একটি পৃষ্ঠার প্রাথমিক HTML যখন একটি নিরাপদ HTTPS সংযোগের মাধ্যমে লোড করা হয় তখন তার কন্টেন্ট মিশ্র থাকে, কিন্তু অন্যান্য রিসোর্স (যেমন ছবি, ভিডিও, স্টাইলশিট এবং স্ক্রিপ্ট) একটি অনিরাপদ HTTP সংযোগের মাধ্যমে লোড করা হয়। নামটি একটি একক পৃষ্ঠায় HTTP এবং HTTPS কন্টেন্টের মিশ্রণকে বোঝায়।
অনিরাপদ HTTP প্রোটোকল ব্যবহার করে সাবরিসোর্সের অনুরোধ করা পৃষ্ঠার নিরাপত্তাকে দুর্বল করে দেয়, কারণ এই অনুরোধগুলি অন-পাথ আক্রমণের জন্য ঝুঁকিপূর্ণ, যেখানে একজন আক্রমণকারী একটি নেটওয়ার্ক সংযোগে আড়ি পাতায় এবং দুটি পক্ষের মধ্যে যোগাযোগ দেখে বা পরিবর্তন করে। এই সংস্থানগুলি ব্যবহার করে, আক্রমণকারীরা ব্যবহারকারীদের ট্র্যাক করতে পারে এবং একটি ওয়েবসাইটের সামগ্রী প্রতিস্থাপন করতে পারে এবং সক্রিয় মিশ্র সামগ্রীর ক্ষেত্রে, তারা কেবল অনিরাপদ সংস্থানগুলির উপর নয়, পৃষ্ঠার উপর সম্পূর্ণ নিয়ন্ত্রণ নিতে পারে।
যদিও অনেক ব্রাউজার ব্যবহারকারীকে মিশ্র বিষয়বস্তুর সতর্কতা রিপোর্ট করে, তবুও রিপোর্টটি প্রায়শই অনেক দেরিতে আসে: অনিরাপদ অনুরোধগুলি ইতিমধ্যেই সম্পন্ন করা হয়েছে এবং পৃষ্ঠার নিরাপত্তা বিঘ্নিত হয়েছে।
বেশিরভাগ ব্রাউজার এখন নিরাপত্তার কারণে মিশ্র কন্টেন্ট ব্লক করে। আপনার পৃষ্ঠাটি সঠিকভাবে লোড হচ্ছে তা নিশ্চিত করার জন্য অনিরাপদ কন্টেন্ট অনুরোধগুলিকে সুরক্ষিত কন্টেন্টে পরিবর্তন করুন।
দুই ধরণের মিশ্র বিষয়বস্তু
মিশ্র বিষয়বস্তু দুই ধরণের: সক্রিয় এবং নিষ্ক্রিয়।
ছবি, ভিডিও এবং অডিও সহ প্যাসিভ মিশ্র কন্টেন্ট , পৃষ্ঠার বাকি অংশের সাথে ইন্টারঅ্যাক্ট করে না, তাই একটি ম্যান-ইন-দ্য-মিডল আক্রমণ যদি সেই কন্টেন্টকে বাধা দেয় বা পরিবর্তন করে তবে এটি কী করতে পারে তা সীমাবদ্ধ।
সক্রিয় মিশ্র কন্টেন্ট পুরো পৃষ্ঠার সাথে ইন্টারঅ্যাক্ট করে। এর মধ্যে স্ক্রিপ্ট, স্টাইলশিট, আইফ্রেম এবং ব্রাউজার ডাউনলোড এবং এক্সিকিউট করতে পারে এমন অন্য যেকোনো কোড অন্তর্ভুক্ত। সক্রিয় মিশ্র কন্টেন্টের উপর আক্রমণ একজন আক্রমণকারীকে পৃষ্ঠায় প্রায় যেকোনো কিছু করতে দেয়।
প্যাসিভ মিশ্র কন্টেন্ট
সক্রিয় মিশ্র কন্টেন্টের তুলনায় প্যাসিভ মিশ্র কন্টেন্টের ঝুঁকি কম, কিন্তু সেই ঝুঁকি এখনও রয়ে গেছে। উদাহরণস্বরূপ, একজন আক্রমণকারী:
