एज क्रोम का अनुसरण करते हुए मैनिफेस्ट वर्जन 2 एक्सटेंशन के लिए समर्थन बंद कर देगा

माइक्रोसॉफ्ट ने शुक्रवार (07) को घोषणा की कि एज ब्राउज़र मैनिफेस्ट V2 मानक के तहत बनाए गए एक्सटेंशन को निष्क्रिय करने की प्रक्रिया शुरू करेगा। यह बदलाव पारंपरिक विज्ञापन ब्लॉकर्स, जैसे uBlock Origin, के उपयोगकर्ताओं को सीधे प्रभावित करेगा।

यह परिवर्तन गूगल क्रोम द्वारा पहले से स्थापित प्रवृत्ति का अनुसरण करता है। यह संक्रमण 2026 के दौरान धीरे-धीरे लागू किया जाएगा, जिसमें स्थिर संस्करण पर लागू होने से पहले ब्राउज़र के परीक्षण संस्करणों से शुरुआत होगी। कंपनी इस माइग्रेशन को एक्सटेंशन इकोसिस्टम को मैनिफेस्ट V3 प्लेटफॉर्म पर केंद्रीकृत करने की आवश्यकता के कारण उचित ठहराती है।

व्यावहारिक रूप से, जो लोग एज में पुराने एक्सटेंशन का उपयोग करते हैं, उन्हें इन प्लगइन्स की कार्यक्षमता खोने का सामना करना पड़ सकता है। प्रभावित विज्ञापन ब्लॉकर उपयोगकर्ताओं के पास तीन विकल्प होंगे: मैनिफेस्ट V3 के साथ संगत संस्करणों में अपग्रेड करना, जैसे uBlock Origin Lite; पहले से अनुकूलित किसी अन्य ब्लॉकर का चयन करना; या ऐसे ब्राउज़र पर स्विच करना जो अभी भी मैनिफेस्ट V2 एक्सटेंशन का समर्थन करता है।

माइक्रोसॉफ्ट ने सूचित किया है कि मैनिफेस्ट V2 पर आधारित एक्सटेंशन इस महीने से डिफ़ॉल्ट रूप से प्रगतिशील रूप से अक्षम किए जाएंगे। इस नियम के कार्यान्वयन से पहले, उपयोगकर्ताओं को अलर्ट और नए प्रारूप में उपलब्ध समकक्ष संस्करणों के सुझाव प्राप्त होंगे।

कंपनी के अनुसार, एज ऐड-ऑन स्टोर में प्रासंगिक उपयोग वाले पुराने एक्सटेंशन की मात्रा सीमित है। यह बताया गया है कि 58 एक्सटेंशन हैं जिनका उपयोग महत्वपूर्ण माना जाता है और जो अभी भी मैनिफेस्ट V2 पर निर्भर हैं, जिनमें से केवल तीन ही नवीनतम मानक में उपलब्ध संस्करण नहीं रखते हैं।

सबसे बड़ा प्रभाव uBlock Origin के पारंपरिक संस्करण के उपयोगकर्ताओं पर पड़ेगा, क्योंकि यह ब्लॉकर उस तकनीक पर निर्भर करता है जिसे ब्राउज़र द्वारा बंद किया जा रहा है। समाधान के रूप में, माइक्रोसॉफ्ट uBlock Origin Lite को अपनाने का सुझाव देता है, जिसे मैनिफेस्ट V3 की बाधाओं के भीतर काम करने के लिए डिज़ाइन किया गया है।

जो लोग पुराने एक्सटेंशन का उपयोग जारी रखना पसंद करते हैं, उनके लिए उन ब्राउज़रों पर माइग्रेट करने का विकल्प है जो मैनिफेस्ट V2 का समर्थन करते हैं। उदाहरण के लिए, ओपेरा ने तकनीकी रूप से संभव होते ही इस संगतता को बनाए रखने का इरादा व्यक्त किया है, वैसे ही फ़ायरफ़ॉक्स भी पुराने मॉडल के उपयोगकर्ताओं के लिए एक विकल्प के रूप में सामने आता है।

