Coders Conquer Security: Share & Learn-Reihe – Clickjacking

Susie öffnet ihre E-Mails, um einem unangenehmen Bericht zu entfliehen, der in zwei Tagen fällig ist. Sie sieht einen Link für ein kostenloses iPad in ihrem Posteingang. Nachdem sie darauf geklickt hat, gelangt sie auf eine Website mit einem großen Banner: „Hier klicken für Ihr kostenloses iPad!“. Sie klickt auf den Button, aber es scheint nichts zu passieren. Das Problem ist: Es ist sehr wohl etwas passiert.

Nachdem sie zu ihrem Posteingang zurückgekehrt ist, stellt sie fest, dass alle ihre E-Mails gelöscht wurden. Sie hat bei keiner davon auf „Löschen“ geklickt. Was ist da los?

Die E-Mail-Seite war Opfer von Clickjacking. Clickjacking verleitet Benutzer dazu, Aktionen auszuführen, die sie gar nicht beabsichtigt haben, und kann zu ernsthaften Problemen führen.

Schauen wir uns nun an, wie Clickjacking funktioniert, warum es gefährlich ist und was Entwickler wie Sie tun können, um es zu verhindern:

Clickjacking verstehen

Clickjacking, auch als „UI-Redressing-Angriff“ bezeichnet, tritt auf, wenn ein Angreifer mehrere transparente Ebenen auf einer Webseite verwendet, um den Benutzer dazu zu bringen, auf einen Button oder Link zu klicken, den er eigentlich gar nicht anklicken wollte.

Hatten Sie schon einmal ein Insekt im Auto? Sie fliegen wild gegen die Scheibe und versuchen verzweifelt, nach draußen zu gelangen. Die Absicht des Insekts ist es, zu den Bäumen und der offenen Luft zu fliegen, ohne zu bemerken, dass das Glas den Weg versperrt.

Clickjacking funktioniert ähnlich, nur dass der Benutzer das Insekt ist und Ihre Website das Glas, das den Weg versperrt. Der Benutzer sieht etwas, das er haben möchte, zum Beispiel ein kostenloses iPhone. Der Angreifer platziert Ihre Website in einem transparenten Frame über der Anzeige für das kostenlose iPhone. Wenn der Benutzer auf den Button klickt, um den angeblich „kostenlosen“ Preis zu erhalten, klickt er in Wirklichkeit auf einen Button auf Ihrer Website und führt eine Aktion aus, die er gar nicht beabsichtigt hat.

Warum Clickjacking gefährlich ist

Was kann ein Angreifer mit Clickjacking anstellen? Das hängt weitgehend von der Funktionalität der jeweiligen Website ab.

Der Angreifer könnte einen Benutzer dazu bringen, die Seite des Angreifers in sozialen Medien zu liken oder zu teilen. Dies lässt sich leicht bewerkstelligen, da viele Menschen aus Bequemlichkeit dauerhaft in ihren Social-Media-Konten eingeloggt bleiben.

Wenn Ihre Website in einem Frame platziert werden kann, lässt sich durch einen Klick auf einen Button ein sensibler Vorgang auslösen, was als Angriffsvektor dienen kann. Ein Benutzer klickt beispielsweise, um ein kostenloses iPad zu erhalten, ändert aber stattdessen Kontoeinstellungen auf Ihrer Website, wodurch das Konto weniger sicher wird. Ein Angriff dieser Art ereignete sich auf der Einstellungsseite des Adobe Flash-Plugins. Die Einstellungen konnten in einem transparenten Frame platziert werden, wodurch der Benutzer dazu verleitet wurde, jeder Flash-Animation Zugriff auf Mikrofon und Kamera zu gewähren. Angreifer konnten das Opfer dann aufzeichnen – ein schwerwiegender Eingriff in die Privatsphäre.

Ein E-Mail-Client könnte in eine Website eingebettet werden, wodurch der Benutzer dazu gebracht wird, alle E-Mails in seinem Postfach zu löschen oder an eine vom Angreifer kontrollierte E-Mail-Adresse weiterzuleiten.

Das Fazit lautet: Der Benutzer kann nicht sehen, worauf er klickt, daher kann er dazu überredet werden, auf alles zu klicken. Ob es sich um ein Social-Media-Share oder den Download von Malware handelt, die Möglichkeiten sind vielfältig.

Wie man Clickjacking besiegt

Clickjacking kann verhindert werden. Der empfohlene Weg, um Clickjacking zu verhindern, ist die Definition einer Content Security Policy, kurz CSP, für Ihre Website. Mit dem HTTP-Antwort-Header „frame-ancestors“ können Sie steuern, wie Ihre Website eingebettet werden darf.

• „frame-ancestors none“ – Keine andere Website darf Ihre Seite einbetten. Dies ist die empfohlene Einstellung.
• „frame-ancestors self“ – Seiten Ihrer Website dürfen nur von anderen Seiten innerhalb Ihrer Website eingebettet werden.
• „frame-ancestors self <uri list=""> – Ihre Website darf nur von den in der URI-Liste aufgeführten Seiten eingebettet werden und von keinen anderen.</uri>

CSP frame-ancestors wird derzeit nicht von allen gängigen Browsern unterstützt. Verwenden Sie den HTTP-Header "X-Frame-Options" als Fallback-Option für diese Browser.

• DENY – Niemand kann Ihre Website in einen Frame einbetten. Dies ist die empfohlene Einstellung.
• SAMEORIGIN – Entspricht "self" bei CSP. Sie können Ihre eigenen Inhalte in Frames einbetten, andere jedoch nicht.
• ALLOW-FROM <uri> – Erlaubt der angegebenen URI, Ihre Inhalte in einen Frame einzubetten.</uri>

Schützen Sie sich vor Clickjacking

Clickjacking ist eine raffinierte, täuschende Angriffsmethode, die zu Reputationsschäden und Umsatzeinbußen führen kann, wenn Ihr Produkt von Angreifern manipuliert wird. Nutzen Sie unsere kostenlosen Lernressourcen, um mehr über Clickjacking zu erfahren.

Verwenden Sie eine Content Security Policy und den "X-Frame-Options"-Header, um zu verhindern, dass Ihre Website missbräuchlich verwendet wird. Lassen Sie nicht zu, dass Angreifer Ihre Nutzer manipulieren. Schützen Sie sich vor Clickjacking.