SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ वेबसाइटें लोकप्रिय दुकानों की तरह हैं। इस शहर में, एक विशेष प्रकार की दुकान है जिसे प्रोग्रेसिव वेब ऐप (PWA) कहा जाता है। एक PWA को एक जादुई स्टोरफ्रंट के रूप में सोचें जो बिल्कुल उसी तरह दिखता और महसूस होता है जैसे कि स्टोर से डाउनलोड किया गया कोई समर्पित ऐप, लेकिन यह पूरी तरह से आपके वेब ब्राउज़र के भीतर रहता है। आपको इसे इंस्टॉल करने की आवश्यकता नहीं है; आप बस वेबसाइट पर जाते हैं, और यह एक नेटिव ऐप की तरह काम करता है, जो आपके ऑफलाइन होने पर भी काम करता है या आपको नोटिफिकेशन भेजता है। इन वेब दुकानों को वास्तविक इमारतों जैसा महसूस कराने के लिए, डेवलपर्स ट्रस्टेड वेब एक्टिविटी (TWA) नामक एक टूल का उपयोग करते हैं। यह एक विशेष "कांच की सुरंग" की तरह है जो आपको अपने फोन की होम स्क्रीन से सीधे PWA में जाने देती है ताकि आपको ब्राउज़र का एड्रेस बार न दिखे, जिससे अनुभव सहज और सुरक्षित महसूस होता है।

हालाँकि, बिल्कुल एक वास्तविक शहर की तरह, हर कोई अच्छा नागरिक नहीं होता। कुछ शरारती तत्व इन लोकप्रिय दुकानों के नकली संस्करण बनाना चाहते हैं। वे एक वास्तविक PWA का पता ले सकते हैं, उसे एक नकली ऐप के अंदर लपेट सकते हैं, और उपयोगकर्ताओं को बेच सकते हैं। एक बार अंदर जाने के बाद, बुरे लोग पैसे बनाने के लिए अपने स्वयं के विज्ञापन डाल सकते हैं, आपकी व्यक्तिगत जानकारी चुरा सकते हैं, या आपको खतरनाक जगहों पर जाने के लिए धोखा दे सकते हैं। यह "अनधिकृत प्रतिकृति" (unauthorized replication) की समस्या है। बड़ा सवाल जो शोधकर्ता पूछ रहे हैं वह है: हम अपने पसंदीदा वेब शॉप्स को कॉपीकैट्स से कैसे बचाएं बिना वास्तविक मालिकों के लिए इसे बहुत जटिल बनाए?

यहीं पर शोध पत्र "SPARE - STARE" आता है। लेखक, जो जॉर्ज वाशिंगटन यूनिवर्सिटी और उत्तरी इलिनोइस यूनिवर्सिटी के शोधकर्ताओं की एक टीम है, प्रोग्रेसिव वेब ऐप्स की सुरक्षा के लिए एक चतुर सुरक्षा गार्ड प्रणाली का प्रस्ताव करते हैं। उन्होंने देखा कि जबकि फोन और वेबसाइट के बीच बात करने के तरीके (जैसे कि PostMessage नामक एक दो-तरफा वॉकी-टॉकी) मौजूद हैं, वे अक्सर बहुत भारी, जटिल और टूटने के प्रति संवेदनशील होते हैं। इसके बजाय, उन्होंने एक-तरफा संदेश प्रणाली का उपयोग करके एक हल्के, सरल दृष्टिकोण को आज़माने का निर्णय लिया।

उनका समाधान, जिसका नाम SPARE-STARE है, एक गतिशील, एन्क्रिप्टेड टिकट की तरह काम करता है। उनके सिमुलेशन में यह इस प्रकार कार्य करता है:

1. टिकट: जब कोई उपयोगकर्ता वैध ऐप खोलता है, तो फोन केवल एक साधारण लिंक नहीं भेजता। यह एक विशेष URL (एक वेब पता) बनाता है जिसमें अंत में एक गुप्त, एन्क्रिप्टेड "टिकट" शामिल होता है। इस टिकट में दो बहुत महत्वपूर्ण जानकारियां होती हैं: एक टाइमस्टैम्प (सटीक समय जब लिंक बनाया गया था) और एक डिवाइस आईडी (एक विशिष्ट फोन का अनूठा फिंगरप्रिंट)।
2. गार्ड: वेबसाइट एक बाउंसर की तरह कार्य करती है। जब कोई अनुरोध आता है, तो बाउंसर टिकट की जांच करता है। सबसे पहले, वे समय देखते हैं। यदि टिकट बहुत पुराना है (उनके केस स्टडीज में निर्धारित सीमा से अधिक पुराना, जिसे उन्होंने 1 घंटे के रूप में परखा), तो बाउंसर कहता है, "नहीं, यह टिकट एक्सपायर हो गया है!" यह बुरे लोगों को केवल एक लिंक की नकल करने और बाद में उसका उपयोग करने से रोकता है।
3. फिंगरप्रिंट: इसके बाद, बाउंसर डिवाइस आईडी की जांच करता है। यदि एक ही फोन एक ही टिकट का बहुत अधिक बार उपयोग करने की कोशिश करता है, या यदि बाउंसर देखता है कि एक ही डिवाइस आईडी से एक साथ बहुत सारे अनुरोध आ रहे हैं, तो वे समझ जाते हैं कि कुछ गड़बड़ है। वे इसे ब्लॉक कर देते हैं।

