Clickjacking: Η νέα διαδικτυακή απειλή;

[amc_anthony13]

Ο Robert Hansen, ιδρυτής και πρόεδρος της SecTheory LLC και ο Jeremiah Grossman, υπεύθυνος του τεχνολογικού τμήματος της WhiteHat Security Inc, αναφέρθηκαν στη συγκεκριμένη απειλή την περασμένη εβδομάδα σε παρουσίαση στη Νέα Υόρκη.
Τι είναι, όμως, ακριβώς το clickjacking; Μιλάμε για μια απειλή του είδους «τρέξτε να σωθείτε» ή για ακόμα έναν από τους συνηθισμένους κινδύνους που παραμονεύουν στο διαδίκτυο; Και τι μπορούμε να κάνουμε για να προστατευτούμε;

Οι ερωτήσεις αναρίθμητες. Οι απαντήσεις λιγοστές!

Ας τα πάρουμε όμως με τη σειρά. Τι ακριβώς είναι το clickjacking; Καλή ερώτηση, η απάντηση όμως είναι λίγο δύσκολη να δοθεί αφού οι εν λόγω ερευνητές δεν αποκάλυψαν πολλά για τη φύση του. Σύμφωνα, όμως, με πηγές μάθαμε τα εξής. Σκεφτείτε ένα κουμπί, οποιοδήποτε κουμπί, που θα μπορούσε να εμφανιστεί σε κάποιο website, πάνω στο οποίο θα μπορούσατε να κάνετε κλικ (εξ ου και το «click» στη λέξη). Έπειτα αναλογιστείτε μια επίθεση η οποία θα βρίσκεται κρυμμένη πίσω από αυτά τα κουμπιά, ώστε όταν ο χρήστης πατήσει πάνω στην φαινομενικά άκακη επιλογή να παραπέμπεται εκεί όπου ο απατεώνας θέλει να τον στείλει.

Με απλά λόγια, το clickjacking επιτρέπει στους hackers και τους απατεώνες να κρύβουν κακόβουλο κώδικα κάτω από το περιεχόμενο του νόμιμου site.

Είναι καινούρια η «μόδα» του clickjacking; Όχι δεν είναι! Είναι παρόμοιο με απειλές όπως όταν ορισμένα site «ζητά» να συμπληρωθεί ένα ερωτηματολόγιο ή ένα μήνυμα που ειδοποιεί το χρήστη ότι έχει κερδίσει «πλούσια» δώρα. Αυτό στην ουσία αποτελεί τη βιτρίνα η οποία κρύβει επιβλαβές λογισμικό που εγκαθίστανται στον υπολογιστή εν αγνοία μας. Αυτού του είδους η απειλή είναι γνωστή από τις αρχές του ’90 ενώ το clickjacking υποπτεύονται οι ειδικοί ότι υπάρχει εδώ και μερικά χρόνια.

Κατά σύμπτωση –ή όχι- η Mozilla κυκλοφόρησε ένα patch για τον Firefox που αφορά αποκλειστικά στη συγκεκριμένη απειλή, κάτι που η Microsoft είχε τοποθετήσει στον ΙΕ το 2003 και αργότερα το 2004.

Όπως τόνισε ο Michal Zalewski –ερευνητής που δουλεύει πλέον για την Google Inc.- «μία σελίδα Web (που φιλοξενείται κάτω από ένα Άλφα site) μπορεί να περιέχει κακόβουλο κώδικα ικανό να δημιουργήσει ένα «παράθυρο» iFRAME τέτοιο, ώστε αυτό να παραπέμπει σε μία εφαρμογή σε ένα άλλο, Βήτα site - στο οποίο ο χρήστης έχει ήδη εγκεκριμένη πρόσβαση μέσω cookies». «Η σελίδα που βρίσκεται στο προσκήνιο μπορεί να καλύπτει τα περιεχόμενα του iFrame με γραφικά, αφήνοντας να φαίνεται μόνο ένα κουμπί επιλογής στο Βήτα domain, όπως π.χ. «Διαγραφή όλων» ή «Προσέθεσε τον Bob ως φίλο» κλπ. Η σελίδα αυτή μπορεί να προβάλλει δικά της, παραπλανητικά γραφικά που δίνουν την εντύπωση ότι εκτελούν μία τελείως διαφορετική λειτουργία στο Άλφα site, προσκαλώντας τον χρήστη να πατήσει το σχετικό πλήκτρο».

