လွယ်လွယ်ပြောရရင် Session Hijacking ဆိုတာ သင် Login ဝင်ပြီးသား အခြေအနေကို Hacker က ခိုးယူပြီး သင့်အစားဝင်သုံးတဲ့ တိုက်ခိုက်နည်းပါ။ Password ကို ခိုးစရာမလိုဘူး။ သင် Login ဝင်ပြီးသွားပြီဆိုတဲ့ အထောက်အထားလေးကို ခိုးလိုက်ရုံနဲ့ သင့်အကောင့်ထဲကို ဝင်လို့ရသွားတာပါ။
ကျွန်တော် ဒါကို ရုပ်ရှင်ရုံလက်မှတ်နဲ့ ယှဉ်ပြီး နားလည်သွားတယ်။ ရုပ်ရှင်ရုံဝင်ဖို့ လက်မှတ်ဝယ်ရတယ်၊ အဲဒါက Login ဝင်တာနဲ့ တူပါတယ်။ ဝင်ပြီးသွားရင် လက်မှတ်စစ်တဲ့သူက သင့်ကို နောက်တစ်ခါ လက်မှတ်ထပ်မတောင်းတော့ဘူး။ သင့်လက်မှာ တံဆိပ်တုံးထုထားရင် လုံလောက်တယ်။ အဲဒီ တံဆိပ်တုံးကို တစ်ယောက်ယောက်က ခိုးကူးလိုက်ရင် သူက လက်မှတ်မဝယ်ဘဲ ရုံထဲ ဝင်လို့ရသွားတယ်။ Session Hijacking က အဲဒီတံဆိပ်တုံးကို ခိုးတာနဲ့ အတူတူပဲ။
Session ဆိုတာ ဘာလဲ?
Website တွေက သင်ဘယ်သူလဲဆိုတာကို တစ်ခါတည်း မမှတ်ထားပါဘူး။ HTTP ဆိုတဲ့ Protocol က သတိမရှိဘူး၊ Request တစ်ခုချင်းစီကို သီးသန့်လို့ မြင်ပါတယ်။ ဒါကြောင့် သင် Login ဝင်ပြီးတဲ့အခါ Server က Session ID လို့ခေါ်တဲ့ ကျပန်းနံပါတ်ရှည်ကြီးတစ်ခုကို ထုတ်ပေးပြီး သင့်ရဲ့ Browser မှာ Cookie အဖြစ် သိမ်းထားခိုင်းပါတယ်။ Cookie အကြောင်းကို အရင်က ရေးခဲ့ဖူးပါတယ်။
နောက်ပိုင်း သင် Page တစ်ခုကို ဖွင့်တိုင်း Browser က အဲဒီ Session ID ကို အလိုလို ပြန်ပို့ပေးတယ်။ Server က “အော်၊ ဒီ ID က Login ဝင်ပြီးသား လူပဲ” လို့ သိပြီး Password ထပ်မတောင်းဘဲ Page ကို ပြပေးတယ်။ ဒါကြောင့် Facebook ဖွင့်တိုင်း Password ထပ်ရိုက်စရာမလိုတာပါ။ သင့်ရဲ့ Session ID က သင့်ရဲ့ တံဆိပ်တုံးပဲ ဖြစ်တယ်။
Hacker က Session ကို ဘယ်လိုခိုးတာလဲ?
နည်းအမျိုးမျိုးရှိပါတယ်။ အဖြစ်အများဆုံးတွေက ဒါတွေပါ။
Public Wi-Fi ပေါ်ကနေ ခိုးတာ — HTTPS မပါတဲ့ Site တွေမှာ Session ID က စာသားအတိုင်း ပျံနေတယ်။ အလကား Wi-Fi ပေါ်မှာ တစ်ယောက်ယောက်က Network ကို နားထောင်နေရင် Session ID ကို ဖမ်းမိနိုင်တယ်။ MITM Attack အကြောင်းရေးတုန်းက ဒါကို ပြောခဲ့ဖူးပါတယ်။
XSS နဲ့ ခိုးတာ — Website ထဲမှာ Malicious Script ထည့်လိုက်ပြီး သင့်ရဲ့ Browser ကနေ Cookie ကို ဖတ်ခိုင်းတယ်။ XSS အကြောင်းလည်း အရင်က ရေးခဲ့ဖူးပါတယ်။
Session Fixation — Hacker က Session ID တစ်ခုကို ကြိုတင်ဖန်တီးပြီး သင့်ကို အဲဒီ ID နဲ့ Login ဝင်အောင် လှည့်စားတယ်။ သင် Login ဝင်ပြီးတာနဲ့ Hacker က အဲဒီ ID ကို သိနေပြီဖြစ်လို့ သင့်အကောင့်ထဲ ဝင်လို့ရတယ်။
Malware နဲ့ ခိုးတာ — ကွန်ပျူတာထဲကို Malware ဝင်သွားရင် Browser ထဲက Cookie တွေကို တိုက်ရိုက် ဖတ်ယူသွားနိုင်တယ်။
Session ID ကို ရသွားတဲ့ Hacker က သူ့ Browser ထဲမှာ အဲဒီ ID ကို ထည့်လိုက်ရုံနဲ့ Server က သူ့ကို သင်လို့ ထင်ပြီး အကောင့်ထဲ ဝင်ခွင့်ပေးလိုက်ပါတယ်။ Password လည်း မလိုဘူး၊ 2FA လည်း မမေးဘူး။ ဘာလို့လဲဆိုတော့ Login ဝင်ပြီးသား အခြေအနေကို ပြန်သုံးနေတာဖြစ်လို့၊ Login အသစ်ဝင်နေတာ မဟုတ်လို့ပါ။
ကိုယ့်ကို ဘယ်လို ကာကွယ်မလဲ?