शोधकर्ताओं ने इस विचार का परीक्षण करने के लिए एक सिम्युलेटेड शहर बनाया। उन्होंने एक डेटासेट बनाया जो वास्तविक लोगों के ऐप उपयोग करने के तरीके की नकल करता है, जहाँ उपयोगकर्ता प्रतिदिन 25 से 45 अनुरोध करते हैं। उन्होंने फिर अपने कंप्यूटर सिमुलेशन में विभिन्न प्रकार के "बुरे लोगों" के खिलाफ अपनी सुरक्षा प्रणाली को लड़ाया:

• द एमेच्योर (The Amateur): इसने केवल वेबसाइट के पते की नकल करने की कोशिश की। यह तुरंत विफल रहा क्योंकि लिंक में गुप्त टिकट नहीं था।
• द स्टैंडर्ड (The Standard): इसने अपने ब्राउज़र इतिहास में मिले चोरी किए गए टिकट का उपयोग करने की कोशिश की। यह विफल रहा क्योंकि टिकट जल्दी ( 1-घंटे की विंडो के भीतर) समाप्त हो गया या क्योंकि सर्वर ने देखा कि एक ही डिवाइस आईडी एक ही लिंक का कई बार उपयोग करने की कोशिश कर रही है।
• द सोफिस्टिकेटेड (The Sophisticated): यह पेचीदा वाला था। बुरे व्यक्ति ने लगातार ताज़ा टिकट उत्पन्न करने के लिए कई उपकरणों (devices) (उनके परीक्षणों में 30 तक) का उपयोग किया और उन्हें "राउंड-रॉबिन" पद्धति (टिकटों को इस तरह पास करना कि कोई भी एक डिवाइस संदिग्ध न लगे) का उपयोग करके अपने नकली ऐप उपयोगकर्ताओं को वितरित किया।

इन स्मार्ट हमलावरों के खिलाफ भी, SPARE-STARE सिस्टम मजबूत बना रहा। उनके सिमुलेशन में, जब बुरे लोगों ने सिस्टम को बायपास करने के लिए कई उपकरणों का उपयोग किया, तो सुरक्षा गार्ड अभी भी भारी मात्रा में फर्जी ट्रैफिक को अस्वीकार करने में सफल रहा। उदाहरण के लिए, 300 उपयोगकर्ताओं और 30 अटैक डिवाइसेस वाले परिदृश्य में, सिस्टम ने नियमों के सख्त होने के आधार पर, 88% से 97% तक दुर्भावनापूर्ण अनुरोधों को सफलतापूर्वक ब्लॉक कर दिया।

यह शोध पत्र सुझाव देता है कि यह विधि PWAs को सुरक्षित करने का एक आशाजनक, हल्का तरीका है। इसके लिए अन्य तरीकों के भारी, जटिल सेटअप की आवश्यकता नहीं है और यह तब भी अच्छी तरह से काम करता है जब हमलावर कई उपकरणों के साथ चालाक होने की कोशिश करते हैं। हालाँकि, लेखक सावधानी बरतते हुए नोट करते हैं कि यह सिमुलेशन और प्रोटोटाइप पर आधारित है, न कि अभी तक लाखों फोनों पर वास्तविक दुनिया के परिनियोजन (deployment) पर। वे यह भी बताते हैं कि यदि किसी हमलावर के पास भौतिक उपकरणों की एक बड़ी सेना है, तो वे अभी भी घुसपैठ करने के तरीके ढूंढ सकते हैं, और सिस्टम को सावधानीपूर्वक ट्यून करने की आवश्यकता है ताकि यह गलती से उन ईमानदार उपयोगकर्ताओं को ब्लॉक न कर दे जो स्वाभाविक रूप से अपने ऐप का बहुत अधिक उपयोग करते हैं।

संक्षेप में, SPARE-STARE सुझाव देता है कि प्रत्येक वेब लिंक को एक अद्वितीय, समय-संवेदनशील और डिवाइस-विशिष्ट "आईडी कार्ड" देकर, हम कॉपीकैट्स के लिए हमारे ऐप्स चुराने के लिए इसे बहुत कठिन बना सकते हैं, जिससे डिजिटल शहर सभी के लिए सुरक्षित रहता है।