ब्राउज़र प्रोफ़ाइल का अलगाव: सीमाएँ और व्यावहारिक जाँच

‘अलग प्रोफ़ाइल’ सुनने में सटीक लगता है, जब तक कोई वर्कफ़्लो उस पर निर्भर न हो। एक उत्पाद का मतलब केवल अलग फ़ोल्डर हो सकता है। दूसरा प्रक्रिया निगरानी, हर प्रोफ़ाइल की नेटवर्क नीति, एन्क्रिप्शन, लॉक, बैकअप और टीम अनुमतियाँ जोड़ सकता है। अकेला यह नाम उन सीमाओं के किसी खास संयोजन की गारंटी नहीं देता।

इसलिए व्यावहारिक सवाल है: किससे अलग, किस विफलता या व्यक्ति के विरुद्ध, और किस प्रमाण के आधार पर?

चार सीमाएँ जिनमें अक्सर भ्रम होता है

सीमा	क्या अलग करती है	क्या सिद्ध नहीं करती
वेब ओरिजिन	एक साइट का स्क्रिप्ट द्वारा पढ़ा जा सकने वाला स्टोरेज दूसरे ओरिजिन से	एक प्रोफ़ाइल के भीतर उसी साइट के दो लॉगिन का अलगाव
ब्राउज़र प्रोफ़ाइल	एक प्रोफ़ाइल से जुड़ी ब्राउज़र स्थिति	उसी OS खाते की पहुँच रखने वाले दूसरे व्यक्ति से सुरक्षा
Site Isolation और सैंडबॉक्स	अलग साइटों की वेब सामग्री को सीमित रेंडरर प्रक्रियाओं में रखना	हर प्रोफ़ाइल के लिए अलग ब्राउज़र इंस्टॉलेशन या नेटवर्क स्टैक
OS खाता, कंटेनर या वर्चुअल मशीन	सिस्टम सीमा पर फ़ाइलें, प्रक्रियाएँ, क्रेडेंशियल और कभी नेटवर्क नीति	कॉन्फ़िगरेशन के बिना ब्राउज़र के भीतर खातों का स्वतः अलगाव

ये परतें अलग समस्याएँ सुलझाती हैं। वेब के समान-ओरिजिन नियम एक ओरिजिन की सामान्य स्क्रिप्ट को दूसरे का स्टोरेज पढ़ने से रोकते हैं। Chromium का Site Isolation सुरक्षा मॉडल साइटों के बीच सैंडबॉक्स वाली रेंडरर प्रक्रिया की सीमाएँ जोड़ता है। ब्राउज़र प्रोफ़ाइल किसी व्यक्ति या वर्कफ़्लो की ब्राउज़र स्थिति समूहित करती है। OS खाता या वर्चुअल मशीन स्थानीय हमलावर या होस्ट अलगाव की अधिक मज़बूत आवश्यकता को संबोधित करता है।

एक परत का दावा दूसरी परत के प्रमाण की तरह इस्तेमाल नहीं होना चाहिए।

स्थायी ब्राउज़र प्रोफ़ाइल आम तौर पर क्या अलग करती है

Chromium बताता है कि उसकी उपयोगकर्ता डेटा डायरेक्टरी में इतिहास, बुकमार्क और कुकी जैसे प्रोफ़ाइल डेटा रहते हैं और हर प्रोफ़ाइल उसके भीतर एक उपडायरेक्टरी होती है। Chrome की प्रोफ़ाइल गाइड भी कहती है कि प्रोफ़ाइल बुकमार्क, इतिहास, पासवर्ड और सेटिंग अलग रखती हैं।

स्थायी कार्य प्रोफ़ाइल में सामान्यतः इन स्थितियों के अलग रहने की अपेक्षा होती है:

स्थिति	अलगाव का व्यावहारिक असर
कुकी और प्रमाणीकरण स्थिति	प्रोफ़ाइल A में लॉगिन करने से उसी कुकी संग्रह के ज़रिए B में लॉगिन नहीं होना चाहिए
लोकल स्टोरेज और साइट डेटाबेस	वेब ऐप की स्थानीय स्थिति उसे बनाने वाली प्रोफ़ाइल की होती है
HTTP कैश और Cache Storage	दोबारा इस्तेमाल योग्य उत्तर और ऑफ़लाइन ऐप डेटा सामान्यतः दूसरी प्रोफ़ाइल तक नहीं जाते
इतिहास, बुकमार्क और खुले सत्र की स्थिति	नेविगेशन रिकॉर्ड और सेव गंतव्य सही वर्कफ़्लो से जुड़े रहते हैं
साइट अनुमतियाँ	कैमरा, माइक्रोफ़ोन, सूचनाएँ, स्थान आदि के निर्णय हर प्रोफ़ाइल में अलग हो सकते हैं
एक्सटेंशन और उनकी स्थिति	इंस्टॉल एक्सटेंशन, उनकी सेटिंग और पहुँच प्रति प्रोफ़ाइल सँभाली जा सकती है
पासवर्ड और ऑटोफ़िल	स्थानीय क्रेडेंशियल और फ़ॉर्म डेटा चुनी प्रोफ़ाइल में रहते हैं; सक्षम खाता सिंक का प्रभाव लागू रहता है

फ़ाइलों का वास्तविक स्थान प्लेटफ़ॉर्म के अनुसार बदलता है। Chromium के दस्तावेज़ बताते हैं कि कैश पथ प्रोफ़ाइल पथ से निकाला जा सकता है और बाकी प्रोफ़ाइल के पास होने के बजाय OS की कैश जगह पर रह सकता है। वे प्रोफ़ाइल डेटा और उपयोगकर्ता डेटा डायरेक्टरी में रखी इंस्टॉलेशन संबंधी अन्य स्थानीय स्थिति में भी अंतर करते हैं। इसलिए विश्वसनीय अलगाव डिज़ाइन हर संबंधित पथ ट्रैक करता है और साझा इंस्टॉलेशन स्थिति दर्ज करता है; दिखने वाला एक फ़ोल्डर पूरी सीमा नहीं माना जाता।

डायरेक्टरी की सीमा को जीवनचक्र नियंत्रण भी चाहिए

अलग डेटा पथ अनजाने में स्थिति दोबारा इस्तेमाल होने से तभी बचाता है जब हर लॉन्च को सही पथ मिले। Chromium यह भी बताता है कि चल रहे दो Chrome इंस्टेंस सुरक्षित रूप से एक उपयोगकर्ता डेटा डायरेक्टरी साझा नहीं कर सकते। प्रबंधित प्रोफ़ाइल प्रणाली के जीवनचक्र नियम स्पष्ट होने चाहिए:

• हर प्रोफ़ाइल को अलग स्टोरेज रूट दें;
• दो लेखकों को एक स्थायी स्थिति एक साथ खोलने से रोकें;
• पहचानें कि लॉन्च से कौन-सी प्रक्रियाएँ जुड़ी हैं;
• उन प्रक्रियाओं को एक जीवनचक्र की तरह बंद या पुनर्प्राप्त करें;
• बैकअप या माइग्रेशन से पहले लेखन पूरा करें; और
• अगले लॉन्च से पहले अधूरा शटडाउन पहचानें।

इन नियंत्रणों के बिना ‘अलग फ़ोल्डर’ होने पर भी गलत प्रोफ़ाइल लॉन्च, पुराने लॉक, अधूरी प्रतियाँ या रुकावट के बाद डेटा खराब हो सकता है।