माइक्रोसॉफ्ट 2026 के अंत तक एज के सामान्य उपयोगकर्ताओं के अनुकूलन को पूरा करने की योजना बना रही है। प्रबंधित कॉर्पोरेट वातावरण में, समर्थन हटाना बाद में होगा, जिसकी शुरुआत 2027 की शुरुआत में होने की उम्मीद है।

पेलो एल्टो नेटवर्क्स की यूनिट 42 की शोधकर्ताओं ने तीन नए तरीकों की पहचान की है जो मैलवेयर को विंडोज पर क्रोम में गूगल पासवर्ड मैनेजर में संग्रहीत एक्सेस कुंजी (passkeys) की सुरक्षा को बायपास करने की अनुमति दे सकते हैं।

ये हमले, जिन्हें पास-टा-की, सिल्वर पास-टा-की और गोल्डन पास-टा-की नाम दिया गया है, तकनीक की क्रिप्टोग्राफी का उल्लंघन नहीं करते हैं, लेकिन वे उपयोगकर्ता के प्रमाणीकरण और क्रेडेंशियल प्रबंधन के तरीके में कमजोरियों का फायदा उठाते हैं जो ब्राउज़र द्वारा उपयोग किया जाता है।

शोधकर्ताओं के अनुसार, सभी परिदृश्य एक महत्वपूर्ण शर्त पर निर्भर करते हैं: पीड़ित का कंप्यूटर पहले से ही मैलवेयर से संक्रमित होना चाहिए। फिर भी, इन तरीकों में से दो हमलावरों को पीड़ित के खाते तक स्थायी पहुंच प्रदान कर सकते हैं, भले ही वह मूल डिवाइस तक पहुंच खो दे।

अगस्त की शुरुआत में, अध्ययन ने राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NVD) के भेद्यता डेटाबेस में सक्रिय शोषण उदाहरणों या पंजीकृत कमजोरियों का पता नहीं लगाया।

पहला तरीका, जिसे पास-टा-की कहा जाता है, मैलवेयर को टीपीएम द्वारा सुरक्षित क्रिप्टोग्राफिक पहचान का उपयोग करके पिन कोड, बायोमेट्रिक्स या किसी भी उपयोगकर्ता इंटरैक्शन की आवश्यकता के बिना वैध प्रमाणीकरण का अनुरोध करने की अनुमति देता है। हालांकि, यह यूजर वेरिफाइड (UV) संकेतक को सक्रिय नहीं करता है, जो ऑनलाइन सेवा को उपयोगकर्ता द्वारा प्रमाणीकरण की व्यक्तिगत पुष्टि के बारे में सूचित करता है। शोधकर्ताओं के अनुसार, इस हमले की प्रभावशीलता प्रत्येक विशिष्ट प्लेटफॉर्म के कार्यान्वयन पर निर्भर करती है।

परीक्षण के दौरान, GitHub ने इस संकेतक की जांच की मांग करते हुए प्रमाणीकरण के प्रयासों को सही ढंग से अस्वीकार कर दिया। वहीं, eBay ने यूनिट 42 से जानकारी प्राप्त करने से पहले इन एक्सेस को स्वीकार कर लिया और समस्या को ठीक कर दिया।

दूसरी तकनीक, सिल्वर पास-टा-की, गूगल पासवर्ड मैनेजर में डिवाइस पंजीकरण प्रक्रिया का उपयोग करती है। अध्ययन के अनुसार, मैलवेयर क्रोम को कंप्यूटर को पुनः पंजीकृत करने के लिए मजबूर करता है और सत्यापन कुंजी स्थापित करने के लिए इस प्रक्रिया के मध्यवर्ती चरण का उपयोग करता है, जिसे हमलावर नियंत्रित करता है। यदि ऑनलाइन सेवा इस नई कुंजी को वैध मान लेती है, तो हमलावर मूल डिवाइस अनुपलब्ध होने पर भी दूसरे कंप्यूटर से पीड़ित के खाते तक पहुंचना जारी रख सकता है। क्रोमियम के ओपन-सोर्स कोड का विश्लेषण पंजीकरण प्रक्रिया के दौरान मौजूद इस अस्थायी स्थिति की पुष्टि करता है, जिसका उपयोग हार्डवेयर सत्यापन पूरा होने से पहले किया जा सकता है।

