Clickjacking: differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
| (12 versioni intermedie di 10 utenti non mostrate) | |||
Riga 1:
Il '''clickjacking''' ("rapimento del [[
Oltre al rapimento del clic, possono essere intercettati i tasti premuti, ad esempio quando si inserisce la [[password]] dell'email o del conto bancario. Entrambe queste possibilità (rapimento del clic o dei tasti premuti sulla tastiera) vengono eseguite senza la cognizione dell'utente.
==Funzionamento==
Esistono due tecniche per fare il clickjacking:
La prima è possibile a causa di una caratteristica, apparentemente innocua, di [[HTML]], con cui le [[Pagina web|pagine web]] possono essere usate per compiere azioni non previste. Si basa su [[JavaScript
Esiste però anche un'altra tecnica, chiamata [[Iframe|IFrame]] (Inner Frame), che consiste nel creare una pagina trasparente ed
Un utente cade nella trappola del clickjacking solitamente cliccando su un link. L'utente non è in grado di riconoscere la differenza tra una pagina sana e una pagina ingannevole, perciò può cadere nella trappola senza cognizione delle proprie azioni. Infatti combinando insieme [[CSS|fogli di stile]], pagine trasparenti e box di testo, gli utenti possono essere indotti a credere di inserire informazioni in una normale form compilativa (ad esempio password), quando invece vengono intercettate dagli attaccanti.
Riga 14:
== Esempi ==
Le applicazioni di questa tecnica sono le più varie, possono essere "innocue" oppure anche più pericolose per l'utente che ci casca; quelle per ora conosciute sono le seguenti:
* Portare l'utente ad acquistare un prodotto su [[Amazon.com|Amazon]]
* Attivare microfono e [[webcam]] dell'utente tramite [[Adobe Flash]] (questa situazione dovrebbe essere stata fixata)
* Scaricare e far partire dei [[malware]] sul computer dell'utente
* Far seguire all'utente qualcuno su [[Twitter]]
Riga 24:
== Prevenzione ==
Ci sono delle soluzioni per cercare di limitare questa problematica, possono essere sia [[client]] che server side, ovvero rispettivamente da realizzare dall'utente sul proprio browser che dal proprietario del sito.
=== Client-Side ===
Riga 30:
==== NoScript ====
La protezione contro il clickjacking può essere ottenuta, con un buon grado di sicurezza (secondo quanto riportato ne "Browser Security Handbook" del 2008), installando su [[Mozilla Firefox]] [[NoScript]]. È un prodotto di ClearClick,
==== GuardedID ====
Riga 51:
Questo è un frame introdotto nel 2009 in Internet Explorer. Agisce inserendo nell'[[header]] HTTP X-Frame-Options, che offre una parziale protezione contro il clickjacking, in seguito questa soluzione fu adottata anche dagli altri browser.
L'header stabilisce le impostazioni per i frame, fissando quali sono le fonti dalle quali possono arrivare eventuali pagine esterne. In questo modo si evita che il sito venga
Questa soluzione, X-Frame-Options, nel 2013 è stata pubblicata ufficialmente come RFC 7034, senza però diventare uno standard.
Riga 58:
Questa soluzione rende obsoleta X-Frame-Options ed è preferita dai browser. Sfrutta la direttiva frame-ancestor del 'Content Security Policy' con la quale si può abilitare o disabilitare codice embedded da determinate pagine ostili.
==
* [[Hijacking|HiJacking]]▼
* Alessandro Bottoni, ''[http://punto-informatico.it/2419482/PI/Commenti/clickjacking-tutti-browser-vulnerabili.aspx Clickjacking, tutti i browser vulnerabili]'', Punto-Informatico.it, 29-09-2008 <small>(consultato in data 28-10-2017)</small>
* (EN) OWASP, [[owasp:Clickjacking|Clickjacking]], owasp.org, 25-02-2017 <small>(consultato in data 28-10-2017)</small>
Line 68 ⟶ 65:
* hackerstribe.com, [https://hackerstribe.com/2011/attacco-clickjacking-cosa-devi-sapere/ Attacco ClickJacking: Cosa devi sapere], hackerstribe.com, 3-12-2011 <small>(consultato in data 30-10-2017)</small>
== Voci correlate ==
▲* [[Hijacking|HiJacking]]
{{Portale|Sicurezza informatica|Telematica}}
| |||