ব্রাউজার এক্সটেনশনের নিরাপত্তা ঝুঁকি: অ্যাড-অন কীভাবে আপনার ডেটা চুরি করে

ব্রাউজার এক্সটেনশন দৈনন্দিন কাজ সহজ করে দেয়। অ্যাড ব্লকার, পাসওয়ার্ড ম্যানেজার, বানান-ব্যাকরণ যাচাইয়ের টুল, কুপন খোঁজার টুল। বেশিরভাগ মানুষ কিছু না ভেবেই এমন কয়েকটি ইনস্টল করে ফেলেন। কিন্তু প্রতিটি এক্সটেনশনই আপনার ব্রাউজারের ভেতরে চলা একটি সফটওয়্যার, আর অনলাইনে আপনি যা কিছু করেন, তার ওপর সেটির কমবেশি অ্যাক্সেস থাকে।

সমস্যা হলো, সব এক্সটেনশন ভালো উদ্দেশ্যে তৈরি হয় না। কিছু শুরু থেকেই ডেটা হাতানোর জন্য বানানো। আবার কিছু প্রথমে বৈধভাবে যাত্রা শুরু করলেও পরে সন্দেহজনক কোম্পানির কাছে বিক্রি হয়ে যায়, যারা ক্ষতিকর আপডেট পাঠায়। আর Chrome Web Store, Firefox Add-ons ও অন্যান্য মার্কেটপ্লেসের রিভিউ প্রক্রিয়াও মোটেই নিখুঁত নয়।

ব্রাউজার এক্সটেনশন কীভাবে আপনার ডেটায় পৌঁছায়

এক্সটেনশন ইনস্টল করার সময় আপনি সেটিকে কিছু পারমিশন (অনুমতি) দেন। এই পারমিশনগুলোই ঠিক করে এক্সটেনশনটি কী দেখতে পারবে আর কী করতে পারবে। বিভিন্ন স্তরের পারমিশনে যা যা করা যায়:

• সব ওয়েবসাইটে আপনার সব ডেটা পড়া ও পরিবর্তন করা: আপনি যে পেজেই যান, যে ফর্মই পূরণ করেন, যে পাসওয়ার্ডই টাইপ করেন — এক্সটেনশনটি সবই দেখতে পায়
• আপনার ব্রাউজিং হিস্ট্রি পড়া: আপনার ভিজিট করা প্রতিটি URL-এ পূর্ণ অ্যাক্সেস
• আপনার ডাউনলোড পরিচালনা করা: ডাউনলোড শুরু করাতে পারে বা আপনার ডাউনলোড হিস্ট্রি পড়তে পারে
• কপি ও পেস্ট করা ডেটা পরিবর্তন করা: ক্লিপবোর্ডের কন্টেন্ট মাঝপথে হাতিয়ে নিতে পারে, কপি করা পাসওয়ার্ডও
• সহযোগী নেটিভ অ্যাপ্লিকেশনের সঙ্গে যোগাযোগ করা: ব্রাউজারের বাইরের সফটওয়্যারের সঙ্গে আদান-প্রদান করতে পারে

বেশিরভাগ ব্যবহারকারী পারমিশনের তালিকা না পড়েই "Add to Chrome" (Chrome-এ যোগ করুন) বোতামে ক্লিক করেন। সেই একটি ক্লিকেই অচেনা কোনো ডেভেলপার আপনার ব্যাংকিং সেশন, ইমেইল অ্যাকাউন্ট আর আপনার টাইপ করা প্রতিটি পাসওয়ার্ডের নাগাল পেয়ে যেতে পারে।

ক্ষতিকর এক্সটেনশনের বাস্তব ঘটনা

এগুলো কাল্পনিক পরিস্থিতি নয়। ব্যবহারকারীর ডেটা চুরি করতে গিয়ে ধরা পড়া ব্রাউজার এক্সটেনশনের নথিভুক্ত ঘটনা এগুলো।

