Che cosa sono gli attacchi di Clickjacking? Suggerimenti per la protezione e la prevenzione

Clickjacking , noto anche con nomi come Attacco di interfaccia utente, UI attacco di rettifica, UI correzione, è una tecnica malevola comune utilizzata dagli aggressori per creare più livelli complicati per indurre un utente a fare clic su un pulsante o collegare su un`altra pagina quando intendevano fare clic su un`altra pagina. Pertanto, l`utente malintenzionato controlla con successo l`utente facendo clic su un collegamento da una fonte esterna, mentre "lo dirotta" dalla pagina originale. Questa tecnica ha usi illimitati quando si tratta dello sfruttamento degli utenti. Ad esempio, un tale attacco può convincere i clienti a inserire i loro dati bancari in una pagina di terze parti che rispecchia quella originale.

Cos`è il Clickjacking

Il clickjacking è un`attività dannosa, in cui i collegamenti malevoli sono nascosti dietro i pulsanti reali cliccabili o collegamenti, facendo in modo che gli utenti attivino un`azione sbagliata con il loro clic.

Un esempio comune e estremamente distruttivo di questa tecnica potrebbe essere quando un utente malintenzionato che crea un sito Web con un pulsante dice " Fai clic qui per inserisci il contest ". Tuttavia, accanto al pulsante, inseriscono un frame quasi invisibile che rimanda a " Elimina tutti i contatti" del tuo account Gmail ". La vittima tenta di fare clic sul pulsante, ma in realtà fa clic sul pulsante invisibile. Quindi, l`attaccante ha "dirottato" il "clic" dell`utente, e da qui il nome di Clickjacking.

Negli ultimi tempi, Clickjacking è diventato popolare con servizi quali Adobe Flash Player e Twitter. Alcuni aggressori hanno modificato le impostazioni del plug-in Adobe Flash. Caricando questa pagina in un iframe invisibile, un utente malintenzionato potrebbe indurre un utente a modificare le impostazioni di sicurezza di Flash, autorizzando qualsiasi animazione Flash a utilizzare il microfono e la videocamera del computer.

Parlando di Twitter, clickjacking è entrato in un worm di Twitter. Questo attacco è stato mirato in modo abbastanza intelligente agli utenti, costringendoli a retwittare un luogo e diffonderlo ampiamente prima che Twitter intervenisse per controllare il virus.

Cos`è il Cursorjacking

Un tipo di Clickjacking opera camuffando il cursore del mouse e convincendo l`utente per sostituire i suoi clic in un`altra posizione sulla stessa pagina. Un caso popolare di Cursorjacking è stato scoperto in Mozilla Firefox su sistemi Mac OS X utilizzando codice Flash, HTML e JavaScript che può anche portare allo spionaggio della webcam e all`esecuzione di un componente dannoso che consente l`esecuzione di malware sul computer dell`utente intrappolato.

Che cosa è il dirottamento

Oltre al movimento a cursore, sono stati segnalati anche casi di trasferimento del tipo . Diventato popolare dopo l`avvento di Facebook nella cultura pop, questo termine autoesplicativo significa dirottare nella persona il piacere di una pagina di Facebook di cui non si dovrebbe sapere originariamente.

Suggerimenti per la protezione da clickjacking

Opzioni X-Frame

Questa soluzione di Microsoft è una delle più efficaci contro gli attacchi di clickjacking sul tuo computer. Puoi includere l`intestazione HTTP X-Frame-Options in tutte le tue pagine web. Ciò impedirà il posizionamento del tuo sito all`interno di una cornice. X-Frame è supportato dalle ultime versioni della maggior parte dei browser, tra cui Safari, Chrome, IE, ma potrebbe avere alcuni problemi con Firefox. La grande parte dell`utilizzo di X-Frame è che è estremamente semplice, ma richiede l`accesso alla configurazione del server Web e al linguaggio di scripting sul server.

Sposta elementi sulle tue pagine

l`autore dell`attacco tenta di piazzare clickjacking sulle tue pagine web non è a conoscenza delle posizioni attuali degli elementi dalla tua parte. Può posizionare solo i suoi elementi infetti in base alle impostazioni predefinite. È una buona idea provare e spostare elementi sulla tua pagina; per esempio, gli aggressori potrebbero voler mirare al pulsante Mi Piace di Facebook. Spostando quell`elemento in un`altra posizione, puoi facilmente rilevare quando si verifica un incidente del genere. l`unico problema con questa soluzione è che è estremamente difficile da eseguire per gli utenti normali.

URL una tantum

Questo è un metodo piuttosto avanzato di protezione contro i clickjacker, che potrebbero essere abbastanza esperti da superare i filtri di base. Puoi rendere l`attacco molto più difficile se includi un codice monouso negli URL delle pagine cruciali. Questo è simile a nonces utilizzati per prevenire CSRF ma in unico nel modo in cui essa comprende nonces negli URL di indirizzare le pagine, non in forme all`interno di quelle pagine.

Framebuster JavaScript

Un altro modo di sfuggire gli artigli di un attacco di clickjacking è controllando il codice Javascript per rilevare. Questo processo è chiamato frugusting

Suggerimenti per la prevenzione del clickjacking

Valutazione della protezione e-mail

l`installazione e il controllo di un filtro anti-spam efficace è un modo per rilevare efficacemente qualsiasi tipo di attacco sui tuoi account. Gli attacchi di tipo "Clickjacking" di solito iniziano con l`inganno di un utente attraverso la posta elettronica per visitare un sito malevolo. Questo viene fatto implementando e-mail forgiate o appositamente predisposte che sembrano autentiche. Blocco email illegittimi riduce un potenziale attacco per clickjacking e una sfilza di altri attacchi pure.

Uso Web Application Firewalls

I firewall di applicazioni Web di WEFs sono un aspetto importante della sicurezza nel caso di aziende che hanno la maggior parte dei loro dati su internet. Alcune di queste aziende tendono a ignorare la necessità di uno e finiscono per essere attaccate con massicci incidenti di clickjacking. Dati recenti hanno dimostrato che quasi il 70% di tutte le PMI è stato compromesso in qualche modo nell`ultimo decennio. Si può prendere un carico enorme fuori il vostro piatto, riduce notevolmente i rischi e costa meno che la perdita si potrebbe affrontare.

Purtroppo, non esiste una soluzione perfetta da prevenire clickjacking, come attaccanti finiranno per trovare modi per ottenere attraverso la maggior parte delle tecniche. Nonostante ciò, i rimedi più efficaci contro tali attacchi saranno X-Frame e FrameBuster Javascript.

Ora leggi : quali sono le frodi dei clic e le frodi pubblicitarie online?