खुला स्रोत फाउन्डेशनले JavaScript API लाई सीमित गर्न JShelter ब्राउजर एड-अन प्रस्तुत गर्‍यो

नि: शुल्क सफ्टवेयर फाउन्डेशनले JShelter परियोजना प्रस्तुत गर्‍यो, जसले लुकेको पहिचान, ट्र्याकिङ चालहरू र प्रयोगकर्ता डेटाको संचय सहित वेबसाइटहरूमा JavaScript प्रयोग गर्दा उत्पन्न हुने खतराहरूबाट जोगाउन ब्राउजर एड-अन विकास गर्दछ। परियोजना कोड GPLv3 लाइसेन्स अन्तर्गत वितरण गरिएको छ। एड-अन फायरफक्स, गुगल क्रोम, ओपेरा, ब्रेभ, माइक्रोसफ्ट एज र क्रोमियम इन्जिनमा आधारित अन्य ब्राउजरहरूको लागि तयार छ।

परियोजना NLnet फाउन्डेसन द्वारा वित्त पोषित एक संयुक्त पहल को रूप मा विकसित गरिएको छ। जियोर्जियो माओने, NoScript एड-अनका निर्माता, साथै J++ परियोजनाका संस्थापकहरू र JS-Shield र JavaScript Restrictor एड-अनका लेखकहरू पनि JShelter को विकासमा सामेल भए। JavaScript Restrictor add-on लाई नयाँ परियोजनाको आधारको रूपमा प्रयोग गरिन्छ।

JShelter वेबसाइटहरू र वेब अनुप्रयोगहरूमा उपलब्ध JavaScript प्रोग्रामिङ इन्टरफेसहरूको लागि फायरवालको एक प्रकारको रूपमा सोच्न सकिन्छ। एड-अनले सुरक्षाको चार स्तरहरू प्रदान गर्दछ, साथै API मा पहुँचको लागि लचिलो कन्फिगरेसन मोड प्रदान गर्दछ। स्तर शून्यले सबै API हरूमा पहुँचलाई पूर्ण रूपमा अनुमति दिन्छ, पहिलोमा न्यूनतम ब्लकिङ समावेश छ जसले पृष्ठहरूको सञ्चालनमा बाधा पुर्‍याउँदैन, दोस्रो स्तरले ब्लकिङ र कम्प्याटिबिलिटी बीचको सन्तुलन र चौथो तहले अनावश्यक सबै कुरालाई कडा रूपमा अवरुद्ध गर्ने समावेश गर्दछ।

API अवरुद्ध सेटिङहरू व्यक्तिगत साइटहरूमा बाँध्न सकिन्छ, उदाहरणका लागि, केही साइटहरूको लागि सुरक्षा बलियो बनाउन सकिन्छ, र अरूको लागि असक्षम गर्न सकिन्छ। तपाईले निश्चित रूपमा जाभास्क्रिप्ट विधिहरू, वस्तुहरू, गुणहरू, र प्रकार्यहरू ब्लक गर्न सक्नुहुन्छ, वा फिर्ता मानहरू परिवर्तन गर्न सक्नुहुन्छ (उदाहरणका लागि, प्रणालीको बारेमा गलत जानकारी उत्पादन गर्नुहोस्)। एउटा छुट्टै सुविधा NBS (नेटवर्क बाउन्ड्री शिल्ड) मोड हो, जसले पृष्ठहरूलाई बाह्य र स्थानीय नेटवर्कहरू बीचको प्रोक्सीको रूपमा ब्राउजर प्रयोग गर्न अनुमति दिँदैन (सबै बहिर्गमन अनुरोधहरू अवरोध र विश्लेषण गरिन्छ)।

अवरुद्ध वा प्रतिबन्धित API हरू:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp र VRFrameData.prototype.timestamp - सही समय आउटपुट पहिचान गर्न र साइड-च्यानल आक्रमणहरू गर्न प्रयोग गर्न सकिन्छ। ।
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - प्रयोगकर्ता पहिचान गर्दा ग्राफिक्स उपप्रणालीका विशेषताहरू निर्धारण गर्न प्रयोग गरिन्छ।
• AudioBuffer र AnalyserNode (AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getChannelData(), AnalyserNode.getChannelDatarequencyBetre ata()) - अडियो संकेतहरूको विश्लेषण मार्फत पहिचान।
• WebGLRenderingContext - ग्राफिक्स स्ट्याक र GPU को सुविधाहरूको विश्लेषण मार्फत पहिचान।
• MediaDevices.prototype.enumerateDevices - क्यामेरा र माइक्रोफोनको प्यारामिटर र नामहरू प्राप्त गरेर पहिचान।
• navigator.deviceMemory, navigator.hardwareConcurrency - हार्डवेयर बारे जानकारी प्राप्त गर्दै।
• XMLHttpRequest (XHR) - पृष्ठ लोड भएपछि बाह्य सर्भरमा संकलित प्रणाली जानकारी स्थानान्तरण गर्दछ।
• ArrayBuffer - माइक्रोआर्किटेक्चरल स्पेक्टर आक्रमणहरू सञ्चालन गर्दै।
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - डाटा पहुँच गर्दा ढिलाइ मूल्याङ्कन गर्ने आक्रमणहरू।
• जियोलोकेशन एपीआई (navigator.geolocation) - स्थान जानकारीमा पहुँच (जोडले तपाईंलाई फिर्ता गरिएको डाटालाई विकृत गर्न अनुमति दिन्छ)।
• गेमप्याड API (navigator.getGamepads()) प्रणालीमा गेमप्याडको उपस्थितिलाई ध्यानमा राख्ने पहिचान चिन्हहरू मध्ये एक हो।
• भर्चुअल रियलिटी API, मिश्रित वास्तविकता API - पहिचानको लागि भर्चुअल वास्तविकता उपकरण प्यारामिटरहरूको प्रयोग।
• window.name - क्रस-साइट लीक।
• navigator.sendBeacon - वेब विश्लेषणका लागि प्रयोग गरिन्छ।

स्रोत: opennet.ru