ایک براؤزر ایجنٹ سیکورٹی رسک اس وقت ہوتا ہے جب کوئی ایپلیکیشن، API، یا CI/CD pipeline تصدیق یا اجازت دینے کے لیے یوزر ایجنٹ ہیڈر استعمال کرتا ہے۔cision، اگرچہ وہ ہیڈر کلائنٹ کی طرف سے فراہم کردہ سٹرنگ ہے جسے کوئی بھی درخواست آزادانہ طور پر دوبارہ لکھ سکتی ہے۔
صارف ایجنٹ ٹرسٹ کے پیچھے پوشیدہ خطرہ
بہت سی ویب ایپس، APIs، اور CI/CD سسٹمز اب بھی صارف ایجنٹ ہیڈر پر بھروسہ کرتے ہیں تاکہ اس بات کی شناخت کی جا سکے کہ کون درخواست کر رہا ہے، یہ ویب کے ابتدائی دنوں کا ایک بچا ہوا مفروضہ ہے۔ لیکن ایک میں DevSecOps دنیا، یہ مفروضہ خطرناک ہے۔ براؤزر ایجنٹ سیکیورٹی رسک ظاہر ہوتا ہے جب بھی کوڈ ہوتا ہے، pipelines، یا APIs منطق کو لاگو کرنے یا سیکیورٹی پالیسیوں کو نافذ کرنے کے لیے User-Agent سٹرنگز کا استعمال کرتے ہیں۔ مثال کے طور پر:
- بلڈنگ APIs صرف "قابل اعتماد ایجنٹوں" کی درخواستوں کی اجازت دے سکتا ہے۔
- آرٹفیکٹ کے ذخیرے مخصوص صارف ایجنٹوں کو وائٹ لسٹ کر سکتے ہیں۔
- سیکورٹی فلٹرز ہیڈر کی بنیاد پر درخواستوں کو بلاک یا ریٹ محدود کر سکتے ہیں۔
لیکن یوزر-ایجنٹ ہیڈر صرف ایک تار ہے، جسے کوئی بھی حملہ آور تبدیل کر سکتا ہے۔
⚠️ غیر محفوظ مثال، صرف تعلیمی مقاصد کے لیے۔ پیداوار میں استعمال نہ کریں۔
اگر آپ کا پسدید یا pipeline منطق فرض کرتی ہے کہ یوزر-ایجنٹ سٹرنگ ایک قابل اعتماد ذریعہ کی شناخت کرتی ہے، آپ نے پہلے ہی براؤزر ایجنٹ سیکورٹی رسک بنا رکھا ہے جو سپلائی چین کے سمجھوتہ کا باعث بن سکتا ہے۔
پریکٹس میں یوزر ایجنٹ سپوفنگ کیسے کام کرتی ہے۔
صارف کا ایجنٹ سپوفر اتنا ہی آسان ہو سکتا ہے جتنا کہ براؤزر ایکسٹینشن، ترمیم شدہ HTTP کلائنٹ، یا جائز بلڈ ٹریفک کی نقل کرنے کے لیے تشکیل شدہ خودکار بوٹ۔
حملہ آور صارف ایجنٹ کی جعل سازی کا استعمال کرتے ہیں:
- APIs میں رسائی کے فلٹرز کو بائی پاس کریں جو مخصوص ہیڈرز پر بھروسہ کرتے ہیں۔
- نقالی تعمیراتی نظام (مثال کے طور پر، جینکنز، گٹ ہب ایکشنز، یا گٹ لیب رنرز)
- سرکوونٹ ریٹ کی حدیں یا سیکیورٹی اینالیٹکس ٹولز
- ٹرگر بیک اینڈ ایکشنز "مجاز" ایجنٹوں کے لیے محفوظ ہیں۔
// Attacker sets the User-Agent to impersonate a trusted CI system
curl -A "Jenkins-Agent/2.4" https://internal-api.example.com/build/trigger// Instead of trusting the header, validate a signed request token
if not verify_signature(request.headers["X-Signature"], shared_secret):
reject(request)یوزر ایجنٹ کی جعل سازی معمولی بات ہے۔ حقیقی شناخت کی توثیق نہیں ہے.
