএসআরএফ প্রতিরোধকে বাইপাস করার অনুমতি দেয়। আরও দেখুন ব্রেক বিভ্রান্ত উপ সমস্যা ক্রাইম ওয়েব মেসেজিং হিপ স্প্রেয়িং রিপ্লে অ্যাটাক সেশন ফিক্সশন অ্যাপ্লিকেশন নিরাপত্তা রেফারেন্স বাহ্যিক লিঙ্ক ক্রস সাইট অনুরোধ জালিয়াতি সম্পর্কে একটি সর্বাধিক উপেক্ষিত সত্য ক্রস-সাইট অনুরোধ জালিয়াতি এফ. এ. কিউ ক্রস-সাইট অনুরোধ জালিয়াতি থেকে ওয়েব অ্যাপ্লিকেশন নিরাপত্তা কনসোর্টিয়াম হুমকি শ্রেণিবিন্যাস প্রকল্প ওয়েব নিরাপত্তা শোষণ