Los ataques de reparación manipulan la forma en que los usuarios visualizan e interactúan con los elementos web, a menudo superponiendo contenido malicioso sobre interfaces legítimas. Estos ataques pueden incluir el clickjacking y la reparación de la interfaz de usuario. La prevención implica un adecuado frame busting, encabezados de seguridad como X-Frame-Options y una cuidadosa consideración del diseño y la implementación de la interfaz de usuario.
Los ataques de redress, a menudo llamados UI redressing, manipulan lo que el usuario ve para que sus interacciones se desvíen hacia objetivos que no pretendía. El clickjacking es el miembro más conocido de la familia, pero la categoría es más amplia: el cursorjacking desincroniza el puntero visible del real, el likejacking cosecha acciones sociales, y el redressing de arrastrar y soltar o de pulsaciones de teclado dirige la entrada hacia campos ocultos. El mecanismo común es un desajuste entre la interfaz que el usuario percibe y la que realmente recibe su entrada, logrado normalmente mediante superposiciones, enmarcado o volviendo transparentes controles legítimos. El usuario actúa de buena fe sobre una sesión real y autenticada mientras sus clics, arrastres o pulsaciones son capturados en silencio por una colocación controlada por el atacante.
Los ataques de redress tienen éxito porque explotan la confianza en la interfaz visible en lugar de un fallo de código, así que se cuelan más allá de la validación de entrada, los controles de scripts de CSP e incluso la autenticación multifactor: el usuario ha iniciado sesión de verdad y hace clic de verdad. El daño refleja cualquier acción que la página objetivo exponga en uno o dos clics: autorizar pagos, conceder permisos de OAuth, cambiar ajustes de la cuenta o filtrar datos hacia campos ocultos. Como no se inyecta nada en la aplicación objetivo y el usuario coopera sin saberlo, estos ataques son difíciles de detectar en los registros del servidor y fáciles de disfrazar como avisos ordinarios, tipo juego o de recompensa, que atraen a la víctima a hacer clics precisos.
La defensa principal es controlar cómo pueden incrustarse tus páginas: establece Content-Security-Policy frame-ancestors y X-Frame-Options para que las páginas sensibles no puedan ser enmarcadas por terceros, las mismas cabeceras que detienen el clickjacking. Añade pasos de confirmación para las acciones de alto impacto, evita operaciones irreversibles de un solo clic y diseña interfaces que resistan las superposiciones transparentes. Mantén las cabeceras de enmarcado presentes en cada ruta sensible. Como estas protecciones viven en tus cabeceras seguras y pueden verse socavadas por un script de terceros comprometido o malicioso, el monitoreo en tiempo de ejecución de cside ayuda al detectar cuándo se alteran o eliminan las cabeceras de enmarcado, manteniendo eficaces en producción los controles contra el redress.
El clickjacking es un tipo de ataque de redress, el más común, centrado en clics secuestrados. UI redressing es el término paraguas y también abarca el cursorjacking, el likejacking y el redressing de arrastrar y soltar o de pulsaciones de teclado. Comparten un mecanismo: la interfaz que el usuario percibe difiere de la que realmente recibe su entrada.
Normalmente no. La MFA verifica quién es el usuario en el inicio de sesión, pero un ataque de redress abusa de una sesión ya autenticada engañando al usuario para que haga clic o arrastre dentro de ella. La defensa son los controles de enmarcado y la confirmación en acciones sensibles, no una autenticación más fuerte.
We answer client-side security questions every day. Bring yours.