Les attaques par redressement manipulent la façon dont les utilisateurs visualisent et interagissent avec les éléments Web, souvent en superposant du contenu malveillant sur des interfaces légitimes. Ces attaques peuvent inclure le clickjacking et le redressement de l'interface utilisateur. La prévention implique un frame busting approprié, des en-têtes de sécurité tels que X-Frame-Options, ainsi qu'une réflexion approfondie sur la conception et la mise en œuvre de l'interface utilisateur.
Les attaques par détournement d'interface, souvent appelées UI redressing, manipulent ce que voit un utilisateur afin que ses interactions soient redirigées vers des cibles qu'il n'a pas voulues. Le clickjacking en est le membre le plus connu, mais la catégorie est plus large : le cursorjacking désynchronise le pointeur visible du pointeur réel, le likejacking récolte des actions sociales, et le détournement par glisser-déposer ou par frappes de touches oriente les entrées vers des champs cachés. Le mécanisme commun est un décalage entre l'interface que l'utilisateur perçoit et l'interface qui reçoit réellement ses entrées, obtenu généralement en superposant, en encadrant ou en rendant transparents des contrôles légitimes. L'utilisateur agit de bonne foi sur une session réelle et authentifiée tandis que ses clics, glissements ou frappes sont discrètement captés par un positionnement contrôlé par l'attaquant.
Les attaques par détournement d'interface réussissent parce qu'elles exploitent la confiance dans l'interface visible plutôt qu'une faille de code, elles passent donc au travers de la validation des entrées, des contrôles de scripts CSP et même de l'authentification multifacteur, l'utilisateur est réellement connecté et clique réellement. Les dégâts reflètent l'action que la page cible expose en un ou deux clics : autoriser des paiements, accorder des autorisations OAuth, modifier des paramètres de compte, ou faire fuiter des données dans des champs cachés. Comme rien n'est injecté dans l'application cible et que l'utilisateur coopère à son insu, ces attaques sont difficiles à repérer dans les journaux serveur et faciles à déguiser en invites ordinaires, ludiques ou incitatives, qui attirent la victime vers des clics précis.
La défense principale consiste à contrôler la façon dont vos pages peuvent être intégrées : définissez Content-Security-Policy frame-ancestors et X-Frame-Options afin que les pages sensibles ne puissent pas être encadrées par des tiers, les mêmes en-têtes qui stoppent le clickjacking. Ajoutez des étapes de confirmation pour les actions à fort impact, évitez les opérations irréversibles en un clic, et concevez des interfaces qui résistent aux superpositions transparentes. Gardez les en-têtes d'encadrement présents sur chaque route sensible. Puisque ces protections résident dans vos en-têtes sécurisés et peuvent être affaiblies par un script tiers compromis ou malveillant, la surveillance à l'exécution de cside aide en détectant quand les en-têtes d'encadrement sont modifiés ou supprimés, maintenant l'efficacité des contrôles anti-détournement en production.
Le clickjacking est un type d'attaque par détournement d'interface, le plus courant, axé sur les clics détournés. L'UI redressing est le terme générique et couvre aussi le cursorjacking, le likejacking et le détournement par glisser-déposer ou par frappes de touches. Ils partagent un mécanisme : l'interface que l'utilisateur perçoit diffère de celle qui reçoit réellement ses entrées.
Généralement non. La MFA vérifie qui est l'utilisateur au moment de la connexion, mais une attaque par détournement d'interface abuse d'une session déjà authentifiée en poussant l'utilisateur à cliquer ou à glisser en son sein. La défense repose sur les contrôles d'encadrement et la confirmation des actions sensibles, pas sur une authentification plus forte.
We answer client-side security questions every day. Bring yours.