روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ هر وب‌سایتی را باز کنید، اولین چیزی که احتمالاً می‌بینید یک نوتیف پاپ‌آپ درباره استفاده از کوکی‌هاست. معمولاً گزینه‌های«همه کوکی‌ها را بپذیرید»، «فقط کوکی‌های ضروری را قبول کنید»، یا «کاملاً آنها را رد کنید» به شما داده می‌شود. فارغ از انتخاب شما، احتمالاً تفاوتی متوجه نمی‌شوید و در هر صورت نوتیف از صفحه محو می‌شود. امروز در این مقاله قرار است کمی عمیق‌تر به دنیای کوکی‌ها می‌پردازیم: کوکی‌ها چه کاربردی دارند، چه انواعی دارد، چگونه مهاجمان می‌توانند آنها را رهگیری کنند، چه خطراتی دارند، و چطور می‌توان ایمن ماند.
کوکی‌ها چیستند؟
وقتی وارد یک وب‌سایت می‌شوید، آن سایت یک کوکی به مرورگر شما می‌فرستد. این یک فایل متنی کوچک است که شامل داده‌هایی درباره شما، سیستم‌تان و اقداماتی است که در سایت انجام داده‌اید. مرورگر شما این داده را روی دستگاه ذخیره کرده و هر بار که به آن سایت بازمی‌گردید، دوباره به سرور ارسال می‌کند. این کار تعامل شما با سایت را ساده‌تر می‌کند: نیازی نیست در هر صفحه دوباره وارد شوید؛ سایت‌ها تنظیمات نمایش شما را به خاطر می‌سپارند؛ فروشگاه‌های آنلاین اقلام سبد خریدتان را نگه می‌دارند؛ سرویس‌های پخش می‌دانند در کدام قسمت تماشا را متوقف کرده‌اید — مزایا بی‌شمارند. کوکی‌ها می‌توانند اطلاعات ورود شما، گذرواژه، توکن‌های امنیتی، شماره تلفن، آدرس محل سکونت، جزئیات بانکی و شناسه سشن[1] را ذخیره کنند. بیایید دقیق‌تر به شناسه سشن نگاه کنیم.
شناسه سشن یک کد منحصربه‌فرد است که به هر کاربر هنگام ورود به وب‌سایت اختصاص داده می‌شود. اگر طرف سومی بتواند این کد را رهگیری کند، وب‌سرور او را به‌عنوان یک کاربر قانونی خواهد شناخت. یک تشبیه ساده: تصور کنید می‌توانید با یک کارت الکترونیکی که کدی منحصربه‌فرد دارد وارد محل کارتان شوید. اگر کارت شما دزدیده شود، دزد — فارغ از اینکه شبیه شما باشد یا نه — می‌تواند هر دری را که شما دسترسی دارید، بدون مشکل باز کند. در همین حال، سیستم امنیتی تصور خواهد کرد که این شما هستید که وارد می‌شوید. مثل سکانسی از سریالی جنایی است، نه؟ همین اتفاق به‌صورت آنلاین رخ می‌دهد: اگر هکری کوکی حاوی شناسه سشن شما را بدزدد، می‌تواند بدون نیاز به وارد کردن نام کاربری و گذرواژه، وارد سایتی شود که شما از قبل در آن وارد شده بودید؛ گاهی حتی می‌تواند احراز هویت دومرحله‌ای را هم دور بزند. در سال ۲۰۲۳، هکرها هر سه کانال یوتیوب وبلاگ‌نویس مشهور حوزه فناوری، «لینوس سباستین»Linus Tech Tips —و دو کانال دیگر گروه رسانه‌ای Linus با ده‌ها میلیون مشترک — را دقیقاً به همین روش سرقت کردند.
انواع کوکی‌ها کدام‌اند؟
حالا بیایید انواع مختلف کوکی‌ها را بررسی کنیم. همه کوکی‌ها را می‌توان بر اساس چند ویژگی دسته‌بندی کرد.
بر اساس زمان ذخیره‌سازی
- موقت یا سشن: این کوکی‌ها فقط زمانی استفاده می‌شوند که شما در وب‌سایت هستید. به‌محض خروج از سایت حذف می‌شوند. برای کارهایی مثل نگه داشتن وضعیت ورود شما هنگام جابه‌جایی بین صفحات، یا به خاطر سپردن زبان و منطقه انتخابی شما لازم هستند.
