Le ClickJacking, nouvelle arme des hackers

Cette attaque consiste à utiliser les propriétés HTML d’une page Web pour manipuler son affichage et faire effectuer à son visiteur des actions différentes de celles qu’il visualise.

Votre ordinateur dispose peut-être d’un programme antivirus régulièrement mis à jour, d’un firewall dernière génération et d’un logiciel antispam particulièrement efficace, ces précautions restent malheureusement sans effet face à l’émergence d’un nouveau type de piratage en ligne, le clickjacking ou UI redress Attack.

Récemment découvert par Robert Hansen et Jeremiah Grossman, ce type de faille affecte tous les navigateurs Web du marché, basée sur l’utilisation malicieuse de propriétés HTML, elle permet de manipuler l’affichage d’une page Web.

Citation:

L’utilisateur pense alors interagir avec la page du fond alors qu’il effectue une action différente, le mécanisme peut être adapté à une multitude de scénario.

Accès au microphone et à la Webcam de l’utilisateur

Il permet par exemple de voler les images ou les conversations d’un visiteur en accédant à son microphone et à sa Webcam par l’intermédiaire d’animations Flash.

« Lorsque Hansen et Grossman ont mis ces faiblesses en évidence, Adobe leur a demandé de ne pas en divulguer les détails jusqu’à ce qu’ils aient pu apporter un correctif à leur Player. »
C’est chose faite, la version 10 du lecteur Flash corrige en partie ces défauts.
Mais d’autres types d’exploitation HTML sont à redouter.

Le ClickJacking pourrait ainsi servir à modifier la configuration d’un routeur personnel pour accéder à des fichiers partagés sur un poste relié à une Livebox.

On peut imaginer une multitude d’applications:

– Ajouter un faux ami au membre d’un réseau social afin d’avoir accès à sa page perso.
-Pire, vous croyez effectuer une recherche sur Google alors que vous effectuez sans le savoir un versement bancaire ».

Extension Firefox NoScript

Ce genre d’attaque inquiète d’autant plus qu’il concerne tous les navigateurs.
L’extension Firefox NoScript possède certes une fonction dite de ClearJacking empêchant à ses utilisateurs d’interagir avec des pages invisibles.

« C’est efficace mais ça restreint certaines fonctionnalités HTML, même si la transparence de pages Web est rare, c’est la raison pour laquelle Mozilla a refusé de fournir cette extension nativement ». 

Dans la mesure où il est peu probable que les éditeurs élaborent des antidotes parfaitement efficaces, le ClickJacking doit être pris au sérieux, Nicolas KerschenBaum nous enjoint cependant de ne pas succomber à la panique.

« Il ne peut de toute façon pas s’agir d’une attaque généralisée et même certaines attaques ciblées sont plus critiques, comme lorsque la simple visualisation d’une page, sans même que l’utilisateur interagisse avec elle, permet au hacker de prendre le contrôle de tout son système ».