Clickjacking ist ein Angriff, bei dem der Nutzer auf etwas anderes klickt, als er zu sehen glaubt. Die Seite, die den Klick erhält, liegt unsichtbar über oder unter dem, was er sieht.
- Clickjacking
Ein Angriff, bei dem der Nutzer auf etwas anderes klickt, als er zu sehen glaubt.
Beispiel: „Das Clickjacking lief über eine durchsichtige Ebene über dem harmlosen Knopf.“Auch: UI-Redressing. Die Spielart mit Tastatureingaben statt Klicks heißt Keyjacking.
Abgrenzung zum Phishing: Dort wird eine Seite nachgebaut. Beim Clickjacking ist die echte Seite eingebettet, und genau deshalb fällt nichts auf.
Wie Clickjacking funktioniert
Über einen eingebetteten Rahmen und etwas Gestaltung. Der Angreifer lädt die echte Zielseite in einen durchsichtigen Rahmen und legt sie genau über einen Knopf, den der Nutzer aus einem anderen Grund drücken will. Der Klick landet in der echten Seite, in der der Nutzer angemeldet ist, und löst dort aus, was der Angreifer vorbereitet hat: eine Freigabe, eine Bestätigung, eine Änderung an den Einstellungen.
Welche zwei Kopfzeilen den Angriff verhindern
Die Anweisung frame-ancestors in der Content Security Policy und die ältere Kopfzeile X-Frame-Options. Beide sagen dem Browser, wer die Seite einbetten darf; frame-ancestors 'none' verbietet es vollständig. Die ältere Kopfzeile steht noch wegen alter Browser daneben, maßgeblich ist heute die erste.
Welche Seiten das wirklich brauchen
Jede, auf der sich mit einem Klick etwas auslösen lässt. Das sind Formulare für Freigaben, Einstellungen von Konten, Bestätigungsdialoge und alles im Verwaltungsbereich. Weil die Kopfzeile nichts kostet und nichts kaputt macht, gehört sie in die Grundausstattung jeder Website, siehe Security Headers; Ausnahmen bekommt nur, was absichtlich eingebettet werden soll.