- کوکی‌های پایدار: این کوکی‌ها بعد از ترک سایت روی دستگاه شما باقی می‌مانند. به شما این امکان را می‌دهند که مجبور نباشید هر بار سیاست کوکی را بپذیرید یا رد کنید. معمولاً حدود یک سال دوام دارند.
- گاهی کوکی‌های سشن می‌توانند به کوکی‌های پایدار تبدیل شوند. مثلاً اگر در یک وب‌سایت گزینه‌هایی مثل «مرا به خاطر بسپار» یا «ذخیره تنظیمات» را فعال کنید، داده‌ها در یک کوکی پایدار ذخیره می‌شوند.
بر اساس منبع
- کوکی‌های شخص اول (:این‌ها توسط خود وب‌سایت ایجاد می‌شوند. باعث می‌شوند وب‌سایت به‌درستی کار کند و بازدیدکننده تجربه مناسبی داشته باشد. همچنین ممکن است برای تحلیل داده‌ها و اهداف بازاریابی استفاده شوند.
- کوکی‌های طرف سوم: این‌ها توسط سرویس‌های خارجی جمع‌آوری می‌شوند. برای نمایش تبلیغات و جمع‌آوری آمار تبلیغاتی و موارد مشابه استفاده می‌شوند. این دسته شامل کوکی‌های سرویس‌های تحلیلی مثل Google Analytics و پلت‌فرم‌های شبکه‌های اجتماعی هم می‌شود. این کوکی‌ها اطلاعات ورود شما را ذخیره می‌کنند تا بتوانید تنها با یک کلیک صفحه‌ای را لایک کنید یا محتوایی را در شبکه‌های اجتماعی به اشتراک بگذارید.
بر اساس اهمیت
- کوکی‌های ضروری: این‌ها از ویژگی‌های اصلی وب‌سایت پشتیبانی می‌کنند، مثل فروش محصول در یک پلتفرم تجارت الکترونیک. در این حالت هر کاربر یک حساب شخصی دارد و کوکی‌های ضروری نام کاربری، گذرواژه و شناسه سشن او را ذخیره می‌کنند.
- کوکی‌های اختیاری: این‌ها برای ردیابی رفتار کاربر و کمک به هدف‌گیری دقیق‌تر تبلیغات استفاده می‌شوند. بیشتر کوکی‌های اختیاری متعلق به طرف‌های خارجی‌اند و تأثیری بر توانایی شما در استفاده از همه قابلیت‌های سایت ندارند.
بر اساس فناوری ذخیره‌سازی
این کوکی‌ها در فایل‌های متنی در فضای ذخیره‌سازی استاندارد مرورگر ذخیره می‌شوند. وقتی داده‌های مرورگر را پاک کنید، این کوکی‌ها حذف می‌شوند و پس از آن وب‌سایت‌هایی که آنها را ارسال کرده بودند دیگر شما را نمی‌شناسند.
دو زیرگروه ویژه وجود دارند:
سوپرکوکی‌هاو اِوِرکوکی‌ها که به‌روش‌های غیرمعمول داده‌ها را ذخیره می‌کنند. سوپرکوکی‌ها در هدر وبسایتها قرار می‌گیرند و در مکان‌های غیر استاندارد ذخیره می‌شوند، به همین دلیل از پاک‌سازی معمول مرورگر جان سالم به در می‌برند. اورکوکی‌ها حتی پس از حذف شدن، با استفاده از جاوااسکریپت دوباره بازگردانده می‌شوند. این یعنی می‌توانند برای ردیابی پایدار و کنترل‌ناپذیر کاربران استفاده شوند.
یک کوکی می‌تواند همزمان در چند دسته قرار گیرد: مثلاً بیشتر کوکی‌های اختیاری از نوع شخص ثالث هستند، در حالی‌که کوکی‌های ضروری شامل کوکی‌های موقتی هم می‌شوند که مسئول امنیت یک سشن خاص هستند.
