Clickjacking: što je to i kako to možete izbjeći?

Oglas

Kad su u pitanju načini na koji hakeri i distributeri zlonamjernog softvera pristupaju vašem računalu, postoje neke stvari o kojima se puno govori: socijalni inženjering Što je socijalni inženjering? [MakeUseOf objašnjava]Možete instalirati najjači i najskuplji firewall u industriji. Možete educirati zaposlenike o osnovnim sigurnosnim postupcima i važnosti odabira jakih lozinki. Možete čak zaključati poslužiteljsku sobu - ali kako ... Čitaj više , SQL ubrizgavanje Što je SQL ubrizgavanje? [MakeUseOf objašnjava]Svijet internetske sigurnosti zatrpava otvorenim portovima, stražnjim otvorenim otvorima, sigurnosnim rupama, trojancima, crvima, ranjivošću vatrozida i mnoštvom drugih problema koji nas svakodnevno drže na vrhu. Za privatne korisnike, ... Čitaj više , DDoS napadi Što je DDoS napad? [MakeUseOf objašnjava]Izraz DDoS zviždi prošlost kad god se cyber-aktivizam masovno digne na glavu. Ovakvi napadi izazivaju međunarodne naslove zbog više razloga. Pitanja koja ubrzavaju te DDoS napade često su kontroverzna ili izrazito ... Čitaj više

, i tako dalje. Ali o jednom napadu o kojem se ne govori toliko, koliko je gadan kao i drugi clickjacking.

Clickjacking je teško otkriti, može utjecati na gotovo svakoga, a rasprostranjen je u širokom rasponu operativnih sustava i aplikacija. Evo što trebate znati o klikanju, uključujući ono što je to, gdje ćete ga vidjeti i kako se zaštititi od njega.

Što je klikanje?

Kao što ste se možda pokupili iz imena, klikanje je postupak otmice korisnikovog klika na računalo (može se koristiti i za otmicu pritisaka na tipke, ali mnogo je teže "prisluškivanje tipki" reći). Ovaj se proces može odvijati na više načina, ali svi imaju jedno zajedničko: korisnik misli da klikne na jednu stvar, a u stvarnosti klikne na nešto drugo.

Mnogi napadi klikova uključuju prozirno korisničko sučelje smješteno preko drugog sučelja koje korisnik očekuje da vidi (zbog čega je "ispravljanje korisničkog sučelja" drugi naziv za ovu metodu). Zatim, kad taj korisnik pomisli da klikne na nešto, zapravo klikne nešto drugo što ne može vidjeti. Možda mislite da klikate na vezu koja će vas prijaviti za cool bilten Naučite nešto novo s 10 vrijednih biltena putem e-pošteIznenadit ćete se danas kvalitetom biltena. Oni se vraćaju. Pretplatite se na ovih deset fantastičnih biltena i saznajte zašto. Čitaj više , na primjer, kada zapravo kliknete gumb koji pruža cyber-kriminalan pristup vašem računu e-pošte.

Druga vrsta napada mijenja stvarni položaj korisnikova kursora, ali zaslon ostavlja netaknut tako da pokazivač izgleda kao da je na jednom mjestu, ali zapravo na drugom mjestu. Zvuči kao da bi to bila samo velika smetnja, ali može se koristiti za navođenje ljudi na klikanje na stvari koje daju osjetljive informacije 10 informacija koje se koriste za krađu vašeg identitetaKrađa identiteta može biti skupa. Evo 10 informacija koje trebate zaštititi da vaš identitet ne bude ukraden. Čitaj više .

I neki drugi kreativni napadi također padaju pod okrilje klikanja. Na primjer, nedavni napad upotrijebio je dio zlonamjernog softvera za preusmjeravanje korisničkih pretraživanja na Bingu, Googleu i Yahoou na prilagođene (i lažne) stranice s rezultatima koji su bili prepuni Google-AdSense oglasa. Korisnici bi kliknuli na oglase, misleći da su to legitimni rezultati pretraživanja i da će napadači dobiti plaću.

Neki čak uključuju uključivanje napada društvenog inženjeringa u klikanje; na primjer, 2009. godine na Twitteru se vrtio tvit koji je govorio "Ne klikaj" i uključuje vezu. Kad god bi netko kliknuo na vezu, s njegovog računa vršit bi istu stvar. Slične tehnike Pet prijetnji Facebooka koje mogu zaraziti vaše računalo i način na koji rade Čitaj više korišteni su za širenje veza za prikupljanje novca na Facebooku.

