हमलों से बचने के लिए, डेवलपर को ऐप्लिकेशन में मौजूद कमज़ोरियों को कम करना होगा और सुरक्षा से जुड़ी सुविधाएं जोड़नी होंगी. अच्छी बात यह है कि वेब पर, ब्राउज़र सुरक्षा से जुड़ी कई सुविधाएं उपलब्ध कराता है. इनमें से कुछ सुविधाएं, डेवलपर के लिए ऑप्ट-इन करने के लिए उपलब्ध होती हैं. वहीं, कुछ सुविधाएं उपयोगकर्ताओं को सुरक्षित रखने के लिए, डिफ़ॉल्ट रूप से चालू होती हैं.
"सैंडबॉक्स" की सुविधा
आजकल के वेब ब्राउज़र, "सैंडबॉक्स" की सुविधा पर आधारित होते हैं. सैंडबॉक्स, सुरक्षा से जुड़ा एक ऐसा तरीका है जिसकी मदद से, किसी ऐप्लिकेशन को सीमित एनवायरमेंट में चलाया जा सकता है. ठीक उसी तरह जैसे प्लेग्राउंड में मौजूद सैंडबॉक्स में बच्चे, अपनी पसंद की कोई भी चीज़ बना सकते हैं. इसके लिए, उन्हें किसी और जगह को गंदा करने की ज़रूरत नहीं होती. इसी तरह, ऐप्लिकेशन कोड को भी सीमित एनवायरमेंट में चलाने की सुविधा मिलती है. उदाहरण के लिए, JavaScript की मदद से पेज पर एलिमेंट जोड़े और उनमें बदलाव किए जा सकते हैं. हालांकि, हो सकता है कि इसे किसी बाहरी JSON फ़ाइल को ऐक्सेस करने से रोका जाए. ऐसा, सैंडबॉक्स की एक सुविधा की वजह से होता है. इसे सेम-ऑरिजिन कहा जाता है
सैंडबॉक्स की सुविधा क्यों ज़रूरी है?
वेब के उपयोगकर्ता, हर दिन कई बार मनचाहा कोड डाउनलोड करते हैं और उसे अपने कंप्यूटर या फ़ोन पर चलाते हैं. अगर कोई आपसे कहे कि "अरे! यह ऐप्लिकेशन डाउनलोड करके चलाओ!", तो शायद आप यह सोचें कि क्या यह ऐप्लिकेशन किसी भरोसेमंद सोर्स से मिला है. इसके अलावा, आप ऐप्लिकेशन के वेंडर के बारे में पढ़ सकते हैं या समीक्षाएं ध्यान से देख सकते हैं. अब सोचें कि अगर कोई व्यक्ति आपको "यह ब्लॉग पोस्ट देखो" कहकर कोई यूआरएल भेजता है, तो आप क्या करेंगे? शायद आप इस पर क्लिक कर देंगे. इसके लिए, आपको यह पूछने की ज़रूरत नहीं पड़ेगी कि "यह साइट किस तरह का JavaScript डाउनलोड करेगी?".
ब्राउज़र सैंडबॉक्स, एक अहम सुविधा है. इसकी मदद से, मनचाहा कोड सुरक्षित तरीके से चलाया जा सकता है. इससे वेब पर ब्राउज़िंग बिना किसी रुकावट के की जा सकती है.
सुरक्षा को ध्यान में रखकर डिज़ाइन करना
अगर ब्राउज़र, हर वेब ऐप्लिकेशन को सैंडबॉक्स में चलाता है, तो क्या हमें सुरक्षा के बारे में चिंता करनी चाहिए? हां, बिलकुल!
सबसे पहले, सैंडबॉक्स की सुविधाएं सुरक्षा का सबसे अच्छा तरीका नहीं हैं. भले ही, ब्राउज़र इंजीनियर कड़ी मेहनत करते हों, लेकिन ब्राउज़र में कमज़ोरियां हो सकती हैं. साथ ही, हमलावर हमेशा सैंडबॉक्स को बाईपास करने की कोशिश करते हैं. जैसे, स्पेक्ट्र अटैक.
कभी-कभी, सैंडबॉक्स की वजह से वेब पर बेहतर अनुभव नहीं मिल पाता. उदाहरण के लिए, हो सकता है कि ब्राउज़र, किसी दूसरे डोमेन पर होस्ट की गई इमेज के लिए फ़ेच अनुरोध को ब्लॉक कर दे. क्रॉस-ऑरिजिन रिसॉर्स शेयरिंग (सीओआरएस) की सुविधा चालू करके, अलग-अलग डोमेन पर मौजूद रिसॉर्स शेयर किए जा सकते हैं. हालांकि, अगर इसे ध्यान से नहीं किया गया, तो किसी रिसॉर्स को वेब पर मौजूद हर व्यक्ति के लिए उपलब्ध कराया जा सकता है. इससे सैंडबॉक्स की सुविधा का कोई फ़ायदा नहीं होता.
आखिर में खास जानकारी
वेब पर सुरक्षित अनुभव तभी मिल सकता है, जब आपके ऐप्लिकेशन के डिज़ाइन में सुरक्षा को शामिल किया गया हो. साथ ही, बेहतर डिज़ाइन के लिए, मौजूदा सुविधाओं को समझना ज़रूरी है. अगले दो लेखों में, सीओआरएस और सेम-ऑरिजिन नीति के बारे में विस्तार से बताया गया है.