பாதுகாப்பு ஆராய்ச்சியாளர் டிக்கெட் மாஸ்டர் வலைத்தள கடன் அட்டை சிக்கலை தீர்க்கிறார்

லைவ் நேஷன் என்டர்டெயின்மென்ட்

டிக்கெட் மாஸ்டர் சமீபத்தில் பல ஆயிரம் வாடிக்கையாளர்களின் கிரெடிட் கார்டு நற்சான்றிதழ்கள் கசிவதற்கு வழிவகுக்கும் ஒப்பீட்டளவில் தீவிரமான மீறலை சரிசெய்ய வேண்டியிருந்தது. சிக்கலை சரிசெய்வதில் அவர்கள் கடுமையாக உழைத்து வருகின்றனர், ஆனால் தாக்குதல்களை முதலில் தூண்டியதை அவர் தீர்த்தார் என்று ஒரு நபர் நினைக்கிறார்.

இங்கிலாந்தின் சிறந்த டிஜிட்டல் பாதுகாப்பு ஆராய்ச்சியாளர்களில் ஒருவரான கெவின் பியூமண்ட், தாக்குதல் திசையன் என்னவென்று தனக்குத் தெரியும் என்று நம்புகிறார். இன்பெண்டாவின் சொந்த ரிமோட் சேவையகத்திலிருந்து ஜாவாஸ்கிரிப்ட் கோப்பை அழைப்பதன் மூலம் செயல்படும் வெப்மாஸ்டர்களுக்கு இன்பெண்டா ஒரு அரட்டை போட்டை வழங்கியது.

இந்த குறிப்பிட்ட ஜாவாஸ்கிரிப்டை அழைக்க HTML இன் ஒற்றை வரி பயன்படுத்தப்பட்டது. இன்பென்ட் டிக்கெட் மாஸ்டருக்கு ஒரு ஜாவாஸ்கிரிப்ட் ஒன்-லைனரை வழங்கியதாக பியூமண்ட் கருதினார், பின்னர் அவர்கள் இன்பெண்டாவின் தொழில்நுட்ப வல்லுநர்களுக்கு அறிவிக்காமல் தங்கள் கட்டண பக்கத்தில் பயன்படுத்தியிருக்கலாம். குறியீடு இப்போது டிக்கெட் மாஸ்டரின் கட்டண செயலாக்க தளத்தில் இருப்பதால், தளத்தின் வழியாக செல்லும் அனைத்து கிரெடிட் கார்டு பரிவர்த்தனைகளுக்கும் மத்தியில் இது செயல்பாட்டு ரீதியாக வைக்கப்பட்டது.

ஜாவாஸ்கிரிப்ட் குறியீடு, பியூமண்டின் கோட்பாட்டின் படி, ஒரு வாடிக்கையாளரின் உலாவியில் அவர்களின் கிரெடிட் கார்டு தகவல் இருந்த அதே பக்கத்திலிருந்து செயல்படுத்தப்படலாம். யாராவது குறியீட்டை மாற்றியமைத்து, அவ்வாறு செய்யும்போது தீங்கிழைக்கும் செயலைச் செய்வதற்கான அதிகாரத்தை அவர்களுக்கு வழங்கியிருக்க வேண்டும்.

தீம்பொருள் எதிர்ப்பு கருவிகள் தங்கள் வேலையைச் செய்கின்றன என்பதையும் அவரது ஆராய்ச்சி சுட்டிக்காட்டுகிறது. டிக்கெட் மாஸ்டரின் முகவர்கள் மீறல் நிகழ்ந்ததாக அறிவிப்பதற்கு சில மாதங்களுக்கு முன்பு சில பாதுகாப்பு மென்பொருள்கள் ஸ்கிரிப்ட்டைக் கொடியிடத் தொடங்கின. ஜாவாஸ்கிரிப்ட் கோப்பு சில அச்சுறுத்தல் புலனாய்வு கருவிகளில் பதிவேற்றம் செய்யப்பட்டுள்ளது, இது சரியான நேரத்தில் மீறலை எவ்வாறு பிடிக்க முடிந்தது என்பதை விட அதிகமாக உள்ளது.

மற்ற வல்லுநர்கள் ஜாவாஸ்கிரிப்ட் நூலக சார்புநிலைகள் மற்றும் இது இந்த வகையான மீறலுடன் எவ்வாறு தொடர்புடையது என்பது குறித்து கவலை தெரிவித்துள்ளனர். கோடர்கள் தங்கள் வேலைகளை எளிதாக்கும் சில ஜாவாஸ்கிரிப்ட் கட்டமைப்பைப் பயன்படுத்துவதற்காக மூன்றாம் தரப்பு சார்பு சிக்கல்களைத் தீர்க்க கிட் களஞ்சியங்களைப் பயன்படுத்துவது பொதுவானதாகிவிட்டது.

இது குறியீடு மறுபயன்பாட்டின் திறமையான முறையாக இருந்தாலும், இந்த சார்புகளில் சில அவற்றில் தீங்கிழைக்கும் ஏதோவொன்றைக் கொண்டிருக்கக்கூடும். இந்த களஞ்சியங்களில் பல எப்போதாவது பட்டாசுகளால் பாதிக்கப்படுபவை, அவை தவறாகப் பயன்படுத்துகின்றன, அதாவது தணிக்கை செய்யப்படாத குறியீட்டிற்கான கூடுதல் இடங்களுக்கு மொழிபெயர்க்கலாம், இல்லையெனில் முறையான தளங்களுக்கு ஒரு வழியைக் கண்டறியலாம்.

இதன் விளைவாக, இந்த வகையான சிக்கல்களின் அபாயத்தைக் குறைப்பதற்காக கடுமையான குறியீடு தணிக்கை நடைமுறைகளில் கூடுதல் கவனம் செலுத்த வேண்டும் என்று சிலர் விரும்புகிறார்கள்.