Clickjacking: kaj je to in kako se mu lahko izognete?

Oglas

Ko gre za načine, kako hekerji in distributerji zlonamerne programske opreme dostopajo do vašega računalnika, se o tem veliko govori. socialni inženiring Kaj je socialni inženiring? [MakeUseOf pojasnjuje]Namestite lahko najmočnejši in najdražji požarni zid v industriji. Zaposlite lahko zaposlene o osnovnih varnostnih postopkih in pomembnosti izbire močnih gesel. Lahko celo zaklenete strežniško sobo - ampak kako ... Preberi več , Injekcija SQL Kaj je injekcija SQL? [MakeUseOf pojasnjuje]Svet internetne varnosti je zasut z odprtimi pristanišči, na prostem, varnostnimi luknjami, trojanci, črvi, ranljivostmi požarnega zidu in številnimi drugimi težavami, ki nas vsakodnevno spremljajo. Za zasebne uporabnike ... Preberi več , DDoS napadi Kaj je DDoS Attack? [MakeUseOf pojasnjuje]Izraz DDoS žvižga preteklost, kadar se kibernetski aktivizem množično dvigne. Tovrstni napadi so mednarodni naslovi zaradi več razlogov. Vprašanja, ki hitro začnejo te DDoS napade, so pogosto sporna ali zelo ... Preberi več

, in tako naprej. Toda en napad, o katerem se ne govori toliko, kot je zloben kot drugi klikanje.

Clickjacking je težko zaznati, lahko prizadene skoraj vsakogar in je razširjen po številnih operacijskih sistemih in aplikacijah. Tukaj je tisto, kar morate vedeti o pretakanju klikov, vključno s tem, kaj je, kje ga boste videli in kako se zaščititi pred njim.

Kaj je klikanje?

Kot ste se morda zbrali iz imena, je klikanje na klic postopek ugrabitve uporabnikovega klika na računalnik (uporablja se lahko tudi za ugrabljanje tipk, vendar je "pritisk na tipke" veliko težje recimo). Ta postopek se lahko odvija na več načinov, vendar imajo vsi eno skupno stvar: uporabnik misli, da klikne eno stvar, v resnici pa klikne nekaj drugega.

Številni napadi na klikanje vključujejo pregleden uporabniški vmesnik, nameščen nad drugim vmesnikom, ki ga uporabnik pričakuje (zato je "popravljanje uporabniškega vmesnika" drugo ime te metode). Potem, ko uporabnik pomisli, da nekaj klikne, dejansko klikne nekaj drugega, česar ne more videti. Morda boste mislili, da klikate povezavo, na katero se boste prijavili kul glasilo Naučite se nekaj novega z 10 vrednimi e-novicamiNad kakovostjo glasila boste danes presenečeni. Vrnejo se. Naročite se na teh deset fantastičnih novic in ugotovite, zakaj. Preberi več , ko na primer dejansko kliknete gumb, ki omogoča kiberkriminatoren dostop do vašega e-poštnega računa.

Druga vrsta napada spremeni dejanski položaj uporabnikovega kurzorja, vendar zaslon pusti nedotaknjen, tako da je kazalec videti, kot da je na enem mestu, dejansko pa na drugem. Zveni, kot da bi bilo to samo veliko nadlego, vendar ga lahko uporabnik prisili, da kliknejo stvari, ki jih oddajo občutljive informacije 10 kosov informacij, ki se uporabljajo za krajo vaše identiteteKraja identitete je lahko draga. Tu je 10 informacij, ki jih morate zaščititi, da vaša identiteta ne bo ukradena. Preberi več .

Tudi nekateri drugi ustvarjalni napadi spadajo pod okrilje klikanja. Na primer, nedavni napad je uporabil del zlonamerne programske opreme za preusmeritev iskanj uporabnikov v Bingu, Googlu in Yahooju na prilagojene (in lažne) strani z rezultati, ki so bile polne oglasov, ki jih poganja Google AdSense. Uporabniki bi kliknili oglase in mislili, da so legitimni rezultati iskanja, napadalci pa bodo plačani.

Nekateri celo vključujejo napade družbenega inženiringa v klikanje; na primer leta 2009 se je na Twitterju vrtel tvit, ki je napisal "Ne klikni" in je vključil povezavo. Kadarkoli bi kdo kliknil povezavo, bi z njegovega računa tvitnil isto stvar. Podobne tehnike Pet Facebook groženj, ki lahko okužijo vaš računalnik in kako delujejo Preberi več so bili uporabljeni za širjenje povezav za ustvarjanje denarja na Facebooku.