چگونه شناسه سشن از طریق«ربایش سشن[2]»دزدیده می‌شود؟
کوکی‌هایی که حاوی شناسه سشن هستند، وسوسه‌انگیزترین اهداف برای هکرها محسوب می‌شوند. سرقت شناسه سشن را ربایش سشن می‌نامند. بیایید برخی از جالب‌ترین و رایج‌ترین روش‌ها را بررسی کنیم.
اسنیف سشن[3]
سرقت سشن می‌تواند با نظارت یا «Sniffing» بر ترافیک اینترنت بین کاربر و وب‌سایت انجام شود. این نوع حمله در وب‌سایت‌هایی رخ می‌دهد که از پروتکل کم‌امنیت‌تر HTTP به‌جای HTTPS استفاده می‌کنند. در HTTP، فایل‌های کوکی به‌صورت متن ساده در هدر درخواست‌های HTTP ارسال می‌شوند، یعنی رمزنگاری نشده‌اند. یک مهاجم می‌تواند به‌سادگی ترافیک بین شما و وب‌سایتی که در آن هستید را رهگیری کرده و کوکی‌ها را استخراج کند.
این حملات اغلب در شبکه‌های Wi-Fi عمومی اتفاق می‌افتند، به‌ویژه اگر با پروتکل‌های WPA2یا WPA3محافظت نشده باشند. به همین دلیل توصیه می‌کنیم در نقاط اتصال عمومیبا نهایت احتیاط عمل کنید. استفاده از داده تلفن همراه بسیار امن‌تر است. اگر در خارج از کشور سفر می‌کنید، استفاده از Kaspersky eSIM Store ایده‌ی خوبی است.
اسکریپت‌نویسی میان‌وبگاهی
اسکریپت‌نویسی میان‌وبگاهی یا XSS همواره در میان مهم‌ترین آسیب‌پذیری‌های امنیتی وب قرار دارد، و دلیل خوبی هم برای این موضوع وجود دارد. این نوع حمله به مهاجمان اجازه می‌دهد به داده‌های یک سایت — از جمله کوکی‌هایی که حاوی شناسه‌های سشن هستند — دسترسی پیدا کنند. نحوه کار به این صورت است: مهاجم یک آسیب‌پذیری در کد منبع وب‌سایت پیدا می‌کند و یک اسکریپت مخرب تزریق می‌کند؛ پس از آن کافی است شما به صفحه آلوده مراجعه کنید تا کوکی‌هایتان از دست برود. اسکریپت دسترسی کامل به کوکی‌های شما پیدا کرده و آنها را برای مهاجم ارسال می‌کند.
جعل درخواست میان‌وبگاهی
برخلاف دیگر انواع حمله، جعل درخواست میان‌وبگاهی یا CSRF از رابطه اعتماد بین یک وب‌سایت و مرورگر شما سوءاستفاده می‌کند. مهاجم مرورگر یک کاربر تأییدشده را فریب می‌دهد تا بدون اطلاع او یک عمل ناخواسته انجام دهد، مثل تغییر گذرواژه یا حذف داده‌هایی مانند ویدئوهای بارگذاری‌شده. برای این نوع حمله، مهاجم یک صفحه وب یا ایمیل حاوی لینک مخرب، کد HTML یا اسکریپتی با درخواستی به وب‌سایت آسیب‌پذیر ایجاد می‌کند. تنها باز کردن آن صفحه یا ایمیل، یا کلیک روی لینک، کافی است تا مرورگر به‌طور خودکار درخواست مخرب را به سایت هدف ارسال کند. تمام کوکی‌های شما برای آن سایت نیز به درخواست پیوست می‌شوند. سایت، تصور می‌کند شما خودتان درخواست تغییر گذرواژه یا حذف کانال را ارسال کرده‌اید و آن دستور را از جانب شما اجرا می‌کند.
به همین دلیل توصیه می‌کنیم لینک‌هایی را که از افراد ناشناس دریافت می‌کنید باز نکنید، و از مدیر کلمه عبور کسپرسکیکه می‌تواند شما را نسبت به لینک‌ها یا اسکریپت‌های مخرب هشدار دهد استفاده کنید.
