Clickjacking: differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
Nessun oggetto della modifica |
|||
| (46 versioni intermedie di 38 utenti non mostrate) | |||
Riga 1:
Il '''clickjacking''' ("
Oltre al rapimento del clic, possono essere intercettati i tasti premuti, ad esempio quando si inserisce la [[password]] dell'email o del conto bancario. Entrambe queste possibilità (rapimento del clic o dei tasti premuti sulla tastiera) vengono eseguite senza la cognizione dell'utente.
==Funzionamento==
Esistono due tecniche per fare il clickjacking:
La prima è possibile a causa di una caratteristica, apparentemente innocua, di [[HTML]], con cui le [[Pagina web|pagine web]] possono essere usate per compiere azioni non previste. Si basa su [[JavaScript]], infatti nel momento del clic dell'utente c'è un gestore dell'evento che fa eseguire una determinata azione, agli attaccanti basta passare come parametri quello che gli serve.
Esiste però anche un'altra tecnica, chiamata [[Iframe|IFrame]] (Inner Frame), che consiste nel creare una pagina trasparente ed appoggiarla sopra alla pagina reale. In questo modo l'utente crede di consultare una normale pagina con i suoi relativi bottoni, mentre in realtà sta navigando sulla pagina invisibile.
== Voci correlate ==▼
* [[Hijacking]]▼
Un utente cade nella trappola del clickjacking solitamente cliccando su un link. L'utente non è in grado di riconoscere la differenza tra una pagina sana e una pagina ingannevole, perciò può cadere nella trappola senza cognizione delle proprie azioni. Infatti combinando insieme [[CSS|fogli di stile]], pagine trasparenti e box di testo, gli utenti possono essere indotti a credere di inserire informazioni in una normale form compilativa (ad esempio password), quando invece vengono intercettate dagli attaccanti.
Alessandro Bottoni ''[http://punto-informatico.it/2419482/PI/Commenti/clickjacking-tutti-browser-vulnerabili.aspx Clickjacking, tutti i browser vulnerabili]'', Punto-Informatico.it, 29-09-2008 <small>(consultato in data 05-02-2008)</small>▼
==
Le applicazioni di questa tecnica sono le più varie, possono essere "innocue" oppure anche più pericolose per l'utente che ci casca; quelle per ora conosciute sono le seguenti:
* Portare l'utente ad acquistare un prodotto su [[Amazon.com|Amazon]]; per questo utilizzo però l'attaccante ha un solo clic a disposizione, quindi confida che l'utente sia già loggato e che abbia attivato lo 1-clic ordering (la possibilità di ordinare con un clic)
* Attivare microfono e [[webcam]] dell'utente tramite [[Adobe Flash]] (questa situazione dovrebbe essere stata fixata)
* Scaricare e far partire dei [[malware]] sul computer dell'utente
* Far seguire all'utente qualcuno su [[Twitter]]
* Condividere link su [[Facebook]]
* Mettere "mi piace" su Facebook a pagine o link (questa tecnica è stata chiamata LikeJacking)
* Dirigere l'utente su siti che forniscano pubblicità e quindi guadagno all'attaccante
* Far partire video su [[YouTube]] per guadagnare views
== Prevenzione ==
Ci sono delle soluzioni per cercare di limitare questa problematica, possono essere sia [[client]] che server side, ovvero rispettivamente da realizzare dall'utente sul proprio browser che dal proprietario del sito.
=== Client-Side ===
Queste sono le soluzioni che può adottare l'utente:
==== NoScript ====
La protezione contro il clickjacking può essere ottenuta, con un buon grado di sicurezza (secondo quanto riportato ne "Browser Security Handbook" del 2008), installando su [[Mozilla Firefox]] [[NoScript]]. È un prodotto di ClearClick, pubblicato il 8 Ottobre 2008, che aiuta gli utenti prevenendo il clic su eventuali pagine trasparenti.
==== GuardedID ====
Questo prodotto include la protezione contro il clickjacking su [[Internet Explorer]] e Firefox, forzando le pagine trasparenti a diventare visibili. In questo modo l'utente può avere la visione completa della pagina ed evitare di premere su bottoni errati.
==== Gazzelle ====
Gazzelle è un prodotto di Microsoft Research per IE, che usa una tecnica simile al modello di sicurezza usato per i sistemi operativi.
Una pagina con un'origine diversa da quella corretta può figurare i propri contenuti dinamici soltanto se questi sono opachi.
=== Server-Side ===
Queste sono le soluzioni che può adottare il proprietario del sito:
==== Framekiller ====
I proprietari del sito possono inserire un framekiller JavaScript nelle pagine in cui non vogliono che vengano inserite pagine da fonti estranee. Essendo una protezione basata su JavaScript non è sempre affidabile. Ad esempio su Internet Explorer questa soluzione può essere aggirata inserendo la pagina-bersaglio all'interno di elemento del tipo:<syntaxhighlight lang="html">
<IFRAME SECURITY=restricted>
</syntaxhighlight>
==== X-Frame-Options ====
Questo è un frame introdotto nel 2009 in Internet Explorer. Agisce inserendo nell'[[header]] HTTP X-Frame-Options, che offre una parziale protezione contro il clickjacking, in seguito questa soluzione fu adottata anche dagli altri browser.
L'header stabilisce le impostazioni per i frame, fissando quali sono le fonti dalle quali possono arrivare eventuali pagine esterne. In questo modo si evita che il sito venga attaccato con l'inserimento di frame dalle origini non consentite dall'header.
Questa soluzione, X-Frame-Options, nel 2013 è stata pubblicata ufficialmente come RFC 7034, senza però diventare uno standard.
==== Content Security Policy ====
Questa soluzione rende obsoleta X-Frame-Options ed è preferita dai browser. Sfrutta la direttiva frame-ancestor del 'Content Security Policy' con la quale si può abilitare o disabilitare codice embedded da determinate pagine ostili.
== Bibliografia ==
▲* Alessandro Bottoni, ''[http://punto-informatico.it/2419482/PI/Commenti/clickjacking-tutti-browser-vulnerabili.aspx Clickjacking, tutti i browser vulnerabili]'', Punto-Informatico.it, 29-09-2008 <small>(consultato in data
* (EN) OWASP, [[owasp:Clickjacking|Clickjacking]], owasp.org, 25-02-2017 <small>(consultato in data 28-10-2017)</small>
* (EN) Margaret Rouse, [http://whatis.techtarget.com/definition/clickjacking-user-interface-or-UI-redressing-and-IFRAME-overlay Clickjacking], whatis.techtarget.com, September 2015 <small>(consultato in data 30-10-2017)</small>
* (EN) Caleb Queern, [https://www.lookingglasscyber.com/blog/threat-intelligence-insights/x-frame-options-clickjacking/ What Is Clickjacking and How Can You Prevent It?], lookingglasscyber.com <small>(consultato in data 30-10-2017)</small>
* hackerstribe.com, [https://hackerstribe.com/2011/attacco-clickjacking-cosa-devi-sapere/ Attacco ClickJacking: Cosa devi sapere], hackerstribe.com, 3-12-2011 <small>(consultato in data 30-10-2017)</small>
▲== Voci correlate ==
▲* [[Hijacking|HiJacking]]
{{Portale|Sicurezza informatica|Telematica}}
[[Categoria:Cultura di Internet]]
[[Categoria:Tecniche di attacco informatico]]
[[Categoria:Terminologia informatica]]
[[Categoria:
| |||