clickjackingu

Clickjacking , známy aj ako „ UI Redress Attack “, je útok, pri ktorom útočník použije viacero priehľadných alebo nejasných vrstiev, aby oklamal používateľa a prinútil ho kliknúť na tlačidlo alebo odkaz na inej stránke, keď mal v úmysle kliknúť na stránku najvyššej úrovne. Útočník tak „unáša“ kliknutia určené pre jeho stránku a smeruje ich na inú stránku, ktorú s najväčšou pravdepodobnosťou vlastní iná aplikácia, doména alebo oboje.

Podobnou technikou je možné zneužiť aj stlačenia klávesov. Starostlivo vytvorenou kombináciou štýlov, prvkov iframe a textových polí je možné používateľa presvedčiť, že zadáva heslo k svojmu e-mailu alebo bankovému účtu, ale namiesto toho ho zadáva do neviditeľného rámca ovládaného útočníkom.

Jedným z najznámejších príkladov clickjackingu bol útok na stránku nastavení pluginu Adobe Flash . Načítaním tejto stránky do neviditeľného prvku iframe mohol útočník oklamať používateľa, aby zmenil bezpečnostné nastavenia Flashu a udelil povolenie na používanie mikrofónu a kamery počítača pre akúkoľvek Flash animáciu.

Čo to znamená pre malé a stredné podniky?

Aj keď pre typického majiteľa malej alebo strednej firmy môže byť ťažké podniknúť kroky na zabránenie tomuto javu, existujú veci, ktoré vám váš IT personál môže pomôcť nastaviť. Podľa OWASP existujú tri hlavné stratégie, ktoré možno použiť na obranu proti týmto útokom:

• Zabránenie prehliadaču v načítaní stránky v rámci pomocou Možnosti X-Frame or Zásady zabezpečenia obsahu (predkovia rámcov) HTTP hlavičky.
• Zabránenie zahrnutiu súborov cookie relácie pri načítaní stránky v rámci pomocou SameSite atribút súboru cookie.
• Implementácia kódu JavaScript na stránke s cieľom zabrániť jej načítaniu v rámci.

Upozorňujeme, že tieto mechanizmy sú navzájom nezávislé a pokiaľ je to možné, mal by sa implementovať viac ako jeden z nich, aby sa zabezpečila hĺbková ochrana. Okrem týchto akcií by mali byť zavedené aj tieto základné opatrenia na zabezpečenie vašich používateľov: 

• prijať dvojfaktorová autentizácie zabrániť a heslo porušenie vášho obchodného práva VPN, e-mailové služby a akékoľvek iné kritické služby, ktoré sú priamo prístupné z internetu
• Prijať a Password Manager na osobné aj profesionálne použitie na zlepšenie hygieny hesiel (pri zachovaní jedinečného hesla s dĺžkou 14 a viac znakov/prístupové frázy)
• Pravidelne zálohujte dáta podľa Metóda zálohovania 3-2-1 na zálohovanie všetkých vašich dôležitých a citlivých údajov
• Školiť zamestnancov o tom, ako ich rozpoznať a vyhnúť sa im Phishing útoky – hlavný spôsob, akým dochádza k kybernetickým útokom
• Testovací zamestnanci na ich školení, aby overili, či dokážu odhaliť a odstrániť hrozby, namiesto toho, aby klikli a podľahli útoku

Ak sa chcete dozvedieť viac o Clickjackingu, pozrite si toto krátke video:

Zdroje: 

OWASP

Zdroje pre vývojárov Mozilly

Zdroj Mozilla X-Frame

SecTheory

Ďalšie čítanie:

PortSwigger – Nájdite zraniteľnosti typu clickjacking

Security Boulevard – Predchádzanie útokom typu clickjacking

Súvisiace podmienky:

Linkjacking

phishing

Zistite, ako môže CyberHoot zabezpečiť vaše podnikanie.

Naplánujte si ukážku