संक्षेप में, Proton Pass ब्राउज़र ऐप अब बताई गई क्लिकजैकिंग हमलों के प्रति संवेदनशील नहीं है। साइबर सुरक्षा शोधकर्ता Marek Tóth की DEF CON 33 में दी गई रिपोर्ट से हमें इस कमज़ोरी के बारे में पता चला।

Tóth ने एक नए तरह के क्लिकजैकिंग हमले के बारे में प्रेज़ेंटेशन दिया, जिसे उन्होंने ख़ुद खोजा था। उन्होंने समझाया कि ये हमला कैसे काम करता है, और आपके पासवर्ड मैनेजर ब्राउज़र ऐप का डाटा इसके प्रति कैसे कमज़ोर हो सकता है। Proton Pass उनकी प्रेज़ेंटेशन में इस्तेमाल किए गए उदाहरणों में से एक था और Tóth ने अपने ही ब्राउज़र ऐप पे क्लिकजैकिंग हमला सफलतापूर्वक अंजाम दिया। हमने Proton Pass के वर्ज़न 1.31.6 के रोलआउट के साथ इस कमज़ोरी का समाधान किया है, और हम दृढ़ता से सुझाव देते हैं कि अगर आपने अभी तक अपडेट नहीं किया है तो अपने Proton Pass वेब ऐप को अपडेट कर लें।

क्लिकजैकिंग हमला क्या होता है?

Open Worldwide Application Security Project (OWASP) की परिभाषा के अनुसार, क्लिकजैकिंग हमला(नई विंडो) को इस तरह परिभाषित किया जा सकता है:

“क्लिकजैकिंग, जिसे “UI redress attack” भी कहा जाता है, तब होता है जब हमलावर कई पारदर्शी या अपारदर्शी परतों का इस्तेमाल करके उपयोगकर्ता को धोखा देता है, जिससे वो ऊपर वाले पेज पे क्लिक करना चाहते हुए भी किसी दूसरे पेज के बटन या लिंक पे क्लिक कर बैठता है। इस तरह हमलावर अपने पेज के लिए बने क्लिक को “हाईजैक” करके उन्हें किसी दूसरे पेज पे रूटिंग कर देता है, जो बहुत संभव है कि किसी दूसरी एप्लीकेशन, डोमेन, या दोनों का हो।”

अपनी रिपोर्ट में Tóth ने पाया कि “बहुत से बग बाउंटी प्रोग्रामों में ये कमज़ोरी “out of scope” सेक्शन में सूचीबद्ध है, और बेहतर मामलों में वो इसे स्वीकार तो करते हैं लेकिन इसके लिए इनाम नहीं देते।” आजकल ज़्यादातर व्यवसायों के लिए क्लिकजैकिंग के ख़तरों को ख़तरा नहीं माना जाता, क्योंकि इससे बचाव के तरीके आम हैं।

हालांकि, Tóth कई हमले के वेरिएंट्स के साथ एक नई क्लिकजैकिंग हमले की तकनीक विकसित करने में सफल रहे। वो इस प्रक्रिया को ऐसे बताते हैं: “एक दुर्भावनापूर्ण स्क्रिप्ट, JavaScript का इस्तेमाल करके उन UI एलिमेंट्स को अदृश्य बनाकर उनमें हेरफेर करती है, जिन्हें ब्राउज़र एक्सटेंशन DOM में डालते हैं।” फिर उन्होंने इस नए हमले के तरीके को 11 पासवर्ड मैनेजरों पे टेस्ट किया, जिन्हें ब्राउज़र एक्सटेंशन के तौर पे इस्तेमाल किया जा सकता है, और इनमें Proton Pass भी शामिल था। सभी 11 पासवर्ड मैनेजर Tóth के DOM-आधारित एक्सटेंशन क्लिकजैकिंग हमले के प्रति संवेदनशील पाए गए।

Tóth ने अपनी टेस्टिंग कैसे अंजाम दी, इसकी जानकारी आपको पूरी रिपोर्ट(नई विंडो) में मिल सकती है।

क्या Proton Pass का इस्तेमाल करना सुरक्षित है?

Proton Pass ऐप के वर्ज़न 1.31.6 में हमने एक सुधार रिलीज़ किया, जिससे ये हमला असरदार होने से रुक गया। संबंधित एक्सटेंशन एलिमेंट्स और ओवरले को ठीक किया गया है, और हमारे सुरक्षा शोध में उनके योगदान के लिए हमने Tóth को हमारी Security Contributors की सूची में भी जोड़ा है।

हम सुरक्षा विशेषज्ञों को हमारे सभी Proton ऐप्स का परीक्षण करने के लिए बग बाउंटी प्रोग्राम के ज़रिए आमंत्रित करते हैं, और तीसरें-पार्टी साइबर सुरक्षा फर्में नियमित रूप से हमारे कोड का ऑडिट करती हैं ताकि ये पक्का हो सके कि हमारे उत्पादों के बारे में हम जो दावे करते हैं वो सही हैं।

अपनी सुरक्षा के लिए मुझे क्या करना चाहिए?

अपनी रिपोर्ट में Tóth ऐसे उपायों की सिफ़ारिश करते हैं, जिन्हें अपनाकर आप ख़ुद को क्लिकजैकिंग हमलों और अन्य तरह के साइबर हमलों से बचा सकते हैं। हम नीचे दिए गए उपाय भी अपनाने की सलाह देते हैं:

  • चेक करें कि ऑटोमैटिक अपडेट सक्षम हों। Proton Pass का सबसे नया वर्ज़न इस्तेमाल करने से आप day 0 कमज़ोरियों के ख़िलाफ़ सुरक्षित रहते हैं
  • मैनुअल ऑटोफिल अक्षम करने और सिर्फ़ कॉपी-पेस्ट का इस्तेमाल करने पे विचार करें। Proton Pass आपको दो क्लिक में अपने पासवर्ड ऑटोफिल करने की सुविधा देता है, ताकि आपके पास ये जांचने का समय हो कि वेबसाइट ख़ुद के लिए सुरक्षित है या नहीं, लेकिन अगर आप जोखिम कम करना चाहते हैं तो ऑटोफिल का इस्तेमाल न करना भी चुन सकते हैं।

Proton को ISO 27001 प्रमाणन मिला है, जो साबित करता है कि हम एक पारदर्शी और सुरक्षित संगठन हैं। आप अपनी तिजोरियों में जो भी सेव करते हैं, वो शुरु-से-अंत तक एन्क्रिप्शन से सुरक्षित रहता है, ताकि आपकी निजता बनी रहे और आपके डाटा तक आपके अलावा कोई एक्सेस न कर सके। फिर भी, हम हमेशा सावधान रहने की और ये पक्का करने की सलाह देते हैं कि आप मज़बूत और विविध पासवर्ड बना रहे हैं और hide-my-email नकली-नाम के साथ फिशिंग और मालवेयर से ख़ुद को बचा रहे हैं।