Les lundis SSI : Le clickjacking

On connaissez le homejacking (le fait de commettre un vol dans une maison alors que ces occupants sont présents) ou le carjacking (qui consiste à prendre le volant d'une voiture en éjectant le conducteur lors d'un arrêt au feu rouge par exemple), en sécurité informatique, l'attaque qui fait fureur aujourd'hui c'est le clickjacking.

Il s'agit, là encore, de l'action d'un Hacker (pirate) qui va modifier le code HTML de votre ordinateur. Le code Html est le langage standard de communication permettant la programmation des pages destinées à être publiées sur le web et vous permettant de naviguer.

La modification de ce langage permet à un pirate de faire apparaitre un ou plusieurs calques sur la page que vous pensez utiliser. Ainsi en cliquant sur des liens vous réalisez vous même d'autres actions au profit du pirate. Vous agissez "à l'insu de votre de plein gré".

Ce que vous voyez :Ce qui se passe :

Cette attaque permet de faire fonctionner les différents périphériques de votre ordinateurs (webcam et microphone principalement). Mais il est tout a fait envisageable que l'objectif du clickjacking soit la validation d'une transaction bancaire, la redirection vers un site infecté par un virus, la reconnaissance d'une "nouvelle amitié" sur un réseau sociaux permettant ainsi l'accès à votre profil,....

Pour mieux comprendre rien de tel qu'une petite vidéo. Sur celle-ci, vous ferez à l'origine un jeu basique qui consiste à marquer des points en cliquant le plus vite possible sur le module "click". Mais cela va activer votre webcam et votre microphone sans même que vous en rendiez compte.


Cette attaque a été mise en évidence par Jeremiah Grossman et Robert Hansen en Septembre dernier. Elle utilise le lecteur Flash d'Adobe ainsi que l'ensemble des navigateurs internet donc difficile de vous dire que vous pouvez y échapper.
Adobe a même demandé aux deux white hackers de retarder la présentation de cette faille afin qu'il puisse proposer une solution.

En effet à l'heure actuelle, pas ou peu de solutions existent. Même si tous les navigateurs sont faillibles, les spécialistes s'accordent à conseiller Firefox et son extension No script.
De plus soyez vigilant en vérifiant régulièrement les paramètres de gestion de votre ordinateur.

Une parade devait être proposée par Adobe fin Octobre, pour le moment je n'ai rien vu en ce sens, et vous?