The Great Suspender (২০২১)

২ মিলিয়নেরও বেশি ব্যবহারকারীর এই জনপ্রিয় Chrome এক্সটেনশনটি এক অজ্ঞাত পক্ষের কাছে বিক্রি হয়ে যায়। নতুন মালিক এমন একটি আপডেট পাঠায়, যার ক্ষতিকর কোড ব্যবহারকারীদের ব্রাউজিং ট্র্যাক করত আর বিজ্ঞাপন ঢুকিয়ে দিত। শেষ পর্যন্ত Google এটিকে Chrome Web Store থেকে সরিয়ে দেয়।

DataSpii (২০১৯)

নিরাপত্তা গবেষকেরা দেখতে পান, Hover Zoom ও SpeakIt-সহ বেশ কয়েকটি জনপ্রিয় এক্সটেনশন ব্যবহারকারীদের ভিজিট করা URL সংগ্রহ করছিল, এবং সেই ব্রাউজিং ডেটা একটি অ্যানালিটিক্স সার্ভিসের গ্রাহকদের কাছে বিক্রির জন্য পৌঁছে যায়। সংগৃহীত ডেটায় ছিল আয়কর রিটার্ন, রোগীর তথ্য, ভ্রমণসূচি এবং URL-এর মাধ্যমে খোলা আরও নানা ব্যক্তিগত নথি।

Web Developer for Chrome (২০১৭)

বেদখল হওয়া একটি ডেভেলপার অ্যাকাউন্ট ব্যবহার করে এই এক্সটেনশনের ১ মিলিয়নেরও বেশি ব্যবহারকারীর কাছে ক্ষতিকর আপডেট পাঠানো হয়। আক্রান্ত সংস্করণটি ব্যবহারকারীর ভিজিট করা প্রতিটি ওয়েবপেজে বিজ্ঞাপন ঢুকিয়ে দিত।

CopyFish ও Web Paint (২০১৭)

এক্সটেনশন ডেভেলপারদের ওপর ফিশিং আক্রমণ চালিয়ে আক্রমণকারীরা এই এক্সটেনশনগুলোর নিয়ন্ত্রণ নিয়ে নেয়, তারপর এমন আপডেট পাঠায়, যা বিজ্ঞাপন ঢুকিয়ে দিত এবং ব্যবহারকারীদের ক্ষতিকর সাইটে রিডাইরেক্ট করত।

Nano Adblocker ও Nano Defender (২০২০)

নতুন ডেভেলপারদের কাছে বিক্রি হওয়ার পর এই জনপ্রিয় অ্যাড ব্লকারগুলোতে এমন কোড যোগ করে আপডেট দেওয়া হয়, যা ব্রাউজিং ডেটা সংগ্রহ করত এবং সোশ্যাল মিডিয়া অ্যাকাউন্টে কারসাজি করত। এতে ৩০০,০০০-এরও বেশি ব্যবহারকারী ক্ষতিগ্রস্ত হন।

পারমিশনের বিপদসংকেত

সব পারমিশন বিপজ্জনক নয়, তবে কিছু পারমিশন দেখলে ইনস্টল করার আগে দুবার ভাবা উচিত।

পারমিশন	ঝুঁকির মাত্রা	কেন গুরুত্বপূর্ণ
সব ওয়েবসাইটে আপনার সব ডেটা পড়া ও পরিবর্তন করা	উচ্চ	আপনার ব্রাউজারের সবকিছুতে পূর্ণ অ্যাক্সেস
আপনার ব্রাউজিং হিস্ট্রি পড়া	উচ্চ	ভিজিট করা প্রতিটি সাইটের সম্পূর্ণ রেকর্ড
আপনার ডাউনলোড পরিচালনা করা	মাঝারি	অনাকাঙ্ক্ষিত ডাউনলোড শুরু করাতে পারে
কপি ও পেস্ট করা ডেটা পরিবর্তন করা	উচ্চ	কপি করা পাসওয়ার্ড ও সংবেদনশীল টেক্সট চুরি করতে পারে
আপনার বুকমার্ক পড়া ও পরিবর্তন করা	কম	প্রাইভেসিতে প্রভাব সীমিত
নোটিফিকেশন দেখানো	কম	বিরক্তিকর হতে পারে, তবে বিপজ্জনক নয়
আপনার অ্যাপ, এক্সটেনশন ও থিম পরিচালনা করা	উচ্চ	অন্য এক্সটেনশন ইনস্টল বা পরিবর্তন করতে পারে

