Clickjacking

Clickjacking, vulnerabilidad descubierta por Jeremiah Grossman

»Ya escucharon hablar de Clickjacking...??

Es una vulnerabilidad descubierta por Jeremiah Grossman y Robert Hansen, muchos dicen que es la madre de las vulnerabilidades de los nevegadores,ya que afecta a todos los navegadores actuales (bueno casi todos Firefox + NoScript están a salvo) citando asi a Internet Explorer, Firefox, Safari, Opera, Chrome, entre otros y permite a un atacante tomar control de los vínculos que nuestro navegador con solo visitar una sitio malicioso. Esto puede llegar a aparecer en cualquier botón en cualquier sitio Web, interna o externa, que puede llegar a aparecer entre las paredes del navegador.

No se sabe con seguridad, ya que los investigadores se reservan los detalles. Pero Michal Zalewski, un reconocido investigador que ahora trabaja para Google ofrece un ejemplo de como puede llevarse a cabo: Supongamos que una página maliciosa en el dominio A crea un IFRAME que apunta a una aplicación que estó en dominio B, con la que un usuario se puede autenticar a travús de cookies.
La página del dominio A puede entonces crear elementos para ocultar sin problemas cualquier elemento de la página excepto un botón en la página del dominio B, tal como "eliminar todos los elementos" o "agregar a Bob como amigo".
De esta forma, la aplicación A provee una interfaz engañosa que hace que ese botón sirva para una propósito diferente en la aplicación A, invitando a los usuarios a hacer clic sobre el. En pocas palabras, se trata de cuando uno visita un sitio malicioso y el atacante es capaz de tomar control de los vínculos que nuestro navegador visita.

El problema afecta a todos los distintos navegadores con excepción los navegadores en modo texto () . El asunto no tiene nada que ver con JavaScript así que deshabilitar el JavaScript en el navegador no ayudará. Es una falla fundamental de la forma que trabaja el navegador y no puede ser resuelto con un parche sencillo. Con esta vulnerabilidad, una vez que uno está en la página web maliciosa, el chico malo puede forzarlo a hacer clic en cualquier vínculo, cualquier botón, o en cualquier cosa de la página sin que ni siquiera uno vea que está sucediendo. Aunque la vulnerabilidad ha sido asociada a los navegadores, el problema es mucho más profundo, según Robert Hansen quién es fundador y jefe ejecutivo de SecTheory LLC, y uno de los investigadores que dió la charla de forma semi-privada sobre la vulnerabilidad en la OWASP.ya que muchas empresas solicitaron la no discucion del tema en la conferencia OWASP NYC AppSec 2008. La mejor defensa contra los ataques clickjacking es utilizar Firefox con la noscript add-on instalado. Usuarios que utilizan la combinación que es seguro, dijo Hansen, en contra de "una muy buena parte de las cuestiones, 99,99% en este momento". Esperermos que pronto tengamos mas solución para esto...

Gustavo Irala

Sitio con diseño Css 2.0 + Ajax + xHTML
Creado por el