ओपन सोर्स फाउंडेशनने JavaScript API मर्यादित करण्यासाठी JShelter ब्राउझर अॅड-ऑन सादर केले

फ्री सॉफ्टवेअर फाउंडेशनने JShelter प्रकल्प सादर केला, जो वेबसाइट्सवर JavaScript वापरताना उद्भवणाऱ्या धोक्यांपासून संरक्षण करण्यासाठी ब्राउझर अॅड-ऑन विकसित करतो, ज्यामध्ये लपविलेले ओळख, ट्रॅकिंग हालचाली आणि वापरकर्ता डेटा जमा करणे समाविष्ट आहे. प्रकल्प कोड GPLv3 परवान्याअंतर्गत वितरित केला जातो. फायरफॉक्स, गुगल क्रोम, ऑपेरा, ब्रेव्ह, मायक्रोसॉफ्ट एज आणि क्रोमियम इंजिनवर आधारित इतर ब्राउझरसाठी अॅड-ऑन तयार आहे.

NLnet फाउंडेशन द्वारे निधी प्राप्त संयुक्त उपक्रम म्हणून हा प्रकल्प विकसित केला जात आहे. NoScript अॅड-ऑनचे निर्माते, तसेच J++ प्रकल्पाचे संस्थापक आणि JS-Shield आणि JavaScript Restrictor अॅड-ऑनचे लेखक ज्योर्जिओ माओने देखील JShelterच्या विकासात सामील झाले. JavaScript Restrictor अॅड-ऑन नवीन प्रकल्पासाठी आधार म्हणून वापरला जातो.

वेबसाइट्स आणि वेब अॅप्लिकेशन्ससाठी उपलब्ध JavaScript प्रोग्रामिंग इंटरफेससाठी JShelter चा एक प्रकारचा फायरवॉल म्हणून विचार केला जाऊ शकतो. अॅड-ऑन चार स्तरांचे संरक्षण, तसेच API मध्ये प्रवेश करण्यासाठी लवचिक कॉन्फिगरेशन मोड प्रदान करते. शून्य पातळी सर्व API मध्ये प्रवेश करण्यास पूर्णपणे अनुमती देते, पहिल्यामध्ये किमान ब्लॉकिंग समाविष्ट आहे जे पृष्ठांच्या ऑपरेशनमध्ये व्यत्यय आणत नाही, दुसरा स्तर अवरोधित करणे आणि सुसंगतता यांच्यातील संतुलन आणि चौथ्या स्तरामध्ये अनावश्यक सर्वकाही कठोरपणे अवरोधित करणे समाविष्ट आहे.

API ब्लॉकिंग सेटिंग्ज वैयक्तिक साइटशी जोडल्या जाऊ शकतात, उदाहरणार्थ, काही साइटसाठी संरक्षण मजबूत केले जाऊ शकते आणि इतरांसाठी अक्षम केले जाऊ शकते. तुम्ही काही JavaScript पद्धती, वस्तू, गुणधर्म आणि फंक्शन्स निवडकपणे ब्लॉक करू शकता किंवा रिटर्न व्हॅल्यू बदलू शकता (उदाहरणार्थ, सिस्टमबद्दल चुकीची माहिती तयार करा). NBS (नेटवर्क बाउंड्री शील्ड) मोड हे वेगळे वैशिष्ट्य आहे, जे पृष्ठांना बाह्य आणि स्थानिक नेटवर्क दरम्यान प्रॉक्सी म्हणून ब्राउझर वापरण्याची परवानगी देत ​​​​नाही (सर्व बाहेर जाणार्‍या विनंत्या रोखल्या जातात आणि विश्लेषित केल्या जातात).

अवरोधित किंवा प्रतिबंधित API:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp आणि VRFrameData.prototype.timestamp - अचूक वेळ आउटपुट ओळखण्यासाठी आणि साइड-चॅनेल हल्ले करण्यासाठी वापरले जाऊ शकते .
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - वापरकर्ता ओळखताना ग्राफिक्स उपप्रणालीची वैशिष्ट्ये निर्धारित करण्यासाठी वापरला जातो.
• AudioBuffer आणि AnalyserNode (AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getChannelData(), AnalyserNode.getChannelDatare(AnalyserNode). ata()) - ऑडिओ सिग्नलच्या विश्लेषणाद्वारे ओळख.
• WebGLRenderingContext - ग्राफिक्स स्टॅक आणि GPU च्या वैशिष्ट्यांच्या विश्लेषणाद्वारे ओळख.
• MediaDevices.prototype.enumerateDevices - पॅरामीटर्स आणि कॅमेरा आणि मायक्रोफोनची नावे मिळवून ओळख.
• navigator.deviceMemory, navigator.hardwareConcurrency - हार्डवेअरबद्दल माहिती मिळवणे.
• XMLHttpRequest (XHR) - पृष्‍ठ लोड केल्‍यानंतर संकलित केलेली सिस्‍टम माहिती बाह्य सर्व्हरवर हस्तांतरित करते.
• ArrayBuffer - मायक्रोआर्किटेक्चरल स्पेक्टर हल्ला पार पाडणे.
• वेबवर्कर (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - डेटा ऍक्सेस करताना विलंबाचे मूल्यांकन करणारे हल्ले करणे.
• भौगोलिक स्थान API (navigator.geolocation) - स्थान माहितीमध्ये प्रवेश (अ‍ॅडिशन तुम्हाला परत केलेला डेटा विकृत करण्यास अनुमती देते).
• गेमपॅड API (navigator.getGamepads()) हे ओळख चिन्हांपैकी एक आहे जे सिस्टममध्ये गेमपॅडची उपस्थिती लक्षात घेते.
• आभासी वास्तविकता API, मिश्रित वास्तविकता API - ओळखण्यासाठी आभासी वास्तविकता डिव्हाइस पॅरामीटर्सचा वापर.
• window.name - क्रॉस-साइट लीक.
• navigator.sendBeacon - वेब विश्लेषणासाठी वापरले जाते.

स्त्रोत: opennet.ru