সহজ নিয়ম: কালার পিকার বা স্ক্রিনশট টুলের মতো সাধারণ কোনো টুল যদি সব ওয়েবসাইটে আপনার সব ডেটা পড়ার পারমিশন চায়, তাহলে নিশ্চয়ই কোথাও গোলমাল আছে। পারমিশন হওয়া উচিত কাজের সঙ্গে মানানসই।

আপনার এক্সটেনশনগুলো কীভাবে যাচাই করবেন

Chrome

1. chrome://extensions/-এ যান
2. প্রতিটি এক্সটেনশনের "Details" (বিবরণ)-এ ক্লিক করে পারমিশন দেখে নিন
3. যেগুলো চেনেন না বা আর ব্যবহার করেন না, সেগুলো সরিয়ে দিন
4. বাকি প্রতিটি এক্সটেনশনের ক্ষেত্রে দেখুন: এটি কি পরিচিত, সুনামধারী কোনো ডেভেলপারের? শেষ কবে আপডেট হয়েছে? পারমিশনের তালিকা কি এর কাজের সঙ্গে মেলে?

Firefox

1. about:addons-এ যান
2. প্রতিটি এক্সটেনশনে ক্লিক করে এর পারমিশন দেখে নিন
3. ইনস্টল করার সময় Firefox পারমিশনের বিস্তারিত বিবরণ দেখায়। তখন খেয়াল না করে থাকলে addons.mozilla.org-এ এক্সটেনশনটির পেজ দেখে নিন

Edge

1. edge://extensions/-এ যান
2. প্রক্রিয়া Chrome-এর মতোই। Edge একই এক্সটেনশন ফরম্যাট ব্যবহার করে, তাই পারমিশন ব্যবস্থাও হুবহু এক

Safari

1. Safari > Settings > Extensions-এ যান
2. প্রতিটি এক্সটেনশনের ক্ষেত্রে দেখা যায়, সেটির কোন কোন ওয়েবসাইটে অ্যাক্সেস আছে
3. Chrome-এর তুলনায় Safari এক্সটেনশনের ওপর বেশি কড়াকড়ি আরোপ করে, তবু কী কী ইনস্টল করা আছে, দেখে নিন

প্রতি ৩ মাসে একবার এই যাচাই করুন। যেকোনো সময় এক্সটেনশনের মালিকানা বদলে যেতে পারে, আর ক্ষতিকর আপডেট চলে আসতে পারে।