شناسه‌های سشن قابل پیش‌بینی
گاهی اوقات، مهاجمان نیازی به استفاده از روش‌های پیچیده ندارند — آنها می‌توانند به‌سادگی شناسه سشن را حدس بزنند. در برخی وبسایتها، شناسه‌های سشن با الگوریتم‌های قابل پیش‌بینی ایجاد می‌شوند و ممکن است شامل اطلاعاتی مثل آدرس IP شما به‌همراه یک توالی ساده و قابل تولید مجدد از کاراکترها باشند. برای اجرای این نوع حمله، هکرها باید تعداد کافی شناسه نمونه جمع‌آوری کنند، آنها را تحلیل کنند، و سپس الگوریتم تولید را شناسایی کنند تا بتوانند شناسه‌های سشن را به‌طور مستقل پیش‌بینی کنند روش‌های دیگری هم برای دزدیدن شناسه سشن وجود دارد، مثل فیکس کردن کوکی، پرتاب کوکی، و حمله مرد میانی.
راهکارهای امنیتی
بخش بزرگی از مسئولیت امنیت کوکی‌ها بر عهده توسعه‌دهندگان وب‌سایت است اما کارهایی هم هست که ما کاربران می‌توانیم برای ایمن ماندن در فضای آنلاین انجام دهیم:
- فقط در وب‌سایت‌هایی که از پروتکل HTTPS استفاده می‌کنند داده شخصی وارد کنید. اگر در نوار آدرس «HTTP» دیدید، کوکی‌ها را قبول نکنید یا هیچ اطلاعات حساسی مثل ورود، گذرواژه یا جزئیات کارت بانکی ثبت نکنید.
- به هشدارهای مرورگر توجه کنید. اگر هنگام بازدید از سایتی اخطار مربوط به گواهی امنیتی نامعتبر یا مشکوک دیدید، بلافاصله صفحه را ببندید.
- مرورگر خود را مرتباً به‌روز کنید یا به‌روزرسانی خودکار را فعال کنید. این کار شما را در برابر آسیب‌پذیری‌های شناخته‌شده محافظت می‌کند.
- کوکی‌ها و کش مرورگر را مرتباً پاک کنید. این کار از سوءاستفاده از کوکی‌های قدیمی یا شناسه‌های سشن احتمالی لو‌رفته جلوگیری می‌کند. بیشتر مرورگرها گزینه‌ای دارند که این داده‌ها را هنگام بستن برنامه به‌طور خودکار حذف کنند.
- روی لینک‌های مشکوک کلیک نکنید. به‌ویژه لینک‌هایی که از افراد ناشناس در پیام‌رسان‌ها یا ایمیل دریافت می‌کنید. اگر تشخیص لینک واقعی از فیشینگ برایتان سخت است، کسپرسکی پریمیومنصب کنید که پیش از ورود به سایت‌های مخرب به شما هشدار می‌دهد.
- احراز هویت دومرحله‌ای (2FA) را هرجا که ممکن است فعال کنید. مدیر کلمه عبور کسپرسکی راهی امن و راحت برای ذخیره توکن‌های FA 2و تولید کدهای یک‌بارمصرف است. این ابزار آنها را بین همه دستگاه‌های شما همگام می‌کند، و در نتیجه حتی اگر هکری شناسه سشن شما را بدزدد، دسترسی به حساب‌تان بعد از پایان سشن بسیار سخت‌تر می‌شود.
- همه کوکی‌ها را در همه وبسایتها نپذیرید. قبول همه کوکی‌ها از همه سایت‌ها بهترین استراتژی نیست. بسیاری از وبسایتها اکنون گزینه‌ای بین «پذیرش همه» و «پذیرش فقط کوکی‌های ضروری» ارائه می‌دهند. هر زمان که امکان دارد، گزینه فقط کوکی‌های ضروری را انتخاب کنید، چون این‌ها همان‌هایی هستند که برای عملکرد درست سایت لازم‌اند.
- فقط در صورت اجبار به شبکه‌هایوای‌فایعمومی متصل شوید. این شبکه‌ها اغلب امنیت ضعیفی دارند که مهاجمان از آن سوءاستفاده می‌کنند. اگر مجبور به اتصال شدید، از ورود به حساب‌های شبکه‌های اجتماعی یا پیام‌رسان، بانکداری آنلاین، یا هر سرویس دیگری که نیاز به احراز هویت دارد خودداری کنید.
[1] Session ID
[2] Session hijacking
[3] Session sniffing
کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