Με άλλα λόγια ο hacker παραπλανεί το χρήστη να επισκεφτεί μια κακόβουλη σελίδα –μέσω των γνωστών τρόπων- και μετά κρύβει τον επιβλαβή κώδικα κάτω από αυτό που φαίνεται σαν το αληθινό περιεχόμενο του νόμιμου site.

Τι μπορείτε να κάνετε για να προστατευτείτε; Δυστυχώς στην προκειμένη φάση, όχι πολλά.

Ο πιο ασφαλής τρόπος προστασίας είναι να ξεχάσετε το internet που ξέρετε ή να γυρίσετε σελίδα πίσω στον μεσαίωνα του διαδικτύου!

Ο πρώτος τρόπος προστασίας είναι να γυρίσετε στο Lynx, έναν ανοιχτού κώδικα text-only browser ο οποίος μας γυρίζει παραπάνω από μια δεκαπενταετία πίσω. Παρόλο που ο Lynx είναι πιο γνωστός μέσω του Unix/Linux περιβάλλοντος, υπάρχουν εκδόσεις για τα Mac OS X και Windows. Αφού το Lynx διαβάζει μόνο κείμενο, τυχόν clickjacking επιθέσεις δεν θα έχουν απολύτως καμία επίπτωση μιας και δεν υπάρχει γραφικό περιεχόμενο το οποίο θα μπορούσε να εκμεταλλευτεί ο hacker. Αλλά text-only browsing;!! Άουτς!

Ένας άλλος καλός τρόπος –και υποθέτουμε αποτελεσματικός- είναι ο συνδυασμός του Firefox με το NoScript, ένα extension που εμποδίζει JavaScript, Flash και Java περιεχόμενο. Όμως, παρόλο που το NoScript φαίνεται να αποτελεί μια καλή λύση –και διανέμεται δωρεάν- έχει και αυτό τα μειονεκτήματά του. Εκτός αν ο χρήστης ενεργοποιήσει χειροκίνητα το switch-off-by-default περιεχόμενο, πολλά sites θα είναι είτε παντελώς άχρηστα –γιατί πολύ απλά δεν θα ανοίγουν- είτε θα έχουν περιορισμένη πρόσβαση.

Στο μεταξύ η Adobe Systems Inc., δουλεύει πάνω σε ένα διορθωτικό για Flash.

Πότε θα γνωρίζουμε περισσότερα για αυτή τη νέα διαδικτυακή απειλή; Υποθέτουμε σύντομα, αφού ο Hansen και ο Grossman διαβεβαίωσαν το κοινό ότι θα δημοσιεύσουν σχεδόν ολόκληρη την έρευνά τους, μόλις η Adobe κυκλοφορήσει το patch.

 

[amc_anthony13]

http://[URL unfurl="true"]www.pcw.gr/files/Image/Articles/General/Security/clickjacking.jpg[/img[/URL]]

[b]Νέες εξελίξεις για την απειλή του clickjacking[/b]

Η Adobe Systems  προειδοποιεί ότι οι hackers μπορούν να χρησιμοποιήσουν επιθέσεις clickjacking και να ενεργοποιήσουν το μικρόφωνο και την web κάμερα του ενός υπολογιστή χωρίς, φυσικά, τη συγκατάθεση του νόμιμου χρήστη.

Όπως δήλωσε η Adobe σε συμβουλευτική ανακοίνωση, η flash αποτελεί τρωτό σημείο -σε όλες τις πλατφόρμες- ενάντια σε αυτού του είδους τις επιθέσεις. Παραπλανώντας τους χρήστες να επισκεφτούν ένα επιβλαβές website, οι hackers έχουν τη δυνατότητα να ανακατευθύνουν τον προορισμό των κλικ και να αποκτήσουν τελικώς πρόσβαση στη διαχείριση της web κάμερας και του μικροφώνου οποιουδήποτε PC.