ब्राउज़र प्रोफ़ाइल अपने आप क्या अलग नहीं करती

स्थानीय पहुँच

Chrome चेतावनी देता है कि डिवाइस की पहुँच रखने वाला व्यक्ति दूसरी Chrome प्रोफ़ाइल पर जाकर विज़िट की गई साइटों जैसी जानकारी देख सकता है। उसकी सलाह है कि डिवाइस केवल भरोसेमंद लोगों से साझा करें। सामान्य प्रोफ़ाइल चयनकर्ता विश्वसनीय उपयोगकर्ताओं को व्यवस्थित करता है। वह उसी OS खाते के दूसरे उपयोगकर्ता के विरुद्ध पहुँच नियंत्रण नहीं है।

अगर जोखिम में जिज्ञासु या दुर्भावनापूर्ण स्थानीय व्यक्ति शामिल है, तो अलग OS खाते, डिवाइस नियंत्रण या अधिक मज़बूत निष्पादन सीमा अपनाएँ। प्रोफ़ाइल एन्क्रिप्शन और अनलॉक नीति सहेजे डेटा का जोखिम घटा सकती है, लेकिन डिज़ाइन, कुंजी स्टोरेज, पुनर्प्राप्ति प्रक्रिया और अनलॉक स्थिति के व्यवहार की समीक्षा फिर भी चाहिए।

ब्राउज़र बाइनरी और अपडेट प्रक्रिया

एक Chromium उपयोगकर्ता डेटा डायरेक्टरी में कई प्रोफ़ाइल हो सकती हैं। सामान्यतः वे एक ही इंस्टॉल ब्राउज़र और अपडेटर पर निर्भर होती हैं। अलग प्रोफ़ाइल स्थिति से सुरक्षा पैच का व्यवहार अलग नहीं हो जाता।

यह साझा घटक उपयोगी हो सकता है क्योंकि एक ब्राउज़र को लगातार अद्यतन रखना आसान है। इसका अर्थ यह भी है कि पुराना या समझौता किया गया ब्राउज़र बिल्ड उसका उपयोग करने वाली हर प्रोफ़ाइल को प्रभावित करता है। अलगाव मूल्यांकन में ब्राउज़र की नवीनता, हस्ताक्षर सत्यापन और सुरक्षित रोलबैक शामिल करें।

नेटवर्क पहचान

नई प्रोफ़ाइल बनाने से सार्वजनिक IP, DNS पथ, स्थानीय नेटवर्क या अपस्ट्रीम प्रॉक्सी अपने आप नहीं बदलती। एक डिवाइस की प्रोफ़ाइल आम तौर पर एक ही नेटवर्क रास्ता इस्तेमाल करेंगी, जब तक ब्राउज़र, एक्सटेंशन, OS नीति या प्रोफ़ाइल मैनेजर अलग व्यवस्था न करे।

अगर वर्कफ़्लो को प्रति प्रोफ़ाइल प्रॉक्सी चाहिए, तो सिर्फ़ कॉन्फ़िगर किया पता न जाँचें। प्रमाणीकरण, DNS प्रबंधन, WebSocket और अन्य प्रोटोकॉल, विफलता के बाद वैकल्पिक रास्ता तथा प्रॉक्सी तैयार होने से पहले का व्यवहार जाँचें। विफलता पर सीधा कनेक्शन खुल जाना सही सेव प्रॉक्सी सेटिंग के बावजूद इच्छित नेटवर्क सीमा तोड़ सकता है।

डिवाइस और वातावरण की विशेषताएँ

कुकी और सेटिंग अलग होने पर भी प्रोफ़ाइल उसी ब्राउज़र, OS, हार्डवेयर, डिस्प्ले, भाषा कॉन्फ़िगरेशन और नेटवर्क की विशेषताएँ दिखा सकती है। W3C फ़िंगरप्रिंटिंग को दिखने वाली विशेषताओं से फिर पहचानने की प्रक्रिया बताता है। उसके फ़िंगरप्रिंटिंग मार्गदर्शन में अनुरोध हेडर, IP, विंडो आकार, फ़ॉन्ट, जुड़े डिवाइस, प्रदर्शन, सेंसर और ग्राफ़िक्स रेंडरिंग संभावित संकेत हैं।