သတင်းကောင်းက Session Hijacking ကို ကာကွယ်ဖို့ လုပ်လို့ရတဲ့ အရာတွေ အများကြီးရှိပါတယ်။ အရေးကြီးဆုံးတွေက ဒါတွေပါ။
Public Wi-Fi မှာ အရေးကြီးတဲ့ အကောင့်တွေ (Bank, Email, Facebook) ကို မဝင်ပါနဲ့။ ဝင်ရမယ်ဆိုရင် VPN သုံးပါ။ VPN အကြောင်းလည်း အရင်က ရေးခဲ့ဖူးပါတယ်။
HTTPS ပါတဲ့ Site တွေကိုပဲ သုံးပါ။ Browser မှာ သော့ခလောက်လေးပါရင် Session ID က ကုဒ်နဲ့ ဖုံးထားပြီးသားဖြစ်လို့ ကြားဖြတ်ဖတ်လို့ မရဘူး။
အလုပ်ပြီးရင် Logout လုပ်ပါ။ အထူးသဖြင့် သူများကွန်ပျူတာ၊ Internet ဆိုင်က ကွန်ပျူတာတွေမှာ Logout မလုပ်ဘဲ ပိတ်သွားရင် Session က ကျန်နေနိုင်တယ်။
“Remember Me” ကို ကိုယ့်စက်မှာပဲ သုံးပါ။ သူများစက်မှာ Remember Me ကို နှိပ်မိရင် နောက်လူက သင့်အကောင့်ထဲ တိုက်ရိုက်ဝင်လို့ရတယ်။
Browser နဲ့ OS ကို Update အမြဲ လုပ်ထားပါ။ Update တွေထဲမှာ Session ကို ကာကွယ်တဲ့ ပြင်ဆင်မှုတွေ ပါတတ်တယ်။
သံသယဖြစ်စရာ Activity တွေ့ရင် အကောင့်ရဲ့ “ဝင်ထားတဲ့ Device အားလုံးကနေ Logout” ဆိုတဲ့ Button ကို နှိပ်ပါ။ Facebook, Google, Gmail တို့မှာ ဒီ Option ရှိပါတယ်။ အဲဒါက Session ID အားလုံးကို ပျက်ပြယ်သွားစေတယ်။
Developer တွေဘက်ကကြည့်ရင် Session Cookie မှာ HttpOnly နဲ့ Secure Flag တွေ ထည့်ရတယ်။ HttpOnly ဆိုတာ JavaScript က Cookie ကို ဖတ်လို့မရအောင် လုပ်တာ၊ Secure ဆိုတာ HTTPS ပေါ်မှာပဲ Cookie ပို့တာ။ ဒါတွေက XSS နဲ့ Wi-Fi နားထောင်တာကို ကာကွယ်ပေးတယ်။
နောက်တစ်ခါ Facebook ကို ဖွင့်လိုက်တာနဲ့ Password မတောင်းဘဲ တိုက်ရိုက်ဝင်သွားရင်၊ အဲဒါက အဆင်ပြေရုံတင် မဟုတ်ဘူး၊ သင့်ရဲ့ Session ID ဆိုတဲ့ တံဆိပ်တုံးက အလုပ်လုပ်နေလို့ပါ။ တံဆိပ်တုံးကို သေချာ စောင့်ရှောက်ပါ။ သူများလက်ထဲ ရောက်သွားရင် သင့်အကောင့်က သင့်ဟာ မဟုတ်တော့ဘူးဆိုတာ မမေ့ပါနဲ့။ 🙂