- আপনার সাইটে ছবির জন্য HTTP অনুরোধগুলি আটকান এবং সেই ছবিগুলি অদলবদল করুন বা প্রতিস্থাপন করুন।
- বোতামগুলিতে ছবিগুলি প্রতিস্থাপন করুন যাতে ব্যবহারকারীরা তাদের বিভ্রান্ত করে এবং উদাহরণস্বরূপ, তারা যে সামগ্রী সংরক্ষণ করতে চেয়েছিলেন তা মুছে ফেলে।
- আপনার ছবিগুলি অশ্লীল কন্টেন্ট দিয়ে প্রতিস্থাপন করে আপনার সাইটকে বিকৃত করুন।
- আপনার পণ্যের ছবি অন্য কিছুর বিজ্ঞাপন দিয়ে প্রতিস্থাপন করুন।
আক্রমণকারী আপনার সাইটের কন্টেন্ট পরিবর্তন না করলেও, তারা মিশ্র কন্টেন্ট অনুরোধের মাধ্যমে ব্যবহারকারীদের ট্র্যাক করতে পারে। ব্রাউজার লোড করা ছবি বা অন্যান্য রিসোর্সের উপর ভিত্তি করে তারা বলতে পারে যে ব্যবহারকারী কোন পৃষ্ঠাগুলি পরিদর্শন করেন এবং কোন পণ্যগুলি দেখেন।
যদি প্যাসিভ মিশ্র কন্টেন্ট উপস্থিত থাকে, তাহলে বেশিরভাগ ব্রাউজার ঠিকানা বারে নির্দেশ করে যে পৃষ্ঠাটি সুরক্ষিত নয়, এমনকি যখন পৃষ্ঠাটি নিজেই HTTPS এর মাধ্যমে লোড করা হয়। আপনি এই ডেমোতে এই আচরণটি পর্যবেক্ষণ করতে পারেন।
সম্প্রতি পর্যন্ত, সমস্ত ব্রাউজারে প্যাসিভ মিশ্র কন্টেন্ট লোড করা হত, কারণ এটি ব্লক করলে অনেক ওয়েবসাইট ভেঙে যেত। এটি এখন পরিবর্তন হতে শুরু করেছে, তাই আপনার সাইটে মিশ্র কন্টেন্টের যেকোনো উদাহরণ আপডেট করা অত্যন্ত গুরুত্বপূর্ণ।
কিছু ক্ষেত্রে, Chrome স্বয়ংক্রিয়ভাবে প্যাসিভ মিশ্র কন্টেন্ট আপগ্রেড করে । এর অর্থ হল যদি কোনও সম্পদ HTTP হিসাবে হার্ড-কোড করা থাকে কিন্তু HTTPS এর মাধ্যমে উপলব্ধ থাকে, তাহলে ব্রাউজার HTTPS সংস্করণটি লোড করে। যদি কোনও নিরাপদ সংস্করণ না থাকে, তাহলে সম্পদটি লোড হয় না।
যখনই Chrome মিশ্র কন্টেন্ট শনাক্ত করে অথবা প্যাসিভ মিশ্র কন্টেন্ট স্বয়ংক্রিয়ভাবে আপগ্রেড করে, তখন এটি আপনার নির্দিষ্ট সমস্যা সমাধানের পরামর্শ দেওয়ার জন্য DevTools-এর সমস্যা ট্যাবে বিস্তারিত বার্তা লগ করে।
সক্রিয় মিশ্র কন্টেন্ট
সক্রিয় মিশ্র কন্টেন্ট প্যাসিভ মিশ্র কন্টেন্টের চেয়ে বেশি হুমকি তৈরি করে। একজন আক্রমণকারী সক্রিয় কন্টেন্ট আটকাতে এবং পুনর্লিখন করতে পারে, এটি ব্যবহার করে আপনার পৃষ্ঠা বা এমনকি আপনার সম্পূর্ণ ওয়েবসাইটের সম্পূর্ণ নিয়ন্ত্রণ নিতে পারে। এটি তাদের পৃষ্ঠার যেকোনো দিক পরিবর্তন করতে দেয়, যার মধ্যে রয়েছে বিভিন্ন কন্টেন্ট প্রদর্শন করা, ব্যবহারকারীর পাসওয়ার্ড বা অন্যান্য লগইন শংসাপত্র চুরি করা, ব্যবহারকারীর সেশন কুকি চুরি করা, অথবা ব্যবহারকারীকে সম্পূর্ণ ভিন্ন সাইটে পুনঃনির্দেশিত করা।
