Clickjacking

Clickjacking , auch bekannt als „ UI-Redress-Angriff “, bezeichnet die Vorgehensweise eines Angreifers, der mehrere transparente oder schwer erkennbare Ebenen nutzt, um einen Nutzer dazu zu verleiten, auf einen Button oder Link auf einer anderen Seite zu klicken, obwohl dieser eigentlich die Startseite aufrufen wollte. Der Angreifer „kapert“ somit Klicks, die für seine eigene Seite bestimmt sind, und leitet sie auf eine andere Seite um, die höchstwahrscheinlich einer anderen Anwendung, Domain oder beidem gehört.

Mit einer ähnlichen Technik lassen sich auch Tastatureingaben abfangen. Durch eine geschickte Kombination aus Stylesheets, iFrames und Textfeldern kann ein Benutzer glauben, er gebe das Passwort für sein E-Mail- oder Bankkonto ein, tippt aber stattdessen in einen unsichtbaren, vom Angreifer kontrollierten Frame.

Eines der bekanntesten Beispiele für Clickjacking war ein Angriff auf die Einstellungsseite des Adobe Flash-Plugins . Indem diese Seite in einem unsichtbaren iFrame geladen wurde, konnte ein Angreifer einen Benutzer dazu verleiten, die Sicherheitseinstellungen von Flash zu ändern und so Flash-Animationen die Nutzung von Mikrofon und Kamera des Computers zu erlauben.

Was bedeutet das für ein KMU?

Für den typischen KMU-Inhaber mag es schwierig sein, Maßnahmen zu ergreifen, um dies zu verhindern, aber Ihre IT-Mitarbeiter können Ihnen bei der Einrichtung einiger Dinge helfen. Laut OWASP gibt es drei Hauptstrategien, die zur Abwehr dieser Angriffe eingesetzt werden können:

• Verhindern, dass der Browser die Seite im Frame lädt, indem er X-Frame-Optionen or Inhaltssicherheitsrichtlinie (Frame-Vorfahren) HTTP-Header.
• Verhindern der Einbindung von Session-Cookies beim Laden der Seite in einem Frame mithilfe des GleicheSite Cookie-Attribut.
• Durch die Implementierung von JavaScript-Code in die Seite wird versucht, das Laden in einem Frame zu verhindern.

Beachten Sie, dass diese Mechanismen alle unabhängig voneinander sind. Um eine umfassende Verteidigung zu gewährleisten, sollten nach Möglichkeit mehrere davon implementiert werden. Zusätzlich zu diesen Maßnahmen sollten folgende grundlegende Maßnahmen zum Schutz Ihrer Benutzer getroffen werden: 

• Adoptieren Zwei-Faktor-Authentifizierung um zu verhindern, dass Passwort Verstoß gegen die VPN, E-Mail-Dienste und alle anderen wichtigen Dienste, die direkt über das Internet erreichbar sind
• Adoptiere a Password Manager zur persönlichen und beruflichen Nutzung zur Verbesserung der Passworthygiene (bei gleichzeitiger Unterbringung eines einzigartigen Passworts mit 14+ Zeichen/Passphrasen)
• Führen Sie regelmäßige Datensicherungen durch, 3-2-1-Sicherungsmethode zum Sichern aller Ihrer kritischen und sensiblen Daten
• Mitarbeiter schulen zum Erkennen und Vermeiden Phishing Angriffe – die primäre Art und Weise, wie Cyberangriffe stattfinden
• Mitarbeiter testen auf ihrer Ausbildung, um zu bestätigen, dass sie Bedrohungen erkennen und löschen können, anstatt zu klicken und einem Angriff zu erliegen

Um mehr über Clickjacking zu erfahren, sehen Sie sich dieses kurze Video an:

Quellen: 

OWASP

Mozilla-Entwicklerressourcen

Mozilla X-Frame-Ressource

SecTheory

Weitere Leseempfehlungen:

PortSwigger – Clickjacking-Schwachstellen finden

Security Boulevard – Clickjacking-Angriffe verhindern

Verwandte Begriffe:

Linkjacking

Phishing

Finden Sie heraus, wie CyberHoot Ihr Unternehmen schützen kann.

Buchen Sie eine Demo