ক্রস-সাবডোমেন এজ্যাক্স কল করতে সক্ষম হওয়ার জন্য আমাকে সম্প্রতি সেট Access-Control-Allow-Originকরতে *হয়েছিল।
এখন আমি সাহায্য করতে পারছি না কিন্তু অনুভব করতে পারি যে আমি আমার পরিবেশটিকে সুরক্ষা ঝুঁকিতে ফেলেছি।
আমি যদি এটি ভুল করে থাকি তবে দয়া করে আমাকে সহায়তা করুন।
উত্তর:
সাড়া দিয়ে Access-Control-Allow-Origin: *, অনুরোধ করা সংস্থানটি প্রতিটি উত্সের সাথে ভাগ করার অনুমতি দেয়। এর মূল অর্থ হ'ল যে কোনও সাইট আপনার সাইটে একটি এক্সএইচআর অনুরোধ প্রেরণ করতে পারে এবং সার্ভারের প্রতিক্রিয়া অ্যাক্সেস করতে পারে যা আপনি যদি এই CORS প্রতিক্রিয়াটি প্রয়োগ না করে থাকেন তবে কেস হবে না।
সুতরাং যে কোনও সাইট আপনার দর্শকদের পক্ষে আপনার সাইটে একটি অনুরোধ করতে পারে এবং এর প্রতিক্রিয়াটি প্রক্রিয়া করতে পারে। যদি আপনার কাছে প্রমাণীকরণ বা অনুমোদনের স্কিমের মতো এমন কিছু প্রয়োগ করা থাকে যা ব্রাউজারের দ্বারা স্বয়ংক্রিয়ভাবে সরবরাহ করা (কুকিজ, কুকি-ভিত্তিক সেশন ইত্যাদি) এর উপর ভিত্তি করে থাকে তবে তৃতীয় পক্ষের সাইটগুলি দ্বারা চালিত অনুরোধগুলি সেগুলিও ব্যবহার করবে।
এটি প্রকৃতপক্ষে একটি সুরক্ষা ঝুঁকি তৈরি করে, বিশেষত যদি আপনি কেবলমাত্র নির্বাচিত সংস্থার জন্য নয় তবে প্রতিটি সংস্থার জন্য সম্পদ ভাগ করে নেওয়ার অনুমতি দেন। এই প্রসঙ্গে আপনার একবার নজর দেওয়া উচিত সিওআরএস সক্ষম করা কখন নিরাপদ? ।
Access-Control-Allow-Origin: *? কোনও নোগিন ইত্যাদি থাকবে না, তারা কি সবার কাছে প্রকাশ্য?
Access-Control-Allow-Origin: *যে কোনও সংস্থায় স্ট্যান্ডার্ড শংসাপত্রগুলি (কুকিজ, বেসিক লেখক, টিএলএস ক্লায়েন্ট শংসাপত্র) ব্যতীত অন্য কোনও কিছু দ্বারা সুরক্ষিত ব্যক্তিগত ডেটা না থাকলে অন্য যে কোনও সংস্থান যুক্ত করা সম্পূর্ণ নিরাপদ ।
কল্পনা করুন https://example.com/users-private-data, যা ব্যবহারকারীর লগ ইন থাকা অবস্থায় নির্ভর করে ব্যক্তিগত ডেটা প্রকাশ করতে পারে। এই রাষ্ট্রটি একটি সেশন কুকি ব্যবহার করে। এটি এই সংস্থানটিতে যুক্ত করা নিরাপদAccess-Control-Allow-Origin: * , কারণ এই শিরোনামটি কেবল প্রতিক্রিয়া অ্যাক্সেসের অনুমতি দেয় যদি কুকিজ ছাড়াই অনুরোধ করা হয় এবং কুকিজের ব্যক্তিগত ডেটা পাওয়ার প্রয়োজন হয়। ফলস্বরূপ, কোনও ব্যক্তিগত তথ্য ফাঁস হয় না।
কল্পনা করুন https://intranet.example.com/company-private-data, যা প্রাইভেট কোম্পানির ডেটা প্রকাশ করে তবে আপনি কেবলমাত্র কোম্পানির ওয়াইফাই নেটওয়ার্কে থাকলে এটি অ্যাক্সেস করা যায়। এটা নিরাপদ নয় যোগ করার জন্য Access-Control-Allow-Origin: *, এই সম্পদ যেমন মান পরিচয়পত্র ছাড়া অন্য কিছু ব্যবহার দ্বারা সুরক্ষিত। অন্যথায়, কোনও খারাপ স্ক্রিপ্ট আপনাকে ইন্ট্রনেটের টানেল হিসাবে ব্যবহার করতে পারে।
