អត្ថបទទី៦៦៖ តើគេលួចបន្លំជាអ្នកតាមរយៈអ្វី បើគ្មាន Password? អាថ៌កំបាំងនៅពីក្រោយ Session Cookie ដែលអ្នករៀន IT ត្រូវដឹង!
រយៈពេលអាន៖ ២ នាទី
កម្រិតយល់ដឹង៖ អ្នករៀន IT
មនុស្សជាច្រើនគិតថា បើ Hacker មិនស្គាល់ Password នោះពួកគេមិនអាចចូល Account បានទេ។ ប៉ុន្តែការពិត ពួកគេអាចក្លែងធ្វើជាអ្នកបាន បើលួចយក Session Cookie ដែលនៅមានសុពលភាព។
Session Cookie ជាអ្វី?
នៅពេលអ្នកបញ្ចូល Username និង Password ត្រឹមត្រូវ វេបសាយនឹងបង្កើតលេខសម្គាល់មួយហៅថា Session ID ហើយរក្សាវានៅក្នុង Browser តាមរយៈ Session Cookie។
វាប្រៀបដូចជា កាតអនុញ្ញាតចូលបណ្ដោះអាសន្ន។ នៅពេលអ្នកបើកទំព័រថ្មី Browser នឹងបង្ហាញកាតនេះទៅ Server ដើម្បីប្រាប់ថា៖
«អ្នកប្រើម្នាក់នេះបាន Login ត្រឹមត្រូវរួចហើយ មិនចាំបាច់សួរ Password ម្ដងទៀតទេ»។
ដូច្នេះ អ្នកអាចបន្តប្រើ Facebook, Gmail ឬវេបសាយផ្សេងៗ ដោយមិនចាំបាច់បញ្ចូល Password រាល់ពេលប្ដូរទំព័រ។
១. ហានិភ័យ
ប្រសិនបើអ្នកផ្សេងលួចបាន Session Cookie របស់អ្នក ពួកគេអាចយកវាទៅប្រើក្នុង Browser របស់ពួកគេ។ Server អាចយល់ច្រឡំថា មនុស្សនោះគឺជាអ្នក ព្រោះពួកគេកំពុងប្រើ Session ដែលបាន Login រួច។
ករណីនេះហៅថា Session Hijacking។ Hacker មិនបានទាយ ឬបំបែក Password ទេ ប៉ុន្តែលួចយក «កាតអនុញ្ញាតចូល» ដែល Server បានផ្ដល់ឱ្យអ្នក។
ក្នុងករណីខ្លះ ប្រព័ន្ធអាចមិនសួររក 2FA ម្ដងទៀត ព្រោះ Session នោះបានឆ្លងកាត់ការផ្ទៀងផ្ទាត់រួចហើយ។
Session Cookie អាចប្រឈមនឹងហានិភ័យនៅពេល៖
- អ្នកភ្លេច Logout នៅលើកុំព្យូទ័ររួម
- កុំព្យូទ័រមានមេរោគលួចព័ត៌មាន
- វេបសាយមានចន្លោះខ្សោយផ្នែកសុវត្ថិភាព
- អ្នកគ្រាន់តែបិទ Tab ប៉ុន្តែមិនបាន Logout
២. ដំណោះស្រាយការពារ
ក្រោយប្រើ Account រួច ត្រូវចុច Logout ឬ Sign out ជានិច្ច ជាពិសេសនៅលើកុំព្យូទ័ររបស់អ្នកដទៃ។ ការចុចសញ្ញា X គ្រាន់តែបិទផ្ទាំង ប៉ុន្តែ Session អាចនៅតែបើក។
កុំចុច “Remember Me” ឬ “Save Password” នៅលើឧបករណ៍ដែលអ្នកមិនទុកចិត្ត។ ត្រូវបើក 2FA និងពិនិត្យបញ្ជីឧបករណ៍ដែលកំពុង Login ជាប្រចាំ។
ចំណែក Developer គួរកំណត់ឱ្យ Session ផុតកំណត់ក្រោយអ្នកប្រើអសកម្ម និងបញ្ចប់ Session ឱ្យបានត្រឹមត្រូវពេលអ្នកប្រើចុច Logout។
៣. វិធានការជួសជុល
បើអ្នកសង្ស័យថាមានអ្នកចូល Account ត្រូវចូលផ្នែក Devices ឬ Active Sessions ហើយពិនិត្យមើលឧបករណ៍ដែលកំពុងភ្ជាប់។
បើឃើញឧបករណ៍ ឬទីតាំងដែលមិនស្គាល់ ត្រូវ៖
- ចុច Log Out of All Devices។
- ប្ដូរ Password ភ្លាមៗ។
- បើក 2FA។
- ពិនិត្យសកម្មភាព និងព័ត៌មានក្នុងគណនី។
- ទាក់ទងផ្នែក IT បើជាគណនីការងារ។
ចំណុចសំខាន់
Password គឺជាសោសម្រាប់ Login។ Session Cookie គឺជាកាតអនុញ្ញាតឱ្យបន្តប្រើ Account។ បើគេលួចបានកាតនេះ គេអាចក្លែងធ្វើជាអ្នកបាន។
ចងចាំ៖ បិទ Tab គឺបិទតែផ្ទាំង ប៉ុន្តែចុច Logout ទើបជាការបញ្ចប់ Session។
