Clickjacking

Clickjacking (kullanıcı arayüzü düzeltme saldırısı veya kullanıcı arayüzü düzeltme olarak sınıflandırılır), bir kullanıcıyı algıladığından farklı bir şeye tıklaması için kandıran, böylece gizli bilgileri açığa çıkarma veya web sayfaları da dahil olmak üzere görünüşte zararsız nesnelere tıklarken başkalarının bilgisayarlarının kontrolünü ele geçirmesine izin veren kötü niyetli bir tekniktir.^{[1][2][3][4][5]}

2002 yılında, bir web sayfasına saydam bir katman yerleştirmenin ve kullanıcının girdisinin kullanıcı fark etmeden saydam katmanı etkilemesinin mümkün olduğu kaydedilmiştir. Ancak bu durum 2008 yılına kadar önemli bir sorun olarak görülmemiştir. ^[6]

2008 yılında Jeremiah Grossman ve Robert Hansen, Adobe Flash Player'ın tıklanarak ele geçirilebildiğini ve böylece saldırganın kullanıcının bilgisi olmadan bilgisayara erişim sağlayabildiğini keşfetmişlerdir. ^[7]

Clickjacking'in bir türü, saldırganın kullanıcının bilgisayarını kendi avantajına göre manipüle etmesine izin vermek için uygulamalarda veya web sayfalarında bulunan güvenlik açıklarından yararlanmaktadır.

Örnek olarak, clickjacked bir sayfa, kullanıcıyı gizli bağlantılara tıklayarak istenmeyen aksiyonlar gerçekleştirmesi için kandırır. Tıklama saldırısına uğramış bir sayfada, saldırganlar orijinal sayfanın üzerine şeffaf bir katmanda başka bir sayfa yükleyerek kullanıcıyı, sonuçları kullanıcının beklediği gibi olmayacak aksiyonlar alması için kandırırlar. Şüphelenmeyen kullanıcılar görünür düğmelere tıkladıklarını düşünürken, aslında görünmez sayfada işlemler gerçekleştirmekte, katmanın altındaki sayfanın düğmelerine tıklamaktadır. Gizli sayfa bir otantikasyon sayfası olabilir; bu nedenle saldırganlar kullanıcıları kandırarak, kullanıcıların hiç amaçlamadıkları aksiyonları gerçekleştirmelerini sağlayabilirler. Kullanıcıların kimlikleri gizli sayfada gerçekten doğrulanmış olacağından, bu tür eylemleri daha sonra saldırganlara kadar takip etmenin bir yolu yoktur.

Mozilla Firefox masaüstü ve mobil sürümlerine NoScript eklentisi yüklenerek clickjacking'e (likejacking dahil) karşı koruma eklenebilir.

"NoClickjack" web tarayıcısı eklentisi (tarayıcı uzantısı), Google Chrome, Mozilla Firefox, Opera ve Microsoft Edge kullanıcıları için yasal iFrame'lerin çalışmasına müdahale etmeden istemci tarafı clickjack koruması ekler. NoClickjack, GuardedID için geliştirilen teknolojiye dayanmaktadır. NoClickjack eklentisi ücretsizdir.

GuardedID (ticari bir program) Internet Explorer kullanıcıları için yasal iFrame'lerin çalışmasını engellemeyen istemci tarafı clickjack koruması içerir. GuardedID clickjack koruması tüm çerçeveleri görünür olmaya zorlar.

X-Frame-Options, web sitesi sahibi tarafından ayarlandığında, tercih edilen çerçeveleme politikasını beyan eder: DENY, ALLOW-FROM origin veya SAMEORIGIN değerleri sırasıyla herhangi bir çerçevelemeyi, harici siteler tarafından çerçevelemeyi önler veya yalnızca belirtilen site tarafından çerçevelemeye izin verir. Buna ek olarak, bazı reklam siteleri, içeriklerinin herhangi bir sayfada çerçevelenmesine izin vermek amacıyla standart olmayan bir ALLOWALL değeri döndürür (X-Frame-Options'ı hiç ayarlamamaya eşdeğer).

X-Frame-Options gibi bir güvenlik başlığı, kullanıcıları çerçeve kullanmayan clickjacking saldırılarına karşı korumayacaktır.^[8]

Content Security Policy (CSP), XSS ve clickjacking gibi saldırılara karşı hafifletme sağlayan bir tespit ve önleme mekanizmasıdır.