ओपन सोर्स फाउंडेशन ने जावास्क्रिप्ट एपीआई को सीमित करने के लिए जेशेल्टर ब्राउज़र ऐड-ऑन पेश किया

फ्री सॉफ्टवेयर फाउंडेशन ने जेशेल्टर प्रोजेक्ट पेश किया, जो वेबसाइटों पर जावास्क्रिप्ट का उपयोग करते समय उत्पन्न होने वाले खतरों से बचाने के लिए एक ब्राउज़र ऐड-ऑन विकसित करता है, जिसमें छिपी हुई पहचान, ट्रैकिंग गतिविधियों और उपयोगकर्ता डेटा का संचय शामिल है। प्रोजेक्ट कोड GPLv3 लाइसेंस के तहत वितरित किया गया है। ऐड-ऑन फ़ायरफ़ॉक्स, गूगल क्रोम, ओपेरा, ब्रेव, माइक्रोसॉफ्ट एज और क्रोमियम इंजन पर आधारित अन्य ब्राउज़रों के लिए तैयार किया गया है।

इस परियोजना को एनएलनेट फाउंडेशन द्वारा वित्त पोषित एक संयुक्त पहल के रूप में विकसित किया जा रहा है। नोस्क्रिप्ट ऐड-ऑन के निर्माता जियोर्जियो माओन, साथ ही जे++ प्रोजेक्ट के संस्थापक और जेएस-शील्ड और जावास्क्रिप्ट रेस्ट्रिक्टर ऐड-ऑन के लेखक भी जेशेल्टर के विकास में शामिल हुए। जावास्क्रिप्ट रेस्ट्रिक्टर ऐड-ऑन का उपयोग नए प्रोजेक्ट के आधार के रूप में किया जाता है।

JShelter को वेबसाइटों और वेब अनुप्रयोगों के लिए उपलब्ध जावास्क्रिप्ट प्रोग्रामिंग इंटरफेस के लिए एक प्रकार के फ़ायरवॉल के रूप में सोचा जा सकता है। ऐड-ऑन सुरक्षा के चार स्तर प्रदान करता है, साथ ही एपीआई तक पहुंच के लिए एक लचीला कॉन्फ़िगरेशन मोड भी प्रदान करता है। स्तर शून्य पूरी तरह से सभी एपीआई तक पहुंच की अनुमति देता है, पहले में न्यूनतम अवरोधन शामिल है जो पृष्ठों के संचालन को बाधित नहीं करता है, दूसरे स्तर पर अवरोधन और अनुकूलता के बीच संतुलन होता है, और चौथे स्तर में अनावश्यक हर चीज का सख्त अवरोधन शामिल होता है।

एपीआई ब्लॉकिंग सेटिंग्स को अलग-अलग साइटों से जोड़ा जा सकता है, उदाहरण के लिए, कुछ साइटों के लिए सुरक्षा को मजबूत किया जा सकता है, और अन्य के लिए अक्षम किया जा सकता है। आप कुछ जावास्क्रिप्ट विधियों, ऑब्जेक्ट्स, गुणों और फ़ंक्शंस को चुनिंदा रूप से ब्लॉक कर सकते हैं, या रिटर्न मान बदल सकते हैं (उदाहरण के लिए, सिस्टम के बारे में गलत जानकारी उत्पन्न करना)। एक अलग सुविधा एनबीएस (नेटवर्क सीमा शील्ड) मोड है, जो पेजों को बाहरी और स्थानीय नेटवर्क के बीच प्रॉक्सी के रूप में ब्राउज़र का उपयोग करने की अनुमति नहीं देता है (सभी आउटगोइंग अनुरोधों को इंटरसेप्ट और विश्लेषण किया जाता है)।

अवरुद्ध या प्रतिबंधित एपीआई:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp और VRFrameData.prototype.timestamp - सटीक समय आउटपुट का उपयोग साइड-चैनल हमलों की पहचान करने और उन्हें अंजाम देने के लिए किया जा सकता है .
• HTMLCanvasElement (canvas.toDataURL(), कैनवास.toBlob(), CanvasRenderingContext2D.getImageData, OfscreenCanvas.convertToBlob()) - उपयोगकर्ता की पहचान करते समय ग्राफिक्स सबसिस्टम की विशेषताओं को निर्धारित करने के लिए उपयोग किया जाता है।
• ऑडियोबफ़र और एनालिसेरनोड (Audiobuffer.getChanneldata (), Audiobuffer.copyfromchannel (), analysernode.getBytimedomaindata (), analysernode.getfloatTimedoma Indata (), analysernode.getbytefrequeencydata () और analysernode.getfloatfrequeency ()) - ध्वनि संकेत विश्लेषण के माध्यम से पहचान।
• WebGLRenderingContext - ग्राफ़िक्स स्टैक और GPU की विशेषताओं के विश्लेषण के माध्यम से पहचान।
• MediaDevices.prototype.enumerateDevices - कैमरा और माइक्रोफ़ोन के पैरामीटर और नाम प्राप्त करके पहचान।
• navigator.deviceMemory, navigator.hardwareConcurrency - हार्डवेयर के बारे में जानकारी प्राप्त करना।
• XMLHttpRequest (XHR) - पेज लोड होने के बाद एकत्रित सिस्टम जानकारी को बाहरी सर्वर पर स्थानांतरित करता है।
• ऐरेबफ़र - माइक्रोआर्किटेक्चरल स्पेक्टर हमलों को अंजाम देना।
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - ऐसे हमलों को अंजाम देना जो डेटा तक पहुँचने में देरी का मूल्यांकन करते हैं।
• जियोलोकेशन एपीआई (नेविगेटर.जियोलोकेशन) - स्थान की जानकारी तक पहुंच (इसके अलावा आपको लौटाए गए डेटा को विकृत करने की अनुमति मिलती है)।
• गेमपैड एपीआई (नेविगेटर.गेटगेमपैड्स()) पहचान संकेतों में से एक है जो सिस्टम में गेमपैड की उपस्थिति को ध्यान में रखता है।
• वर्चुअल रियलिटी एपीआई, मिश्रित रियलिटी एपीआई - पहचान के लिए वर्चुअल रियलिटी डिवाइस मापदंडों का उपयोग।
• window.name - क्रॉस-साइट लीक।
• navigator.sendBeacon - वेब एनालिटिक्स के लिए उपयोग किया जाता है।

स्रोत: opennet.ru