কোনও ব্যবহারকারী যদি ছদ্মবেশী উইন্ডোতে সংস্থানটি ব্যবহার করে তবে তারা কী দেখতে পাবে তা কল্পনা করুন। আপনি যদি এই সামগ্রীটি দেখতে (ব্রাউজারের উত্স কোড সহ) দেখে খুশি হন তবে এটি যুক্ত করা নিরাপদ Access-Control-Allow-Origin: *।
Access-Control-Allow-Origin: *কেবল কুকিজ ছাড়াই অনুরোধগুলির অনুমতি দেয় । আমি উত্তরটি কিছুটা স্পষ্ট করার জন্য সম্পাদনা করেছি।
আফাইক, অ্যাক্সেস-কন্ট্রোল-মঞ্জুরি-উত্স হ'ল সার্ভার থেকে ব্রাউজারে প্রেরণ করা কেবল একটি এইচডিপি শিরোনাম। এটি একটি নির্দিষ্ট ঠিকানায় সীমাবদ্ধ করা (বা এটি অক্ষম করা) আপনার সাইটকে নিরাপদ করে না, উদাহরণস্বরূপ, রোবটগুলি। রোবটগুলি চাইলে তারা কেবল শিরোনামকে উপেক্ষা করতে পারে। সেখানে নিয়মিত ব্রাউজারগুলি (এক্সপ্লোরার, ক্রোম ইত্যাদি) ডিফল্টরূপে শিরোনামকে সম্মান করে। কিন্তু পোস্টম্যানের মতো একটি অ্যাপ্লিকেশন কেবল এটিকে উপেক্ষা করে।
সার্ভার শেষটি অনুরোধটির আসলে 'উত্স' কী তা পরীক্ষা করে না যখন প্রতিক্রিয়াটি ফিরে আসে। এটি ঠিক এইচডিপি শিরোনাম যুক্ত করে। এটি ব্রাউজার (ক্লায়েন্টের শেষ) যা অনুরোধটি প্রেরণ করেছে যা অ্যাক্সেস-নিয়ন্ত্রণ শিরোনামটি পড়তে এবং এটিতে কাজ করার সিদ্ধান্ত নিয়েছে। নোট করুন যে এক্সএইচআর ক্ষেত্রে এটি প্রথমে শিরোনামগুলির জন্য জিজ্ঞাসা করার জন্য একটি বিশেষ 'বিকল্প' অনুরোধ ব্যবহার করতে পারে।
সুতরাং, সৃজনশীল স্ক্রিপ্টিং ক্ষমতা সহ যে কেউ সহজেই পুরো শিরোনামটিকে এতে উপস্থাপিত করতে পারে না।
আরও দেখুন অ্যাকসেস-নিয়ন্ত্রণ-মঞ্জুর করুন বংশোদ্ভূত সেটিং সম্ভাব্য নিরাপত্তা বিষয়ক ।
এখন আসলে প্রশ্নের উত্তর দিতে
আমি সাহায্য করতে পারি না কিন্তু অনুভব করতে পারি যে আমি আমার পরিবেশটিকে সুরক্ষা ঝুঁকিতে ফেলেছি
যদি কেউ আপনাকে আক্রমণ করতে চায় তবে তারা সহজেই অ্যাক্সেস-কন্ট্রোল-মঞ্জুরি-উত্সকে বাইপাস করতে পারে। তবে '*' সক্ষম করে আপনি আক্রমণকারীকে এইচটিটিপি শিরোনামের সম্মানিত নিয়মিত ওয়েব ব্রাউজার ব্যবহার করে, আরও কয়েকটি 'আক্রমণ আক্রমণকারী' দিয়ে খেলতে পারেন।
Access-Control-Allow-Origin *একটি দূষিত ওয়েবসাইটে সেট করা যা স্ক্রিপ্টগুলিকে পাসওয়ার্ড চুরি করতে হোস্ট করে তা
192.168.1.1) HTTP অনুরোধ করতে পারে এবং আক্রমণগুলিকে অনুমতি দেওয়ার জন্য আপনার রাউটারটিকে পুনরায় কনফিগার করতে পারে। এমনকি এটি আপনার রাউটারকে ডিডিওএস নোড হিসাবে সরাসরি ব্যবহার করতে পারে। (বেশিরভাগ রাউটারের টেস্ট পৃষ্ঠাগুলি রয়েছে যা পিংস বা সাধারণ এইচটিটিপি সার্ভার চেকের অনুমতি দেয় These এগুলি ম্যাসেজের জন্য অপব্যবহার করা যেতে পারে))
