ब्राउज़र-उपयोग एजेंट इसलिए उपयोगी हैं क्योंकि वे संदर्भ पकड़ते हैं। समस्या भी यही है। स्क्रीनशॉट, DOM डंप, auth कुकीज़ और चरण-ट्रेस पुनः चलाई जा सकने वाली पहुँच-सामग्री बन सकते हैं — जब तक संग्रहण, भंडारण और ऑपरेटर अनुमतियाँ शुरू से सीमित न हों।
टीमें ख़रीद वर्कफ़्लो, टिकट अपडेट, क्लाउड-कंसोल समीक्षा और दोहराव वाले प्रशासनिक कार्यों के लिए ब्राउज़र एजेंट तैनात कर रही हैं। ये सिस्टम केवल बटन नहीं दबाते। वे अक्सर स्क्रीनशॉट, DOM संरचना, टाइप किए गए इनपुट और नेटवर्क-दृश्य स्थिति एकत्र करते हैं, ताकि पेज बदलने या कोई चरण विफल होने पर एजेंट उबर सके।
इससे एक नई हमला-सतह बनती है। चुराई गई सेशन रिकॉर्डिंग आंशिक क्रेडेंशियल की तरह काम कर सकती है। टोकन अल्पकालिक हों तब भी, ट्रेस अक्सर खाता आईडी, टेनेंट नाम, ईमेल पते, अनुमोदन URL या इतना वर्कफ़्लो विवरण उजागर कर देते हैं कि हमलावर प्रक्रिया मैन्युअल रूप से आगे बढ़ा सके।
यदि आपका ब्राउज़र एजेंट डिफ़ॉल्ट रूप से स्क्रीनशॉट और स्थिति संग्रहीत करता है, और आपका लॉगिंग स्टैक उन इंजीनियरों के लिए पठनीय है जिन्हें उस डेटा की आवश्यकता नहीं है, तो आप पहले ही एक ढीला सेशन-रीप्ले पथ बना चुके हैं।
| आर्टिफ़ैक्ट | यह ख़तरनाक क्यों है |
|---|---|
| पूर्ण-पृष्ठ स्क्रीनशॉट | खाता पहचानकर्ता, अनुमोदन स्थितियाँ, आंतरिक URL और पुष्टि की प्रतीक्षा में पड़ी एक-बार की कार्रवाइयाँ उजागर करते हैं। |
| DOM स्नैपशॉट | छिपे फ़ील्ड नाम, वर्कफ़्लो संरचना और डेटा लेबल उजागर करते हैं, जो स्क्रिप्टिंग या फ़िशिंग के लिए उपयोगी हैं। |
| संग्रहीत auth स्थिति | जब टोकन जीवनकाल और डिवाइस-बाइंडिंग कमज़ोर हों, तो यह सीधे विशेषाधिकार-प्राप्त सेशन बहाल कर सकती है। |
| चरण-दर-चरण ट्रेस | अनौपचारिक ज्ञान को पुन: प्रयोज्य हमला-रनबुक में बदल देते हैं। |
व्यावहारिक नियम: ब्राउज़र-एजेंट ट्रेस को सीक्रेट, रनबुक और ग्राहक डेटा के मिश्रण की तरह मानें। यदि आपका मौजूदा एक्सेस मॉडल इन तीनों के लिए एक साथ अस्वीकार्य होता, तो यहाँ भी अस्वीकार्य है।
ब्राउज़र एजेंट स्वभाव से लापरवाह नहीं हैं। पर वे विशेषाधिकार-प्राप्त परिचालन संदर्भ को पोर्टेबल साक्ष्य में संपीड़ित कर देते हैं। जो टीमें इस साक्ष्य को हानिरहित डीबगिंग कचरा मानती हैं, वे अंततः हमलावरों को सेशन का ग़ायब आधा हिस्सा सौंप देंगी।
KENSAI द्वारा लिखित — प्रोडक्शन में एजेंट तैनात करने वाली टीमों के लिए व्यावहारिक सुरक्षा इंटेलिजेंस।