प्रोफ़ाइल अलगाव स्थिति दोबारा इस्तेमाल होने से रोक सकता है। वह डिवाइस को अपहचाने योग्य नहीं बनाता, अलग फ़िंगरप्रिंट की गारंटी नहीं देता और किसी तीसरी सेवा की पहुँच सुनिश्चित नहीं करता।

प्रोफ़ाइल के बाहर की फ़ाइलें

डाउनलोड अक्सर प्रोफ़ाइल के स्टोरेज से बाहर सामान्य उपयोगकर्ता फ़ोल्डर में जाते हैं। Chrome के डेटा मिटाने के दस्तावेज़ अंतर साफ़ करते हैं: डाउनलोड इतिहास मिटाने से डाउनलोड की गई फ़ाइलें नहीं मिटतीं।

अपलोड में उलटा जोखिम है। फ़ाइल चयनकर्ता कई प्रोफ़ाइल को वही होस्ट फ़ाइल सिस्टम दिखा सकता है। क्लिपबोर्ड, खींचकर छोड़ा गया डेटा, प्रिंट आउटपुट, स्क्रीनशॉट और OS सूचनाएँ भी प्रोफ़ाइल सीमा पार कर सकती हैं, जब तक आसपास का उत्पाद या OS उन्हें नियंत्रित न करे।

डाउनलोड नीति चुनकर दर्ज करें। विकल्पों में प्रति प्रोफ़ाइल अलग फ़ोल्डर, अस्थायी कार्य डायरेक्टरी, स्पष्ट निर्यात या अधिक मज़बूत कंटेनर सीमा शामिल हैं। सही चुनाव इस पर निर्भर है कि लक्ष्य गलतियाँ रोकना, रहस्य सुरक्षित रखना या एक-दूसरे पर भरोसा न करने वाले काम अलग रखना है।

क्लाउड खाते और सिंक

डिस्क पर अलग ब्राउज़र स्थिति सक्षम सिंक सेवा से कॉपी हो सकती है। पासवर्ड, बुकमार्क, सेटिंग या इतिहास दूसरी जगह दिख सकता है क्योंकि प्रोफ़ाइल उस श्रेणी को सिंक करने वाले खाते से जुड़ी है। उदाहरण के लिए Chrome में साइन इन व्यक्ति चुन सकता है कि कौन-सी प्रोफ़ाइल जानकारी Google खाते में सेव हो।

सिंक को एक और भरोसे की सीमा मानें। दर्ज करें कि क्या अपलोड होता है, उसका एन्क्रिप्शन कैसे होता है, नया डिवाइस कौन अधिकृत कर सकता है, मिटाने का असर कहाँ तक पहुँचता है और क्या बहाली गलत प्रोफ़ाइल की स्थिति मिला सकती है।

Site Isolation अलग सुरक्षा नियंत्रण है

समर्थित प्लेटफ़ॉर्म पर Chromium का Site Isolation अलग साइटों के पेज अलग सैंडबॉक्स वाली रेंडरर प्रक्रियाओं में रखता है। इससे एक साइट का समझौता किया रेंडरर दूसरी साइट का संवेदनशील डेटा हासिल कर सके, इसकी संभावना घटती है।

यह सुरक्षा ब्राउज़र सत्र के अंदर काम करती है। इससे यह पता नहीं चलता कि दो कार्य प्रोफ़ाइल के डेटा रूट, जीवनचक्र स्वामित्व, प्रॉक्सी, बैकअप या टीम अनुमतियाँ अलग हैं या नहीं। दूसरी ओर, कोई उत्पाद अलग डेटा डायरेक्टरी बनाकर भी दुर्भावनापूर्ण वेब सामग्री के लिए ब्राउज़र के सामान्य साइट सैंडबॉक्स पर निर्भर रह सकता है।

दोनों नियंत्रण महत्वपूर्ण हैं। उनका परीक्षण और वर्णन अलग होना चाहिए।

स्थायी प्रोफ़ाइल, गुप्त सत्र या अस्थायी प्रोफ़ाइल?

