Lehet, hogy egy hacker kémkedik utánad a webkamerán és a mikrofonon keresztül. És megengedted nekik a hozzáférést. Itt van, hogyan.
Megnyit egy webhelyet videó megtekintéséhez. Elég ártatlan, igaz? De ha egyszerűen rákattint egy gombra, egy kibertámadó hozzáférhet a kamerához és a mikrofonhoz. Lehet, hogy figyelnek rád anélkül, hogy tudnál róla. Ez egyfajta támadás, az úgynevezett clickjacking.
Tehát mit jelent ez valójában? Hogyan működik a clickjacking? És hogyan tudod megvédeni magad?
Mi az a Clickjacking?
A clickjacking egyfajta social engineering támadás, amellyel a kiberbűnözők hozzáférhetnek a felhasználók információihoz.
A clickjacking fő célja, hogy rávegye a felhasználót arra, hogy rákattintson valamire, amit a kibertámadó szeretne. Ezen keresztül lefoglalhatják eszközét, különösen a kamera és a mikrofon használatakor. A legtöbb böngészőben csak egyetlen gombra kell kattintania a mikrofon- és kameraengedélyek megadásához; A felhasználók tehát tudtukon kívül megoszthatják kamerájukat egy kibertámadóval, aminek súlyos következményei lehetnek, különösen a magánéletre nézve.
Hogyan működik a Clickjacking az átlátszó webhelyeken
A támadók hamis környezeteket hoznak létre, hogy becsapják a felhasználókat. A hamis webhelyek nagyszámú embert elérhetnek, és így növelik a támadás sikerének valószínűségét. A csalók olyan webhelyet terveznek, amely ártatlannak tűnik, de valódi célja az, hogy hozzáférjen a kamerához és a mikrofonhoz, vagy rávegye Önt a rosszindulatú programok letöltésére.
Vegyünk például egy egyszerű kattintós játékot, amely teljes egészében az Ön böngészőjében működik. Fő célja a kéz- és szemmozgások koordinációs képességének felmérése. Ennek eléréséhez a játék színes gombokat jelenít meg, amelyek a képernyő különböző részein jelennek meg, és kéri, hogy kattintson rájuk. Minél gyorsabban tudja végrehajtani ezt a tevékenységet, annál magasabb lesz a teljesítménye.
Bár ártalmatlannak tűnik, a képernyőn megjelenő gombok koordinátáit a támadó előre meghatározta. Azt hiszed, hogy egy gombra kattintasz, és megnyered a játékot, de valójában egy teljesen más gombra kattintasz a háttérben.
Fényképezőgép elérése Clickjacking segítségével
Ugyanez vonatkozik az Ön elérésére is mikrofon és kamera engedélyek. Néha a webhelyeknek szükségük van a kamerára és a mikrofonra. Például egy olyan alkalmazás, mint a Zoom, megköveteli ezeket az engedélyeket ahhoz, hogy beszélni tudjon, és képe megjelenjen a videokonferencián. Az engedélyek megadásához a böngésző felületén valahol megjelenik egy „engedélyezés” gomb. Természetesen nem minden platform olyan biztonságos, mint a Zoom.
Tehát, amikor egy ártatlannak tűnő lejátszási gombra kattint egy tévéműsor vagy film megtekintéséhez, akkor az egy háttér-engedélyező gomb lehet, amelyet a hacker hozott létre a kamera megnyitásához.
Hogyan védekezhet a Click-jacking támadások ellen?
Egy rosszindulatú támadó különféle kódokat és szkripteket használ, hogy rávegye Önt arra, hogy pontosan oda kattintson, ahová akar, és manipulálja a képernyőt. Sok fejlesztő még kevéssel is HTML-ben szerzett tapasztalat és a CSS is könnyen megteheti ezt: csak a két általuk tervezett oldal átlátszatlansági értékeivel kell játszaniuk egymáson, és nem a hátsó oldalt kell megmutatniuk a végfelhasználónak.