এক্সটেনশন নিরাপদ রাখার সেরা অভ্যাস

1. এক্সটেনশন যত কম, তত ভালো: শুধু যেগুলো সত্যিই ব্যবহার করেন, সেগুলোই ইনস্টল করুন। প্রতিটি এক্সটেনশনই আক্রমণের একটি সম্ভাব্য পথ
2. সম্ভব হলে সুপরিচিত, ওপেন সোর্স এক্সটেনশন ব্যবহার করুন: uBlock Origin-এর মতো এক্সটেনশনের কোড উন্মুক্ত, তাই নিরাপত্তা গবেষকেরা তা পরীক্ষা করে দেখতে পারেন
3. ডেভেলপার যাচাই করুন: এক্সটেনশনটি কে বানিয়েছে, দেখে নিন। ওয়েবসাইট ও সুনাম আছে এমন কোম্পানি বেনামী ডেভেলপারের চেয়ে বেশি নিরাপদ
4. সাম্প্রতিক রিভিউ পড়ুন: হঠাৎ নেতিবাচক রিভিউ বেড়ে যাওয়া প্রায়ই ক্ষতিকর আপডেট বা মালিকানা বদলের ইঙ্গিত দেয়
5. ইনস্টল করার আগে পারমিশন দেখে নিন: কোনো কুপন এক্সটেনশন যদি আপনার সব ব্রাউজিং ডেটা পড়ার অনুমতি চায়, অন্য একটি খুঁজে নিন
6. ব্রাউজার আপডেট রাখুন: ব্রাউজার আপডেটে প্রায়ই এমন নিরাপত্তা প্যাচ থাকে, যা এক্সটেনশনের ক্ষমতা সীমিত করে
7. আলাদা ব্রাউজার প্রোফাইল ব্যবহার করুন: ব্যাংকিং ও সংবেদনশীল কাজের জন্য একটি পরিচ্ছন্ন প্রোফাইল রাখুন, যেখানে একটিও এক্সটেনশন ইনস্টল করা নেই
8. মালিকানা বদলের দিকে নজর রাখুন: কোনো এক্সটেনশনের প্রাইভেসি নীতি বদলেছে বলে নোটিফিকেশন পেলে সঙ্গে সঙ্গে খোঁজ নিন

সংবেদনশীল তথ্যের প্রাপ্য আরও ভালো সুরক্ষা

আপনার ডেটা বেহাত হওয়ার অনেক পথের একটি হলো ব্রাউজার এক্সটেনশন। নিয়মিত ব্রাউজারের মাধ্যমে পাসওয়ার্ড, অ্যাক্সেস কোড বা গোপনীয় নোট শেয়ার করলে ঝুঁকি বহুগুণ বেড়ে যায়।

সংবেদনশীল টেক্সট WhatsApp বা Messenger-এ পেস্ট করলে তা চিরকাল চ্যাট হিস্ট্রিতে থেকে যায় (আর কোনো ক্ষতিকর এক্সটেনশন সেখান থেকে তা হাতিয়ে নিতে পারে)। তার বদলে এই কাজের জন্যই তৈরি একটি টুল ব্যবহারের কথা ভাবুন। LOCK.PUB দিয়ে যেকোনো টেক্সটের জন্য মেয়াদসহ (Pro) একটি পাসওয়ার্ড-সুরক্ষিত লিংক তৈরি করা যায়। প্রাপক লিংকটি খোলেন, পাসওয়ার্ড দেন, তারপর কন্টেন্টটি পড়েন। কোনো ব্রাউজার এক্সটেনশন চ্যাট লগ থেকে তা তুলে নিতে পারে না, কারণ সেটি কখনো কোনো চ্যাট লগে ছিলই না।

ব্রাউজারের নিরাপত্তা নিজের নিয়ন্ত্রণে নিন

আপনার সবচেয়ে সংবেদনশীল অ্যাকাউন্টগুলোর প্রবেশদ্বার আপনার ব্রাউজার। প্রতিটি নতুন এক্সটেনশন একটি করে সম্ভাব্য দুর্বল জায়গা যোগ করে। আজই আপনার এক্সটেনশনগুলো যাচাই করুন, অপ্রয়োজনীয়গুলো সরিয়ে দিন, আর ভবিষ্যতে কী যোগ করছেন, সে ব্যাপারে সতর্ক থাকুন।

ব্রাউজারের মাধ্যমে সংবেদনশীল কিছু শেয়ার করতে হলে, ঘটনাচক্রে যেসব এক্সটেনশন চলছে সেগুলোর নিরাপত্তার ভরসায় না থেকে LOCK.PUB-এর মতো বিশ্বস্ত, এই কাজের জন্যই তৈরি টুল ব্যবহার করুন।

গোপন লিংক তৈরি করুন -->