Chrome का गुप्त मोड निजी सत्र खुला रहने तक कुकी और साइट डेटा अस्थायी रूप से रखता है। सत्र खत्म होने के बाद वह साइट डेटा या विज़िट रिकॉर्ड नहीं रखता। Google यह भी बताता है कि गुप्त मोड विज़िट की गई साइटों और उनकी सेवाओं का डेटा संग्रह तरीका नहीं बदलता।

इसलिए विश्वसनीय डिवाइस पर छोटे सत्र के लिए गुप्त मोड उपयोगी है। बार-बार समान एक्सटेंशन, पुनर्प्राप्त करने योग्य स्थिति, तय स्वामी या नियंत्रित हैंडऑफ़ चाहिए तो वह स्थायी कार्य प्रोफ़ाइल का अच्छा विकल्प नहीं है।

अस्थायी प्रबंधित प्रोफ़ाइल कम समय तक स्थिति रखने की नीति को स्पष्ट लॉन्च, नेटवर्क और सफ़ाई नियंत्रण से जोड़ सकती है। उसे मिटाने का प्रमाण फिर भी चाहिए। मैनेजर को प्रोफ़ाइल के पथ और क्रेडेंशियल हटने की पुष्टि करनी चाहिए, साथ ही ऑडिट या कानूनी कारणों से बाहर रखी फ़ाइलें और रिकॉर्ड साफ़ बताने चाहिए।

पुनर्प्राप्ति अलगाव का हिस्सा है

अलगाव लॉन्च जितनी आसानी से बहाली में भी विफल हो सकता है। चलती प्रोफ़ाइल की कॉपी पुराने और नए डेटाबेस की मिश्रित स्थिति पकड़ सकती है। गलत पहचानकर्ता में बहाली दो वर्कफ़्लो मिला सकती है। नए ब्राउज़र का लिखा डेटा पुराने बिल्ड में खोलने से अनुकूलता समस्या हो सकती है; Chromium के स्पष्ट डेटा डाउनग्रेड और अनुकूलता नियम हैं।

पुनर्प्राप्ति डिज़ाइन को सिद्ध करना चाहिए कि:

1. बैकअप एक अपरिवर्तनीय प्रोफ़ाइल पहचान का है;
2. स्नैपशॉट जीवनचक्र के संगत बिंदु पर लिया गया;
3. रहस्य आर्काइव और बहाली के दौरान सुरक्षित रहते हैं;
4. ब्राउज़र संस्करण बहाल स्थिति के अनुकूल है;
5. बहाली मौजूदा प्रोफ़ाइल से अपने आप नहीं मिलती; और
6. रुकावट पर पिछली ज्ञात सही स्थिति में लौटा जा सकता है।

कैश आम तौर पर फिर बन सकता है। बुकमार्क, उपयोगकर्ता का स्थानीय डेटा, क्रेडेंशियल, एक्सटेंशन स्थिति और ऑडिट मेटाडेटा शायद नहीं। पुनर्प्राप्ति नीति में यह अंतर होना चाहिए।

अलगाव का व्यावहारिक परीक्षण

मान लें कि अधिकृत QA टीम एक वेब ऐप के दो टेनेंट जाँच रही है। टेनेंट A और B स्वतंत्र रहने चाहिए।

टीम हर प्रोफ़ाइल के लिए छोटी परीक्षण सूची दर्ज कर सकती है:

1. प्रोफ़ाइल A में साइन इन करें, पसंद सेव करें, साइट अनुमति दें और ऑफ़लाइन ऐप स्थिति बनाएँ।
2. B में वही ओरिजिन खोलें और पुष्टि करें कि A की प्रमाणित व स्थानीय स्थिति नहीं है।
3. B का इच्छित नेटवर्क रास्ता सेट करें, फिर क्रेडेंशियल देने से पहले सामान्य अनुरोध और विफलता व्यवहार जाँचें।
4. हर प्रोफ़ाइल से हानिरहित पहचान फ़ाइल डाउनलोड करें और देखें कि वह कहाँ जाती है और कौन पढ़ सकता है।
5. एक लॉन्च रोकें, फिर खोलें और पुष्टि करें कि कोई स्थिति दूसरी प्रोफ़ाइल में नहीं गई।
6. A का बैकअप लेकर नए परीक्षण पहचानकर्ता में बहाल करें और पुष्टि करें कि B नहीं बदली।

इससे दिखने वाला व्यवहार जाँचा जाता है। दो अलग रंग की विंडो का स्क्रीनशॉट ऐसा नहीं करता।

अलगाव पर निर्भर होने से पहले पूछें

• कौन-सी सटीक डेटा श्रेणियाँ प्रोफ़ाइल की हैं?
• क्या मुख्य डायरेक्टरी के बाहर कोई स्थिति या कैश पथ है?
• क्या दो लॉन्च एक प्रोफ़ाइल में लिख सकते हैं और इसे कैसे रोका जाता है?
• कौन-सी ब्राउज़र प्रक्रियाएँ या सेवाएँ साझा हैं?
• क्या पहले अनुरोध से पहले नेटवर्क नीति लागू है और विफलता पर कनेक्शन बंद रहता है?
• डाउनलोड, अपलोड, क्लिपबोर्ड और सूचनाएँ कहाँ सीमा पार करते हैं?
• प्रोफ़ाइल कौन अनलॉक, निर्यात, कॉपी, बहाल या मिटा सकता है?
• एन्क्रिप्शन कुंजियाँ कैसे रखी और पुनर्प्राप्त की जाती हैं?
• क्या सिंक प्रोफ़ाइल या डिवाइस के बीच स्थिति मिला सकता है?
• क्रैश, अपग्रेड, बैकअप और रोलबैक के कौन-से प्रमाण उपलब्ध हैं?

चुनाव कैसे करें

अगर मुख्य लक्ष्य भरोसेमंद लोगों के नियंत्रण वाले डिवाइस पर व्यवस्था और खाता अलगाव है, तो सामान्य ब्राउज़र प्रोफ़ाइल इस्तेमाल करें। गलत प्रोफ़ाइल लॉन्च, समवर्ती लेखन, नेटवर्क गलतियाँ, पुनर्प्राप्ति विफलता या टीम हैंडऑफ़ से महत्वपूर्ण जोखिम हो तो प्रबंधित अलग प्रोफ़ाइल प्रणाली की माँग करें। खतरे में दूसरा स्थानीय उपयोगकर्ता, अविश्वसनीय नेटिव कोड या अधिक मज़बूत होस्ट सीमा की ज़रूरत हो तो OS खाते, कंटेनर या वर्चुअल मशीन की ओर जाएँ।

‘अलग’ शब्द सिर्फ़ शुरुआत है। असली उत्पाद उसकी दर्ज सीमा, विफलता का व्यवहार और रोज़मर्रा के उपयोग में सीमा बने रहने का प्रमाण है।

सीमाएँ

ब्राउज़र और OS का व्यवहार समय के साथ बदलता है और प्लेटफ़ॉर्म, नीति, एक्सटेंशन तथा उत्पाद के अनुसार अलग होता है। ऊपर की श्रेणियाँ मूल्यांकन का ढाँचा हैं, यह दावा नहीं कि हर प्रोफ़ाइल मैनेजर समान डेटा अलग करता है। वही ब्राउज़र संस्करण, डिवाइस, नेटवर्क, एक्सटेंशन, पहचान प्रदाता और पुनर्प्राप्ति वर्कफ़्लो जाँचें जिसे आप इस्तेमाल करने वाले हैं।