Annak elkerülése érdekében, hogy egy látszólag egyszerű script-alapú trükk áldozatává váljon, az egyik leghatékonyabb módszer a JavaScript letiltása. A legtöbb webböngésző olyan biztonsági funkciót kínál, amely lehetővé teszi kapcsold ki a JavaScriptet kód, amely a webhelyek hátterében fut. A Chrome-ban például úgy érheti el az oldalt, hogy beírja a címsorba a „chrome://settings/content/javascript” szöveget. Az oldal elérésekor a Ne engedélyezze a webhelyeknek a Javascript használatát választási lehetőség.
Ennek az opciónak a kiválasztásakor azonban körültekintően kell eljárnia, mivel ez blokkolja az összes meglévő kódot minden webhelyen. Csak akkor aktiválja, ha olyan webhelyekre jelentkezik be, amelyekben nem bízik, és amelyeket nem tart biztonságosnak. Ezt a beállítást később bármikor megfordíthatja.
Alternatív megoldásként használhat nyílt forráskódú és megbízható beépülő modulokat a JavaScript egyszerűbb engedélyezéséhez és letiltásához. NoScript Security Suite jó megoldás erre, és számos különböző böngészőhöz kínál támogatást. Célja, hogy ne csak a clickjacking támadásokat, hanem a rosszindulatú szoftvereket is megakadályozza, amelyek az Ön által megadott webhelyeken találhatók.
A rosszindulatú támadók nem mindig kódolják webhelyeiket, hogy átlátszó webhelyeken keresztül kattintsanak rájuk. Kihasználhatják az internetes böngészés közben talált online sebezhetőségeket is. Például kódot szúrhatnak be a blog megjegyzés részében található biztonsági rést kihasználva. Ilyenkor oda kell figyelni, hogy valójában mire kattintasz, még akkor is, ha ez kissé paranoidnak hangzik.
Honnan tudhatja, hogy egy webhely megbízható-e?
Hogyan állapíthatja meg, hogy megbízhat-e egy webhelyben? A támadók gyakran nem fordítanak túl sok időt egy webhely tervezésére és fejlesztésére; felesleges idő- és pénzpazarlás. Ezt megtudhatja a webhely biztonsági tanúsítványaiból és kialakításából. Például egy nagy és megbízható szervezeti webhely valószínűleg rendelkezik SSL-tanúsítvánnyal. Ennek ellenőrzéséhez nézze meg az URL-t. Ha a cím így kezdődik https://", ez azt jelenti, hogy a webhely rendelkezik SSL tanúsítvánnyal. Az extra "S" a "HTTP" után azt jelenti, hogy "Biztonságos". De ne csak erre hagyatkozzon.
Érdemes egy pillantást vetni az oldal kialakítására és tartalmára is. A kapcsolatfelvételi oldalon található információk, az adatvédelmi szabályzatok, sőt A GDPR figyelmeztetés jelezheti, hogy egy webhely megbízható-e. Kutasd az oldalt is. Mit mondanak róla más felhasználók az olyan platformokon, mint a Twitter, a Facebook és a Trustpilot?
Ha bármilyen ismereted van a kódolásról, akkor megvizsgálhatod az oldal forráskódjait. Így láthatja a háttérmunkák egy részét, és azt, hogy milyen más webhelyekre hivatkozik.
Kell-e aggódnia a Clickjacking miatt?
A kattintástörés ijesztő dolog, különösen azért, mert a kiberbűnözők hozzáférhetnek a webkamerához, és aktívan kémkedhetnek tevékenységei után. Ez a magánélet és a biztonság jelentős megsértése.
Szóval igen, kicsit OTT-nek tűnhet, ha vigyázol, hogy valójában hova kattintasz egy webhelyen. A legtöbben gondolkodás nélkül megteszik ezt. De az is fontos, hogy légy éber, nehogy egy hacker áldozatává válj.
