クリックジャッキング
「クリックジャッキング」
はじめて聞いた言葉である。何となくコンピューターウイルスに関係スする言葉なのではと予想はしていたが・・・
これは、Webサイト上でユーザーのクリック操作が乗っ取られるものという新たな脆弱性とのこと。
Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashなど主要なWebブラウザのほとんどが影響を受けるという。
まだ、対応する修正パッチは提供されていない。
この脅威は、OWASP NYC AppSec 2008カンファレンスで議論されるはずだったものの、影響を受けるベンダーの要望で、包括的な修正が準備されるまではこの話題を公にすることをやめていたという。
これは、ブラウザの動作する仕組みに関わる根本的な欠陥で、簡単なパッチでは修正することができない。そして、かなり深刻なものだという。
一言で言うと、悪意のあるウェブサイトに訪れた際、攻撃者はブラウザ上のリンクをコントロールできるというもの。
この攻撃方法を使った場合、ユーザーが悪意のあるウェブページを訪れると、攻撃者はそのページ上のあらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックすることができる。 つまり、エンドユーザーはクリックジャッキングを受けている間、なにが起こっているか全くわからないということだ。
この問題はJavaScriptとは関係がないため、JavaScriptをオフにしても問題は解決しない。
とはいっても、当面の唯一の対策はブラウザのスクリプト機能とプラグインを無効化すること。これも完全ではなく、ある程度のリスク低減にとどまるものだという。
Webブラウザのスクリプト機能とプラグインを無効化・・・いまどき、そのようなことをしたらまともに見られるページはどのくらいあるのだろうか。
これだけネットが普及した社会である。問題が大きくなる前に、いち早く抜本対策をお願いしたい。
| 固定リンク | コメント (0) | トラックバック (0)
最近のコメント