যেহেতু সক্রিয় মিশ্র কন্টেন্টের ঝুঁকি এত বেশি, বেশিরভাগ ব্রাউজার ব্যবহারকারীদের সুরক্ষার জন্য ইতিমধ্যেই এই ধরণের কন্টেন্টকে ডিফল্টরূপে ব্লক করে, তবে ব্রাউজার বিক্রেতা এবং সংস্করণের মধ্যে আচরণ ভিন্ন হয়।
এই ডেমোতে সক্রিয় মিশ্র কন্টেন্টের উদাহরণ দেখানো হয়েছে। HTTPS ব্যবহার করে উদাহরণ লোড করার সময় কোন কন্টেন্ট ব্লক করা হয়েছে তা দেখতে HTTP ব্যবহার করে উদাহরণটি লোড করুন । DevTools-এর সমস্যা ট্যাবে ব্লক করা কন্টেন্টের বিস্তারিত বিবরণও রয়েছে।
মিশ্র বিষয়বস্তুর স্পেসিফিকেশন
ব্রাউজারগুলি মিশ্র কন্টেন্ট স্পেসিফিকেশন অনুসরণ করে, যা ঐচ্ছিকভাবে ব্লকযোগ্য কন্টেন্ট এবং ব্লকযোগ্য কন্টেন্ট বিভাগগুলিকে সংজ্ঞায়িত করে।
একটি রিসোর্স ঐচ্ছিকভাবে ব্লকযোগ্য কন্টেন্ট হিসেবে বিবেচিত হয় "যখন মিশ্র কন্টেন্ট হিসেবে ব্যবহারের ঝুঁকি ওয়েবের উল্লেখযোগ্য অংশ ভেঙে যাওয়ার ঝুঁকির চেয়ে বেশি হয়"। এটি প্যাসিভ মিশ্র কন্টেন্টের একটি উপসেট।
সমস্ত মিশ্র কন্টেন্ট যা ঐচ্ছিকভাবে ব্লক করা যাবে না তা ব্লক করা যাবে বলে বিবেচিত হবে এবং ব্রাউজার দ্বারা ব্লক করা উচিত।
সাম্প্রতিক বছরগুলিতে, HTTPS ব্যবহার নাটকীয়ভাবে বৃদ্ধি পেয়েছে , এবং এটি ওয়েবে স্পষ্ট ডিফল্ট হয়ে উঠেছে। এর ফলে ব্রাউজারগুলির জন্য সমস্ত মিশ্র কন্টেন্ট ব্লক করার কথা বিবেচনা করা এখন আরও সম্ভবপর হয়ে উঠেছে, এমনকি মিশ্র কন্টেন্ট স্পেসিফিকেশনে ঐচ্ছিকভাবে ব্লকযোগ্য হিসাবে সংজ্ঞায়িত সাবরিসোর্স প্রকারগুলিও।
পুরোনো ব্রাউজারগুলি
কিছু ভিজিটর হয়তো পুরোনো ব্রাউজার ব্যবহার করতে পারেন। বিভিন্ন বিক্রেতার বিভিন্ন ব্রাউজার সংস্করণ মিশ্র কন্টেন্টকে ভিন্নভাবে ব্যবহার করে। সবচেয়ে খারাপভাবে, পুরোনো ব্রাউজার এবং সংস্করণগুলি কোনও মিশ্র কন্টেন্টকে ব্লক করে না, যা ব্যবহারকারীর জন্য অনিরাপদ।
আপনার সমস্ত রিসোর্স নিরাপদে লোড করে এবং আপনার মিশ্র কন্টেন্ট সমস্যাগুলি সমাধান করে, আপনি নিশ্চিত করেন যে আপনার কন্টেন্ট দৃশ্যমান এবং ব্যবহারকারীদের এমন বিপজ্জনক কন্টেন্ট থেকে রক্ষা করেন যা পুরানো ব্রাউজারগুলি ব্লক নাও করতে পারে।