اصلی براؤزر ایجنٹ سیکیورٹی رسکس میں CI/CD اور سپلائی چینز
براؤزر ایجنٹ سیکیورٹی رسک اس وقت اہم ہو جاتا ہے جب یہ تعمیراتی ڈھانچے یا آرٹفیکٹ کی ترسیل کو متاثر کرتا ہے۔ pipelines میں CI/CD ماحول، درخواستیں اکثر خودکار ایجنٹوں سے آتی ہیں، اور حملہ آور اس اعتماد کی حد کا استحصال کرتے ہیں۔ حقیقی مثالوں میں شامل ہیں:
- آرٹفیکٹ رجسٹریوں کو جعلی تعمیر کی درخواستیں۔
- انحصار آئینے کی زیادتی
- Pipeline نقالی
// Registry verifies a signed provenance attestation instead of trusting a header
if not verify_attestation(request.artifact, build_provenance):
reject_artifact_upload(request)ایک ہی جعلی درخواست براہ راست پیداوار میں بدنیتی پر مبنی انحصار کو انجیکشن کر سکتی ہے۔ pipelines، سپلائی چین کی خلاف ورزی کا باعث بننے والے براؤزر ایجنٹ سیکیورٹی رسک کی ایک اہم مثال۔
سیکیورٹی کنٹرول کے طور پر بنیادی ہیڈر کی توثیق کیوں ناکام ہوجاتی ہے۔
ڈویلپر بعض اوقات ایجنٹ کی درخواستوں کی توثیق کرنے کے لیے ہیڈر پر مبنی ریجیکس فلٹرز یا جامد اجازت دینے والی فہرستوں پر انحصار کرتے ہیں۔ بدقسمتی سے، یہ صارف ایجنٹ کی جعل سازی کے خلاف صفر تحفظ فراہم کرتا ہے۔ جامد چیک جیسے:
⚠️ ریجیکس پر مبنی توثیق تصدیق نہیں ہے۔ کوئی بھی حملہ آور جعلی User-Agent سٹرنگ کے ساتھ متوقع پیٹرن کی نقل کر سکتا ہے۔
اس کے ساتھ معمولی طور پر نظرانداز کیا جاسکتا ہے:
اس قسم کی منطق غلط اعتماد اور اعلی براؤزر ایجنٹ کی حفاظت کے خطرے کا باعث بنتی ہے کیونکہ کچھ بھی ثابت نہیں کرتا ہے کہ بھیجنے والا وہی ہے جو اس کا دعویٰ ہے۔
دستخط شدہ درخواستوں اور آرٹفیکٹ کی سالمیت کے ساتھ توثیق کو مضبوط بنانا - براؤزر ایجنٹ سیکیورٹی رسک سے بچیں
صارف ایجنٹ کی اقدار پر بھروسہ کرنے کے بجائے، ڈویلپرز کو کرپٹوگرافک اور سیاق و سباق کی توثیق کے ذریعے ہر درخواست کے ماخذ کی تصدیق کرنی چاہیے۔ براؤزر ایجنٹ سیکورٹی رسک کو کم کرنے کے لیے کلیدی حکمت عملیوں میں شامل ہیں:
- باہمی TLS (mTLS)
- دستخط شدہ میٹا ڈیٹا یا درخواستیں (AWS SigV4، HMAC، JWT)
- آرٹفیکٹ پر دستخط اور تصدیق
- دائرہ کار API ٹوکنز
- آؤٹ آف بینڈ کی توثیق
یہ اقدامات اس بات کو یقینی بناتے ہیں کہ اگر کوئی صارف ایجنٹ سپوفر قابل بھروسہ ہیڈر کی نقل کرتا ہے، تو سسٹم غیر تصدیق شدہ یا غیر دستخط شدہ ٹریفک کو مسترد کر دیتا ہے۔
DevSecOps میں کھوج اور روک تھام کو ضم کرنا Pipelines
یوزر ایجنٹ سپوفنگ کا پتہ لگانا آپ کا حصہ ہونا چاہیے۔ CI/CD ٹیلی میٹری اور مسلسل توثیق۔
DevSecOps ٹیمیں۔ کنٹرول کو سرایت کر سکتے ہیں جیسے:
- خودکار درخواست کی توثیق
- ٹیلی میٹری کا ارتباط
- بے عیب شناخت
- سیاق و سباق کی پالیسی کا نفاذ
// CI step fails the build if request signatures aren't verified
- name: Verify request provenance
run: xygeni verify-attestation --fail-on unsignedپتہ لگانے اور پالیسی کے نفاذ کا امتزاج اس بات کو یقینی بناتا ہے کہ براؤزر ایجنٹ کے حفاظتی خطرات خاموشی سے آپ کے ساتھ سمجھوتہ نہیں کرتے ہیں۔ pipelines یا نمونے کی تقسیم۔
ہیڈر پر بھروسہ نہ کریں، ماخذ کی تصدیق کریں۔
ہر کوئی صارف ایجنٹ ہیڈر جھوٹ بول سکتا ہے. ہر صارف کا ایجنٹ جعلی جواز بنا سکتا ہے۔ اور ہر براؤزر ایجنٹ سیکورٹی رسک کسی ایسی چیز پر بھروسہ کرنے سے آتا ہے جس کی تصدیق نہیں کی گئی تھی۔ حل ہیڈر کو ہٹانے کے بارے میں نہیں ہے۔ یہ تصدیق یا پالیسی کے نفاذ کے لیے اس پر بھروسہ نہ کرنے کے بارے میں ہے۔ اس کے بجائے، دستخط شدہ درخواستوں کو نافذ کریں، شناخت کی توثیق کو نافذ کریں، اور آپ کی نگرانی CI/CD ٹریفک جعل سازی کے نمونوں کے لیے۔
Xygeni کی Build Security کلید کے بغیر آرٹفیکٹ پر دستخط کے ذریعے تعمیر کی سالمیت کی تصدیق کرتا ہے۔ SLSA provenance، لہذا ایک درخواست یا نمونے پر بھروسہ کیا جاتا ہے کیونکہ یہ خفیہ طور پر تصدیق شدہ ہے، نہ کہ کسی ہیڈر کی وجہ سے یہ بھیجنا ہوا۔ Xygeni کی بے ضابطگی کا پتہ لگانا سب سے اوپر طرز عمل کی نگرانی کرتا ہے، آپ کے پورے حصے میں غیر معمولی سرگرمی کو جھنڈا لگاتا ہے۔ CI/CD بنیادی ڈھانچہ، جیسا کہ کوئی نوکری یا ایجنٹ اپنے معمول کے انداز سے ہٹ کر کام کرتا ہے، حقیقی وقت میں۔
مفروضوں پر بھروسہ نہ کریں، ہر ذریعہ کی تصدیق کریں۔ مفت شروع کریں۔ کریڈٹ کارڈ کی ضرورت نہیں۔
اکثر پوچھے جانے والے سوالات
یوزر-ایجنٹ ہیڈر پر بھروسہ کرنا سیکیورٹی رسک کیوں ہے؟
کیونکہ یہ ایک سادہ سٹرنگ ہے جسے کلائنٹ بھیجتا ہے، اور کوئی بھی HTTP کلائنٹ، براؤزر ایکسٹینشن، یا اسکرپٹ اسے اپنی مرضی کے مطابق سیٹ کر سکتا ہے۔ اس سے بھیجنے والے کی اصل شناخت کے بارے میں کچھ ثابت نہیں ہوتا ہے۔
کیا ریجیکس یا ایو لسٹ فلٹرنگ یوزر ایجنٹ کی جعل سازی کو روک سکتی ہے؟
نہیں، اجازت دینے والی فہرست صرف یہ چیک کرتی ہے کہ سٹرنگ متوقع پیٹرن سے مماثل ہے، اور حملہ آور اس عین پیٹرن کو اپنی درخواست میں کاپی کر سکتا ہے۔
میں یوزر ایجنٹ کی بنیاد پر توثیق کو کیا بدلنا چاہیے۔ CI/CD?
ماخذ کی کرپٹوگرافک تصدیق: باہمی TLS، دستخط شدہ درخواستیں (HMAC, JWT, AWS SigV4)، اور SLSA یا in-toto جیسے پرووینس تصدیق کے ساتھ دستخط شدہ تعمیراتی نمونے۔