Dodijeljivanje klikova nije ograničeno samo na web stranice i aplikacije u kojima korisnici imaju miša; može se dogoditi i na mobilnim uređajima. Jedan od nedavnih primjera je Android. Lockdroid. E, komad Android ransomware Zlonamjerni softver na Androidu: 5 vrsta koje zaista trebate znatiZlonamjerni softver može utjecati na mobilne uređaje i desktop uređaje. Ali ne bojte se: malo znanja i ispravnih mjera predostrožnosti mogu vas zaštititi od prijetnji kao što su otkupnina i prijevara o rastavljanju. Čitaj više koji su koristili klik-klik (ili "touchjacking", ako vam je draže) za dobivanje administrativnih prava na ciljni uređaj. A nedavno smo čuli za Pristupačnost Ranjivost klikanja za Android na Androidu Kako se Android usluge pristupačnosti mogu koristiti za hakiranje telefonaU Androidovom paketu pristupačnosti pronađene su različite sigurnosne ranjivosti. Ali za što se ovaj softver uopće koristi? Čitaj više pametni telefoni i tableti.

Što možete učiniti da spriječite kliktanje

Nažalost, ne možete puno učiniti da spriječite kliktanje, osim ako niste administrator web lokacije. Za upotrebu je najčešće preporučeni način zaštite samog sebe dok pregledavate NoScript, dodatak Firefox koji sprječava učitavanje skripti bez određenog odobrenja vas. NoScript ima neke specifične značajke protiv klika i stvarno je dobar u otkrivanju vrsta skripti koje stvaraju prozirne slojeve na web stranicama.

Bilo koja slična proširenja koja možete koristiti sprečavaju učitavanje skripti ili aplikacija Kontrolirajte svoj web-sadržaj: osnovna proširenja za blokiranje praćenja i skriptiIstina je da uvijek netko ili nešto nadgleda vaše internetske aktivnosti i sadržaje. U konačnici, što manje informacija koje ovim skupinama dopuštamo sigurnije ćemo biti. Čitaj više pružit će i određenu zaštitu.

Najbolja obrana od klik -ckinga, međutim, mora doći od administratora web mjesta. Mnoge su obrane prilično tehničke prirode, a ako želite saznati kako ih točno implementirati, preporučam vam da pogledate Sheta Clickjacking Defense Cheat Sheet iz OWASP-a.

Jedan od najboljih načina za sprečavanje klikanja na vašoj web lokaciji je uključivanje HTTP zaglavlja s opcijama x-frame koji sprečava da se sadržaj vaše web lokacije učita u okvir ( oznaka) ili iframe (

sprečavanje skripta na više mjesta Što je skripta na više mjesta (XSS) i zašto to predstavlja sigurnosnu prijetnjuRanjivosti skripte na različitim web lokacijama danas su najveći sigurnosni problem web stranice. Studije su otkrile da su šokantno česte - prema posljednjem izvješću White Hat Security-a, objavljenom u lipnju, 55% web-lokacija sadrži XSS ranjivosti u 2011. godini ... Čitaj više (XSS) će također pomoći u smanjenju šansi za napadom klikanja na web mjesto. Kako se XSS koristi i za druge napade, ionako je dobra ideja zaštititi se od njega.

Da biste umanjili vjerojatnost napada na klik na vašem mobilnom uređaju, možda biste ga trebali ograničiti sami preuzimajte aplikacije samo iz pouzdanih izvora, poput Apple App Store-a ili Google Play-a Store. Iako ovo ne jamči da ćete biti oslobođeni napada, ove aplikacije znatno manje uključuju vjerojatnost da sadrže zlonamjerni kôd od onih koje ste dobili od izvora treće strane.

Također možete izbjeći upotrebu preglednika koji se nalaze u aplikaciji, jer je to uobičajeno mjesto za napadaje dodirima. Podesite zadano ponašanje za otvaranje veza u svojim aplikacijama da se otvori u pregledniku sustava, umjesto u pregledniku aplikacije, a vi ćete ukloniti još jednu potencijalnu slabost u vašoj obrani.

Prava prijetnja

Kao što smo već spomenuli, klikanje zvuči više kao smetnja nego kao stvarna prijetnja vašoj sigurnosti, ali ako se koristi učinkovito, može pomoći napadačima da ukradu neke vrlo važne informacije ili dobiju pristup vašim mrežnim računima, gdje bi mogli učiniti ozbiljno šteta.

I dok većina obrane mora doći iza kulisa, možete koristiti blokadu skripta proširenja kako biste spriječili većinu ovih napada - ako niste u redu s korištenjem tih vrsta dodataka, kao oni su pomalo kontroverzno AdBlock, NoScript i Ghostery - Trifecta zlaU posljednjih nekoliko mjeseci kontaktirao me dobar broj čitatelja koji su imali problema s preuzimanjem naših vodiča ili zašto ne mogu vidjeti gumbe za prijavu ili komentare koji se ne učitavaju; i u... Čitaj više .

Znate li za neki primjer napada velikih klik-napada, ili ste bili žrtva jednog od tih napada? Koristite li NoScript ili upotrebljavate obranu na vlastitoj web stranici? Podijelite svoja razmišljanja u nastavku!

Kreditna slika: Mozilla.