剣 KENSAI
सुरक्षा ब्रीफ़िंग 10 अप्रैल, 2026 · 4 मिनट पढ़ें

ब्राउज़र एजेंट सेशन-रीप्ले जोखिम: सुरक्षा टीमों को अभी क्या सुरक्षित करना चाहिए

ब्राउज़र-उपयोग एजेंट इसलिए उपयोगी हैं क्योंकि वे संदर्भ पकड़ते हैं। समस्या भी यही है। स्क्रीनशॉट, DOM डंप, auth कुकीज़ और चरण-ट्रेस पुनः चलाई जा सकने वाली पहुँच-सामग्री बन सकते हैं — जब तक संग्रहण, भंडारण और ऑपरेटर अनुमतियाँ शुरू से सीमित न हों।

यह क्यों मायने रखता है

टीमें ख़रीद वर्कफ़्लो, टिकट अपडेट, क्लाउड-कंसोल समीक्षा और दोहराव वाले प्रशासनिक कार्यों के लिए ब्राउज़र एजेंट तैनात कर रही हैं। ये सिस्टम केवल बटन नहीं दबाते। वे अक्सर स्क्रीनशॉट, DOM संरचना, टाइप किए गए इनपुट और नेटवर्क-दृश्य स्थिति एकत्र करते हैं, ताकि पेज बदलने या कोई चरण विफल होने पर एजेंट उबर सके।

इससे एक नई हमला-सतह बनती है। चुराई गई सेशन रिकॉर्डिंग आंशिक क्रेडेंशियल की तरह काम कर सकती है। टोकन अल्पकालिक हों तब भी, ट्रेस अक्सर खाता आईडी, टेनेंट नाम, ईमेल पते, अनुमोदन URL या इतना वर्कफ़्लो विवरण उजागर कर देते हैं कि हमलावर प्रक्रिया मैन्युअल रूप से आगे बढ़ा सके।

उच्च-जोखिम डिफ़ॉल्ट

यदि आपका ब्राउज़र एजेंट डिफ़ॉल्ट रूप से स्क्रीनशॉट और स्थिति संग्रहीत करता है, और आपका लॉगिंग स्टैक उन इंजीनियरों के लिए पठनीय है जिन्हें उस डेटा की आवश्यकता नहीं है, तो आप पहले ही एक ढीला सेशन-रीप्ले पथ बना चुके हैं।

व्यवहार में क्या पुनः चलाया जाता है

आर्टिफ़ैक्टयह ख़तरनाक क्यों है
पूर्ण-पृष्ठ स्क्रीनशॉटखाता पहचानकर्ता, अनुमोदन स्थितियाँ, आंतरिक URL और पुष्टि की प्रतीक्षा में पड़ी एक-बार की कार्रवाइयाँ उजागर करते हैं।
DOM स्नैपशॉटछिपे फ़ील्ड नाम, वर्कफ़्लो संरचना और डेटा लेबल उजागर करते हैं, जो स्क्रिप्टिंग या फ़िशिंग के लिए उपयोगी हैं।
संग्रहीत auth स्थितिजब टोकन जीवनकाल और डिवाइस-बाइंडिंग कमज़ोर हों, तो यह सीधे विशेषाधिकार-प्राप्त सेशन बहाल कर सकती है।
चरण-दर-चरण ट्रेसअनौपचारिक ज्ञान को पुन: प्रयोज्य हमला-रनबुक में बदल देते हैं।

वे नियंत्रण जो सबसे अधिक मायने रखते हैं

  1. रनटाइम को ऑब्ज़र्वेबिलिटी से अलग करें। कच्ची ब्राउज़र स्थिति को सामान्य-प्रयोजन लॉग, एनालिटिक्स स्टोर या ग्राहक-सहायता टूलिंग में न डालें।
  2. आर्टिफ़ैक्ट को आक्रामक रूप से समाप्त करें। डीबगिंग के लिए उपयोग किए गए स्क्रीनशॉट और ट्रेस का प्रतिधारण छोटा होना चाहिए — आदर्श रूप से घंटों या कुछ दिनों में मापा जाए, महीनों में नहीं।
  3. भंडारण से पहले संशोधित (redact) करें। फ़ॉर्म, टोकन, खाता संख्या और मेलबॉक्स पहचानकर्ताओं पर फ़ील्ड-स्तरीय मास्किंग लागू करें, इससे पहले कि ट्रेस कहीं भी टिकाऊ रूप से लिखे जाएँ।
  4. ऑपरेटरों का दायरा वर्कफ़्लो के अनुसार तय करें। जो कर्मचारी पेरोल ऑटोमेशन की समस्या सुलझा सकते हैं, उन्हें स्वतः ही प्रोडक्शन IAM या बिलिंग प्रवाह के ट्रेस नहीं दिखने चाहिए।
  5. संवेदनशील कार्रवाइयों के लिए प्रमाण अनिवार्य करें। ब्राउज़र एजेंट का कोई भी चरण जो अनुमतियाँ, भुगतान विवरण, सीक्रेट या डिप्लॉयमेंट स्थिति बदलता है, उसे एक हस्ताक्षरित रसीद और मनुष्य के पढ़ने योग्य ऑडिट इवेंट उत्पन्न करना चाहिए।

व्यावहारिक नियम: ब्राउज़र-एजेंट ट्रेस को सीक्रेट, रनबुक और ग्राहक डेटा के मिश्रण की तरह मानें। यदि आपका मौजूदा एक्सेस मॉडल इन तीनों के लिए एक साथ अस्वीकार्य होता, तो यहाँ भी अस्वीकार्य है।

इस सप्ताह किसका ऑडिट करें

ब्राउज़र एजेंट स्वभाव से लापरवाह नहीं हैं। पर वे विशेषाधिकार-प्राप्त परिचालन संदर्भ को पोर्टेबल साक्ष्य में संपीड़ित कर देते हैं। जो टीमें इस साक्ष्य को हानिरहित डीबगिंग कचरा मानती हैं, वे अंततः हमलावरों को सेशन का ग़ायब आधा हिस्सा सौंप देंगी।

KENSAI द्वारा लिखित — प्रोडक्शन में एजेंट तैनात करने वाली टीमों के लिए व्यावहारिक सुरक्षा इंटेलिजेंस।