सबसे खतरनाक मानी जाने वाली तकनीक को गोल्डन पास-टा-की नाम दिया गया है। इसके उपयोग पर, मैलवेयर क्रोम की मेमोरी से सो कॉल्ड सिक्योरिटी डोमेन सीक्रेट (SDS) निकालने का प्रयास करता है - एक 32-बाइट क्रिप्टोग्राफिक सीक्रेट जिसका उपयोग खाते में सभी सिंक्रनाइज़्ड एक्सेस कुंजियों को डिक्रिप्ट करने के लिए किया जाता है। यूनिट 42 के अनुसार, इस रहस्य को प्राप्त करने से उसी खाते में बनाए गए मौजूदा और भविष्य के दोनों एक्सेस कुंजियों को पुनर्स्थापित करना संभव हो जाता है।

शोधकर्ता बताते हैं कि गूगल ने पहले FIDO प्रोटोकॉल से संबंधित आंतरिक लॉग में इस रहस्य के रिसाव को ठीक कर दिया था। फिर भी, डिवाइस पंजीकरण और बहाली के दौरान जानकारी अस्थायी रूप से ब्राउज़र मेमोरी में लोड होती है, जिससे कंप्यूटर पर पहले से चल रहे मैलवेयर द्वारा इसे कैप्चर किया जा सकता है।

अध्ययन में उठाया गया एक अन्य पहलू यह है कि गूगल पासवर्ड मैनेजर का सार्वजनिक दस्तावेज़ीकरण पिन कोड बदलने या सभी सहेजी गई एक्सेस कुंजियों को हटाने की अनुमति देता है, लेकिन इसमें समझौता होने पर सिक्योरिटी डोमेन सीक्रेट को वापस लेने या बदलने की तंत्र के बारे में कोई जानकारी नहीं है।

यूनिट 42 की रिपोर्ट के अनुसार, परिणामों के जिम्मेदार प्रकटीकरण के बाद कुछ उपाय किए गए थे। eBay ने यूजर वेरिफाइड संकेतक की सही ढंग से जांच करना शुरू कर दिया, जिससे पहला हमला रोका गया। गूगल ने क्रोम के आंतरिक लॉग से सिक्योरिटी डोमेन सीक्रेट के एक्सपोजर को हटा दिया।

इसके बावजूद, इस महीने की शुरुआत तक इस बात की कोई सार्वजनिक पुष्टि नहीं थी कि शोधकर्ताओं द्वारा वर्णित सभी तरीकों को पूरी तरह से कम कर दिया गया है, और न ही प्रभावित क्रोम संस्करणों के बारे में कोई जानकारी थी।

खोजे गए मुद्दों के बावजूद, यूनिट 42 का दावा है कि एक्सेस कुंजियाँ फ़िशिंग हमलों और क्रेडेंशियल पुन: उपयोग के खिलाफ पारंपरिक पासवर्ड की तुलना में काफी अधिक सुरक्षित रहती हैं। शोधकर्ता इस बात पर जोर देते हैं कि समस्या तकनीक की क्रिप्टोग्राफी में नहीं है, बल्कि उस बुनियादी ढांचे में है जो डिवाइस प्रबंधन और क्रेडेंशियल सिंक्रनाइज़ेशन का जवाब देता है, जब कंप्यूटर पहले से ही मैलवेयर से समझौता किया गया हो।

सुरक्षा उपायों के रूप में, टीम ऑनलाइन सेवाओं को अनिवार्य रूप से यूजर वेरिफाइड संकेतक की जांच करने, डिवाइस पंजीकरण के दौरान हार्डवेयर सत्यापन को मजबूत करने, खाता पुनर्प्राप्ति तंत्र को मजबूत करने और ब्राउज़र की मेमोरी और आंतरिक लॉग में संवेदनशील जानकारी के खुलासे को कम करने की सलाह देती है।