Klikanje ni samo omejeno na spletna mesta in aplikacije, v katerih imajo uporabniki miško; zgodi se lahko tudi na mobilnih napravah. Zadnji primer je Android. Lockdroid. E, kos Odkupna programska oprema za Android Zlonamerna programska oprema v sistemu Android: 5 vrst, ki jih resnično morate vedetiZlonamerna programska oprema lahko vpliva na mobilne in namizne naprave. Toda ne bojte se: malo znanja in pravih varnostnih ukrepov vas lahko zaščiti pred grožnjami, kot so odkupna programska oprema in goljufije. Preberi več ki je uporabil klikanje (ali "touchjacking", če vam je ljubše) za pridobitev upravnih pravic za ciljno napravo. In pred kratkim smo slišali za Dostopnost Ranljivost Clickjacking v Androidu Kako lahko storitve dostopnosti za Android uporabljate za krajo telefonaV Androidovem paketu dostopnosti so bile najdene različne ranljivosti varnosti. Toda za kaj se ta programska oprema sploh uporablja? Preberi več pametni telefoni in tablični računalniki.

Kaj lahko storite, da preprečite klikanje

Na žalost ne morete veliko storiti, da preprečite klikanje, razen če niste skrbnik spletnega mesta. Danes je najpogosteje priporočljiv način zaščite sebe med brskanjem NoScript, dodatek za Firefox, ki preprečuje nalaganje skriptov brez posebnega pooblastila ti. NoScript ima nekatere posebne funkcije, ki preprečujejo klikanje, in je zelo dober pri zaznavanju vrst skriptov, ki ustvarjajo pregledne prekrivke na spletnih mestih.

Vse podobne razširitve, ki jih lahko uporabite prepreči nalaganje skriptov ali aplikacij Nadzor nad svojo spletno vsebino: bistvene razširitve za blokiranje sledenja in skriptovResnica je, da vedno nekdo ali nekaj spremlja vašo internetno aktivnost in vsebino. Konec koncev, manj informacij, ki jih dajemo tem skupinam, bodo varnejše. Preberi več bo zagotovil tudi nekaj zaščite.

Najboljša obramba pred klikanjem pa mora prihajati s strani skrbnikov spletnega mesta. Številne obrambe so precej tehnične, in če želite izvedeti, kako natančno jih izvajati, priporočam, da preverite obrazec Clickjacking Defense Cheat Sheet iz OWASP.

Eden najboljših načinov preprečevanja klikiranja na vašem spletnem mestu je vključitev glave HTTP z možnostmi x-frame, ki preprečuje, da se vsebina vašega spletnega mesta naloži v okvir ( oznaka) ali iframe (

Preprečevanje skripta na več mestih Kaj je skriptno skripta (XSS) in zakaj je grožnja varnostiRanljivosti medkriptnih skriptov so največja varnostna težava spletnih strani danes. Študije so pokazale, da so šokantno pogoste - 55% spletnih mest je vsebovalo ranljivosti XSS v letu 2011, kaže najnovejše poročilo White Hat Security, objavljeno junija ... Preberi več (XSS) bo prav tako pomagal zmanjšati možnosti napada na klik na spletno mesto. Ker se XSS uporablja tudi za druge napade, se je kljub temu dobro zaščititi pred njim.

Da bi zmanjšali verjetnost napada na klik na vašo mobilno napravo, boste morda želeli omejiti sami nalagate samo aplikacije iz zaupanja vrednih virov, kot sta Apple App Store ali Google Play Trgovina. Čeprav to ni zagotovilo, da ne boste imeli napadov, je verjetno, da te aplikacije vključujejo zlonamerno kodo od tistih, ki jih dobite od drugih ponudnikov.

Izognite se lahko tudi uporabi brskalnikov v aplikacijah, saj je to običajno mesto napadov z dotikom. Nastavite privzeto vedenje za odpiranje povezav v svojih aplikacijah, da se bo odprlo v sistemskem brskalniku namesto v brskalniku v aplikaciji in tako boste odpravili še eno potencialno slabost vaše obrambe.

Prava grožnja

Kot smo že omenili, klikanje zveni bolj kot neprijetno kot resna grožnja vaši varnosti, če pa se uporablja učinkovito, napadalci lahko pomagajo ukrasti nekaj zelo pomembnih informacij ali pridobiti dostop do vaših spletnih računov, kjer bi lahko bili resni škoda.

In čeprav mora večina obrambe prihajati izza kulis, lahko uporabite blokado skript razširitve, da preprečite večino teh napadov - če niste v redu z uporabo teh vrst dodatkov, kot so nekoliko sporno AdBlock, NoScript & Ghostery - Trifecta zlaV zadnjih nekaj mesecih me je kontaktiralo lepo število bralcev, ki so imeli težave pri prenosu naših vodnikov ali zakaj ne vidijo, da se prijavni gumbi ali komentarji ne nalagajo; in v ... Preberi več .

Ali poznate primere obsežnih napadov s klikanjem ali ste bili žrtev enega od teh napadov? Ali na svojem spletnem mestu uporabljate NoScript ali uporabljate zaščito? Delite svoje misli spodaj!

Kreditna slika: Mozilla.