Les codeurs conquièrent la sécurité : série Share & Learn - Clickjacking

Susie ouvre son e-mail pour échapper à un mauvais rapport qui doit être envoyé dans deux jours. Elle voit apparaître un lien vers un iPad gratuit dans sa boîte de réception. Après avoir cliqué dessus, elle accède à un site Web avec une grande page de bannière sur laquelle on peut lire : « Cliquez ici pour obtenir votre iPad gratuit ! ». Elle clique sur le bouton mais rien ne semble vraiment se passer. Le problème, c'est qu'il s'est passé quelque chose.

Après être retournée dans sa boîte de réception, elle se rend compte que tous ses e-mails ont été supprimés. Elle n'a même cliqué sur « Supprimer » sur aucun d'entre eux. Qu'est-ce qui se passe ?

Le site de messagerie a été piraté. Le clickjacking incite les utilisateurs à effectuer des actions qu'ils n'avaient pas l'intention d'effectuer, ce qui peut entraîner de graves problèmes.

Voyons maintenant comment fonctionne le clickjacking, pourquoi il est dangereux et ce que les développeurs comme vous peuvent faire pour l'empêcher :

Comprenez le Clickjacking

Clickjacking, également appelée « attaque de correction de l'interface utilisateur », se produit lorsqu'un attaquant utilise plusieurs couches transparentes sur une page Web pour inciter l'utilisateur à cliquer sur un bouton ou un lien sur lequel il n'a pas l'intention de cliquer.

Avez-vous déjà eu un insecte coincé dans votre voiture ? Ils volent contre la fenêtre en essayant furieusement de voler à l'extérieur. L'intention de l'insecte est de voler vers ce qui ressemble à des arbres et à l'air libre, sans se rendre compte de la vitre qui bloque son passage.

La conception du clickjacking est similaire, sauf que l'utilisateur est le bogue et que votre site Web est la vitre qui bloque le passage. L'utilisateur voit ce qu'il veut, comme un iPhone gratuit. L'attaquant place votre site dans un cadre transparent au-dessus de l'annonce gratuite pour iPhone. Lorsque l'utilisateur clique sur le bouton pour remporter le prix prétendument « gratuit », il clique en fait sur un bouton de votre site et effectue une action dont il n'avait pas l'intention.

Pourquoi le clickjacking est dangereux

Que peut faire un attaquant en cas de clickjacking ? Cela dépend en grande partie de la fonctionnalité du site Web en question.

L'attaquant pourrait amener un utilisateur à aimez ou partagez le site de l'attaquant sur les réseaux sociaux. Cela peut être facilement réalisé car de nombreuses personnes restent connectées à leurs comptes de réseaux sociaux pour des raisons de commodité.

Si votre site peut être placé dans un cadre, une opération sensible peut être effectuée en cliquant sur un bouton, ce qui peut servir de vecteur d'attaque. Par exemple, un utilisateur clique pour obtenir un iPad gratuit mais modifie les paramètres du compte sur votre site pour le rendre moins sécurisé. Une attaque de ce type a eu lieu contre le Page des paramètres du plug-in Adobe Flash. Les paramètres peuvent être placés dans un cadre transparent, incitant l'utilisateur à autoriser toute animation Flash à accéder au microphone et à la caméra. Les agresseurs pourraient alors enregistrer la victime, ce qui constitue une atteinte majeure à la vie privée.

Un client de messagerie peut être intégré à un site, obligeant l'utilisateur à supprimer tous les e-mails de sa boîte aux lettres ou à transférer des e-mails vers une adresse e-mail contrôlée par l'attaquant.

En fin de compte, l'utilisateur ne peut pas voir sur quoi il clique, il peut donc être convaincu de cliquer sur n'importe quoi. Qu'il s'agisse d'un partage social ou du téléchargement de logiciels malveillants, les possibilités sont vastes.

Comment vaincre le clickjacking

Le clickjacking peut être évité. Le méthode recommandée pour empêcher le clickjacking, il faut définir un politique de sécurité du contenu, ou CSP, pour votre site. À l'aide de l'en-tête de réponse HTTP « Frame Ancestors », vous pouvez contrôler la manière dont votre site peut être encadré.

• « frame-ancestors none » - Aucun autre site n'est autorisé à encadrer le vôtre. Il s'agit du réglage recommandé.
• « frame ancestors self » : les pages de votre site ne peuvent être encadrées que par d'autres pages de votre site.
• « frame-ancestors self » <uri list="">- Votre site peut être encadré par les sites figurant dans les listes d'URI et aucun autre</uri>.

CSP frame-ancestors n'est actuellement pas pris en charge par tous les principaux navigateurs. Utilisez l'en-tête HTTP « X-Frame-Options » comme option de secours pour ces navigateurs.

• REFUSER - Personne ne peut encadrer votre site. Il s'agit du réglage recommandé
• SAMEORIGIN - Identique à « self » pour CSP. Vous pouvez encadrer votre propre contenu, mais personne d'autre ne le peut.
• ALLOW-FROM <uri>: autorise l'URI spécifié à encadrer votre contenu</uri>.

Ne vous faites pas pirater

Le clickjacking est une attaque intelligente et trompeuse qui peut porter atteinte à votre réputation et entraîner une perte de revenus si votre produit est manipulé par des attaquants. Consultez nos ressources d'apprentissage gratuites pour en savoir plus sur le clickjacking.

Utilisez une politique de sécurité du contenu et un en-tête « X-Frame-Options » pour empêcher les autres d'utiliser votre site de manière malveillante. Ne permettez pas aux attaquants de manipuler vos utilisateurs. Ne vous faites pas pirater.