Web に潜むクリックジャック
われわれは毎日、Web ブラウザで何らかのボタンをクリックしている。
それは、何かに同意するための単純な「はい」ボタンかもしれないし、パスワードの「送信」ボタンかもしれない。だが、実際に何をクリックしているのか、理解しているだろうか。注意しなければ、クリックジャック攻撃の被害に遭いかねない。
米国のセキュリティ研究組織 Black Hat の創設者 Jeff Moss 氏は20日、オンライン セミナーのなかで次のように述べた。「この脆弱性により、攻撃者はユーザーが気づかないうちにクリックを収集し、それによってユーザー設定を変更したり、相手に意識させることなく悪質コードを備えた Web サイトにアクセスさせるなど、あらゆる種類の行為をユーザーに強いることができる」
「これはいわば Kaminsky 氏 (セキュリティ研究者の Dan Kaminsky 氏) が発見した DNS キャッシュにおける脆弱性のようなものだ。どういった影響があるか理解しているつもりでいても、考えれば考えるほど問題が大きくなる。物事がねじれているのに気づいた時の、あのひやりとした感覚だ」と Moss 氏は語る。
攻撃者は、ユーザーが見つけにくいよう、本物のボタンの表面や背後に偽のボタンを重ねて置く可能性がある。また、悪質なクリックジャック用ボタンを配置するメカニズムとしては、JavaScript や Adobe Systems の『Flash』を利用し得る。
WhiteHat Security 創設者兼 CTO (最高技術責任者) の Jeremiah Grossman 氏は10月、クリックジャックのセキュリティ問題を Adobe に報告したことで手柄を挙げた。同氏の報告により、Flash 製品の修正が行なわれた。Grossman 氏によると、最新の『Flash Player 10』ではクリックジャック攻撃から十分身を守ることができるという。
だが、Web ブラウザは依然として該当の問題を残したままだ。クリックジャック攻撃は、悪意を持って用いた IFRAME を介して起こり得る。IFRAME は、HTML で記述したページ内にインライン フレーム領域を設ける機能で、別のページのコンテンツを読み込むことができる。とはいえ、単純に IFRAME を取り除けば問題が解決するかというと、必ずしもそうではない。
Grossman 氏は次のように述べている。「IFRAME を使わなければ、問題は部分的に解決するが、一部の広告枠が機能しなくなるため、Web の収入モデル全体を破壊することにもなる。今すぐにも、IFRAME 無効が Web ブラウザの初期設定となることはないだろう」
| 固定リンク


最近のコメント