Coders Conquer Security : Série Partage & Apprentissage - Clickjacking

Susie ouvre ses e-mails pour échapper à un rapport pénible à rendre dans deux jours. Elle voit apparaître dans sa boîte de réception un lien pour un iPad gratuit. Après avoir cliqué dessus, elle arrive sur un site web avec une grande bannière indiquant : « Cliquez ici pour obtenir votre iPad gratuit ! ». Elle clique sur le bouton, mais rien ne semble se passer. Le problème, c'est qu'il s'est bien passé quelque chose.

En revenant à sa boîte de réception, elle réalise que tous ses e-mails ont été supprimés. Elle n'a pourtant cliqué sur « supprimer » pour aucun d'entre eux. Que se passe-t-il ?

Le site de messagerie a été victime de clickjacking. Le clickjacking trompe les utilisateurs pour les pousser à effectuer des actions qu'ils n'avaient pas l'intention de réaliser, ce qui peut entraîner de graves problèmes.

Examinons maintenant le fonctionnement du clickjacking, les raisons pour lesquelles il est dangereux et ce que les développeurs comme vous peuvent faire pour le prévenir :

Comprendre le clickjacking

Le clickjacking, également appelé « attaque par redressement d'interface » (UI redressing), se produit lorsqu'un attaquant utilise plusieurs couches transparentes sur une page web pour inciter l'utilisateur à cliquer sur un bouton ou un lien sur lequel il n'avait pas l'intention de cliquer.

Avez-vous déjà vu un insecte coincé dans votre voiture ? Il vole frénétiquement contre la vitre pour essayer de sortir. L'insecte a l'intention de voler vers ce qui ressemble à des arbres et au grand air, ignorant la vitre qui bloque son chemin.

Le clickjacking repose sur un principe similaire, sauf que l'utilisateur est l'insecte et que votre site web est la vitre qui bloque le passage. L'utilisateur voit quelque chose qu'il désire, comme un iPhone gratuit. L'attaquant place votre site dans un cadre transparent par-dessus la publicité pour l'iPhone gratuit. Lorsque l'utilisateur clique sur le bouton pour obtenir le prétendu « prix gratuit », il clique en réalité sur un bouton de votre site, effectuant ainsi une action qu'il n'avait pas prévue.

Pourquoi le clickjacking est-il dangereux ?

Que peut faire un attaquant avec le clickjacking ? Cela dépend en grande partie des fonctionnalités du site web en question.

L'attaquant pourrait amener un utilisateur à aimer ou partager le site de l'attaquant sur les réseaux sociaux. Cela est facile à réaliser car beaucoup de personnes restent connectées à leurs comptes de réseaux sociaux par souci de commodité.

Si votre site peut être placé dans un cadre, une opération sensible peut être effectuée par un simple clic, ce qui peut servir de vecteur d'attaque. Par exemple, un utilisateur clique pour obtenir un iPad gratuit mais modifie à la place les paramètres de son compte sur votre site pour le rendre moins sécurisé. Une attaque de ce type a visé la page des paramètres du plugin Adobe Flash. Les paramètres pouvaient être placés dans un cadre transparent, incitant l'utilisateur à autoriser n'importe quelle animation Flash à accéder au microphone et à la caméra. Les attaquants pouvaient alors enregistrer la victime, ce qui constitue une atteinte majeure à la vie privée.

Un client de messagerie pourrait être intégré dans un site, amenant l'utilisateur à supprimer tous ses e-mails ou à les transférer vers une adresse e-mail contrôlée par l'attaquant.

En résumé : l'utilisateur ne peut pas voir ce sur quoi il clique, il peut donc être convaincu de cliquer sur n'importe quoi. Qu'il s'agisse d'un partage social ou du téléchargement d'un logiciel malveillant, les possibilités sont vastes.

Comment contrer le clickjacking

Le clickjacking peut être évité. La méthode recommandée pour prévenir le clickjacking consiste à définir une politique de sécurité du contenu, ou CSP, pour votre site. En utilisant l'en-tête de réponse HTTP « frame-ancestors », vous pouvez contrôler la manière dont votre site peut être intégré dans un cadre.

• « frame-ancestors none » - Aucun autre site n'est autorisé à intégrer le vôtre. C'est le paramètre recommandé.
• « frame-ancestors self » - Les pages de votre site ne peuvent être intégrées que par d'autres pages au sein de votre propre site.
• « frame-ancestors self <uri list=""> - Votre site peut être intégré par les sites figurant dans la liste d'URI et par aucun autre.</uri>

La directive CSP frame-ancestors n'est pas encore prise en charge par tous les navigateurs majeurs. Utilisez l'en-tête HTTP « X-Frame-Options » comme solution de secours pour ces navigateurs.

• DENY - Personne ne peut intégrer votre site. C'est le paramètre recommandé.
• SAMEORIGIN - Équivalent à « self » pour CSP. Vous pouvez intégrer votre propre contenu, mais personne d'autre ne le peut.
• ALLOW-FROM <uri> - Autorise l'URI spécifiée à intégrer votre contenu.</uri>

Protégez-vous contre le clickjacking

Le clickjacking est une attaque ingénieuse et trompeuse qui peut nuire à votre réputation et entraîner des pertes financières si votre produit est manipulé par des attaquants. Consultez nos ressources pédagogiques gratuites pour en savoir plus sur le clickjacking.

Utilisez une politique de sécurité du contenu (CSP) et l'en-tête « X-Frame-Options » pour empêcher des tiers d'utiliser votre site à des fins malveillantes. Ne laissez pas les attaquants manipuler vos utilisateurs. Protégez-vous du clickjacking.