মন্তব্য হিসাবে পোস্ট করা এখানে 2 টি উদাহরণ রয়েছে, যখন একটি ওয়াইল্ডকার্ড সত্যিই সমস্যাযুক্ত:
মনে করুন আমি আমার ব্যাংকের ওয়েবসাইটে লগইন করেছি। আমি যদি অন্য কোনও পৃষ্ঠাতে যাই এবং তারপরে আমার ব্যাঙ্কে ফিরে যাই তবে আমি একটি কুকির কারণে লগ ইন করছি। ইন্টারনেটের অন্যান্য ব্যবহারকারীরা আমার ব্যাঙ্কে আমার মতো একই ইউআরএল হিট করতে পারে, তবুও তারা কুকি ছাড়াই আমার অ্যাকাউন্টে অ্যাক্সেস করতে পারবে না। যদি ক্রস-অরিজিনের অনুরোধগুলি অনুমোদিত হয় তবে কোনও দূষিত ওয়েবসাইট কার্যকরভাবে ব্যবহারকারীর ছদ্মবেশ তৈরি করতে পারে।
- ব্র্যাড
মনে করুন আপনার কাছে একটি সাধারণ হোম রাউটার রয়েছে যেমন লিংকসিস ডাব্লুআরটি 5৪ জি বা কিছু। মনে করুন যে রাউটার ক্রস-অরিজিনের অনুরোধগুলিকে অনুমতি দেয়। আমার ওয়েব পৃষ্ঠায় একটি স্ক্রিপ্ট সাধারণ রাউটার আইপি ঠিকানাগুলিতে HTTP অনুরোধ করতে পারে (যেমন 192.168.1.1) এবং আক্রমণগুলিকে অনুমতি দেওয়ার জন্য আপনার রাউটারটিকে পুনরায় কনফিগার করতে পারে। এমনকি এটি আপনার রাউটারকে ডিডিওএস নোড হিসাবে সরাসরি ব্যবহার করতে পারে। (বেশিরভাগ রাউটারের টেস্ট পৃষ্ঠাগুলি রয়েছে যা পিংস বা সাধারণ এইচটিটিপি সার্ভার চেকের অনুমতি দেয় These এগুলি ম্যাসেজ হিসাবে ব্যবহার করা যেতে পারে))
- ব্র্যাড
আমি মনে করি যে এই মন্তব্যগুলির উত্তর হওয়া উচিত ছিল, কারণ তারা সমস্যাটিকে একটি বাস্তব জীবনের উদাহরণ দিয়ে ব্যাখ্যা করে।
এমন পরিস্থিতিতে যেখানে সার্ভারের নীচে শিরোনামগুলি সেট করে CORS সম্পূর্ণ অক্ষম করার চেষ্টা করে।
অ্যাক্সেস-কন্ট্রোল-মঞ্জুরি-উত্স: * (ব্রাউজারকে বলে যে সার্ভার যে কোনও ORIGIN এর ক্রস সাইট অনুরোধ গ্রহণ করে)
অ্যাক্সেস-কন্ট্রোল-মঞ্জুরি-শংসাপত্রসমূহ: সত্য (ব্রাউজারকে বলে যে ক্রস সাইটের অনুরোধগুলি কুকিজ পাঠাতে পারে)
ব্রাউজারগুলিতে কার্যকর একটি ব্যর্থ নিরাপদ রয়েছে যার ফলে নীচে ত্রুটি হবে
"Credential is not supported if the CORS header ‘Access-Control-Allow-Origin’ is ‘*’"সুতরাং বেশিরভাগ পরিস্থিতিতে 'অ্যাক্সেস-কন্ট্রোল-অলজন-অরিজিন'-এ সেটিংস *করা কোনও সমস্যা হবে না। তবে আক্রমণগুলির বিরুদ্ধে সুরক্ষিত করার জন্য, সার্ভারটি অনুমোদিত উত্সগুলির একটি তালিকা বজায় রাখতে পারে এবং যখনই সার্ভারটি ক্রস উত্সের অনুরোধ পায়, এটি অনুমতিপ্রাপ্ত উত্সের তালিকার বিরুদ্ধে ওআরআইজিআইএন শিরোনামকে বৈধতা দিতে পারে এবং তারপরে অ্যাক্সেস-কন্ট্রোল-মঞ্জুরি-উত্সে একই প্রতিধ্বনিত করতে পারে হেডার।
যেহেতু ব্রাউজারে জাভাস্ক্রিপ্ট চলার মাধ্যমে অরিগিন শিরোনামটি পরিবর্তন করা যায় না, তাই দূষিত সাইট এটি ছদ্মবেশী করতে সক্ষম হবে না।