Coders Conquer Security: Serie de aprendizaje y difusión - Clickjacking

Susie abre su correo electrónico para distraerse de un informe pesado que debe entregar en dos días. Ve un enlace para obtener un iPad gratis en su bandeja de entrada. Tras hacer clic, llega a un sitio web con un banner grande que dice: "¡Haz clic aquí para obtener tu iPad gratis!". Pulsa el botón, pero parece que no ocurre nada. El problema es que sí ocurrió algo.

Al volver a su bandeja de entrada, se da cuenta de que todos sus correos han sido eliminados. Ni siquiera hizo clic en "eliminar" en ninguno de ellos. ¿Qué está pasando?

El sitio de correo electrónico fue víctima de clickjacking. El clickjacking engaña a los usuarios para que realicen acciones que no tenían intención de ejecutar, y puede derivar en problemas graves.

Echemos un vistazo a cómo funciona el clickjacking, por qué es peligroso y qué pueden hacer los desarrolladores como tú para prevenirlo:

Entender el clickjacking

El clickjacking, también conocido como "ataque de rediseño de interfaz" (UI redressing), ocurre cuando un atacante utiliza varias capas transparentes en una página web para engañar al usuario y que haga clic en un botón o enlace que no tenía intención de pulsar.

¿Alguna vez has visto un insecto atrapado en tu coche? Vuelan furiosamente contra la ventana intentando salir. La intención del insecto es volar hacia lo que parecen árboles y aire libre, sin darse cuenta del cristal que bloquea su camino.

El clickjacking tiene un diseño similar, solo que el usuario es el insecto y tu sitio web es el cristal que bloquea el paso. El usuario ve algo que desea, como un iPhone gratis. El atacante coloca tu sitio dentro de un marco transparente sobre el anuncio del iPhone gratis. Cuando el usuario hace clic en el botón para obtener el supuesto premio "gratis", en realidad está haciendo clic en un botón de tu sitio, realizando una acción que no pretendía.

Por qué el clickjacking es peligroso

¿Qué puede hacer un atacante con el clickjacking? Depende en gran medida de la funcionalidad del sitio web en cuestión.

El atacante podría lograr que un usuario haga clic en "me gusta" o comparta el sitio del atacante en redes sociales. Esto es fácil de lograr, ya que muchas personas permanecen conectadas a sus cuentas de redes sociales por comodidad.

Si tu sitio puede colocarse en un marco, se puede completar una operación sensible haciendo clic en un botón, lo que puede actuar como vector de ataque. Por ejemplo, un usuario hace clic para obtener un iPad gratis, pero en su lugar cambia la configuración de su cuenta en tu sitio para hacerla menos segura. Un ataque de este tipo ocurrió contra la página de configuración del plugin de Adobe Flash. La configuración podía colocarse en un marco transparente, engañando al usuario para que permitiera que cualquier animación Flash accediera al micrófono y a la cámara. Los atacantes podían entonces grabar a la víctima, lo que supone una grave invasión de la privacidad.

Un cliente de correo electrónico podría ser enmarcado en un sitio, provocando que el usuario elimine todos los correos de su bandeja de entrada o los reenvíe a una dirección controlada por el atacante.

En resumen: el usuario no puede ver lo que está pulsando, por lo que se le puede convencer de hacer clic en cualquier cosa. Ya sea compartir algo en redes sociales o descargar malware, las posibilidades son enormes.

Cómo derrotar al clickjacking

El clickjacking se puede prevenir. La forma recomendada para evitarlo es definir una política de seguridad de contenido, o CSP, para tu sitio. Mediante el uso del encabezado de respuesta HTTP "frame-ancestors", puedes controlar cómo se puede enmarcar tu sitio.

• "frame-ancestors none": ningún otro sitio tiene permitido enmarcar el tuyo. Esta es la configuración recomendada.
• "frame-ancestors self": las páginas de tu sitio solo pueden ser enmarcadas por otras páginas dentro de tu propio sitio.
• "frame-ancestors self <uri list="">: tu sitio puede ser enmarcado por los sitios incluidos en la lista de URI y por ningún otro.</uri>

La directiva CSP frame-ancestors no es compatible con todos los navegadores principales actualmente. Utilice la cabecera HTTP "X-Frame-Options" como alternativa para dichos navegadores.

• DENY - Nadie puede incluir su sitio en un marco. Esta es la configuración recomendada.
• SAMEORIGIN - Igual que "self" para CSP. Puede incluir su propio contenido en un marco, pero nadie más puede hacerlo.
• ALLOW-FROM <uri> - Permite que la URI especificada incluya su contenido en un marco.</uri>

Evite el secuestro de clics (clickjacking)

El clickjacking es un ataque ingenioso y engañoso que puede dañar su reputación y provocar pérdidas económicas si los atacantes manipulan su producto. Consulte nuestros recursos de aprendizaje gratuitos para obtener más información sobre el clickjacking.

Utilice una política de seguridad de contenido (CSP) y la cabecera "X-Frame-Options" para evitar que otros utilicen su sitio de forma malintencionada. No permita que los atacantes manipulen a sus usuarios. Evite el clickjacking.