«Αυτό το συγκεκριμένο θέμα επηρεάζει κυρίως τον διάλογο πρόσβασης της κάμερας και μικροφώνου του Adobe Flash Player», παραδέχτηκε ο David Lenoe, επικεφαλής ασφάλειας προγραμματισμού, σε post που δημοσίευσε πρόσφατα.
Παρόλο που το ανάλογο patch δεν είναι έτοιμο ακόμα – ο Lenoe δήλωσε ότι η διάθεση του οποίου θα γίνει στο τέλος Οκτωβρίου- το συμβουλευτικό της εταιρείας, Adobe advisory, παρέχει λίστα με βήματα που μπορούν να κάνουν οι χρήστες ώστε να αποτρέψουν την κατάληψη της webcam και του μικροφώνου. Η Adobe προτείνει στους χρήστες να μπουν στη Διαχείριση Ρυθμίσεων του Flash μέσω οποιουδήποτε browser και να επιλέξουν «Always deny». Η εταιρεία χαρακτήρισε την κατάσταση ως «κρίσιμη», ιδιαίτερα επικίνδυνη αλλά και δραστική.

Σύμφωνα με τον Robert Hansen, τον έναν από τους δύο ερευνητές που έθιξαν το θέμα για πρώτη φορά λίγες ημέρες πριν, η Adobe θα «μπαλώσει» το bug στην Flash 10, στην οποία έχουν εντοπιστεί και άλλα προβλήματα, συμπεριλαμβανομένου ενός ψεγαδιού που χρησιμοποιούσαν οι hackers, για περισσότερο από ένα μήνα και «πείραζαν» τα URL ώστε να ανακατευθύνονται σε επικίνδυνα sites.

Όπως προειδοποίησε ο Hansen, οι Mac είναι ιδιαίτερα ευάλωτοι στις επιθέσεις clickjacking, αφού όλα τα Apple notebooks που κυκλοφόρησαν πρόσφατα, έχουν ενσωματωμένη κάμερα και μικρόφωνο. Την  ίδια στιγμή που η Adobe δημοσίευε το συμβουλευτικό post της, έδωσε και την άδεια στους δύο ερευνητές να αποκαλύψουν λεπτομέρειες σχετικά με την απειλή, κάτι που η εταιρεία είχε ζητήσει να παραμείνei απόρρητo.

Ο Hansen δημοσίευσε την αναφορά στο blog του όπου απαριθμεί τα ποικίλα σενάρια που θα μπορούσαν να συμβούν βάσει αυτής της επίθεσης. Δύο εβδομάδες νωρίτερα, όταν έδωσαν μια γενική ιδέα του τι μπορεί να συμβεί, ο ερευνητής υπογράμμισε ότι δεν πρόκειται για μια και μόνο απειλή αλλά μια νέα τάξη εκμεταλλεύσιμων ψεγαδιών.
Όπως είχε τονίσει «υπάρχουν ποικίλες μεταβλητές στο clickjacking. Κάποιες από αυτές απαιτούν πρόσβαση σε περισσότερα από ένα websites ταυτόχρονα ενώ άλλα όχι. Κάποιες επικαλύπτουν ολόκληρες σελίδες πάνω σε μία ιστοσελίδα, άλλες χρησιμοποιούν iframes ώστε να παρασύρουν τους χρήστες να κάνουν κλικ πάνω σε ένα συγκεκριμένο σημείο. Ποικίλες είναι και εκείνες που απαιτούν JavaScript, ενώ άλλες όχι. Κάποιες μεταβλητές μεταχειρίζονται cross-site request forgery (αίτηση εξαπάτησης σε πολλαπλά sites) ώστε να ανεβάσουν δεδομένα εκ των προτέρων σε μορφή αίτησης -άλλες πάλι όχι.

Ψάξαμε και βρήκαμε τη σχετική αναφορά των Hansen και Jeremiah Grossman η οποία περιγράφει αρκετά αναλυτικά τα σενάρια που μπορεί να συμβούν. Θα ήταν συνετό να επισκεφτείτε τη συγκεκριμένη σελίδα και να διαβάσετε προσεχτικά τις πληροφορίες που παρέχουν οι δύο ερευνητές.