Dipl.-Inform. Carsten Eilers

Update 30.1.2014:
Das folgende gilt inzwischen teilweise nur noch eingeschränkt. Der aktuelle Stand der Dinge für die Server-Seite ist hier beschrieben.
Ende des Updates

Anfangs wurden Framebuster, meist im Form des JavaScript-Codes

<script type="text/javascript">
if (top!=self) top.location.href=self.location.href;
</script>

als Allheilmittel gegen Clickjacking angesehen. Schon bald stellte sich heraus, dass sich die meisten Framebuster umgehen lassen. Gustav Rydstedt, Elie Bursztein und Dan Boneh von der Stanford University und Collin Jackson von der Carnegie Mellon University wiesen im Juli 2010 in ihrem Paper "Busting Frame Busting - a Study of Clickjacking Vulnerabilities on Popular Sites" (PDF) nach, dass Framebuster keine Sicherheit vor Clickjacking garantieren: Sie untersuchten die Framebuster der Alexa Top-500 Sites, die sich alle auf die eine oder andere Art und in mehr oder weniger vielen Browsern umgehen lassen.

Sie empfehlen als sichere Lösung den X-FRAME-OPTIONS-HTTP-Header, Mozillas Content Security Policy (CSP) sowie einen Framebuster in JavaScript, den sie für den (damals) sichersten hielten.

Allerdings sollte man sich den Einsatz von JavaScript-Framebustern gut überlegen, denn mit Einführung des sandbox-Attributs für iframes in HTML5 haben die ausgedient: Das sandbox-Attribut deaktiviert die Top-Level-Navigation, so dass der Framebuster versagt und die in den iframe mit sandbox-Attribut geladene Seite für Clickjacking anfällig ist. Darauf weist z.B. die IT-Sicherheitsbehörde der EU (ENISA, European Network and Information Security Agency) in einer Untersuchung (PDF) hin.

Da die CSP nur in Mozilla-Programmen funktioniert, bleibt nur der X-FRAME-OPTIONS-HTTP-Header als von allen Browsern akzeptierte Lösung.

Google- und Twitter-Buttons erlauben Clickjacking

Twitters "Follow"-Button ist für Clickjacking anfällig, und auch Googles +1-Button ist betroffen. Der Entdecker der Schwachstellen hat jeweils Demo-Seiten vorbereitet. Während bei Twitter das Opfer zum Follower eines vom Angreifer ausgewählten Feeds wird, empfiehlt es bei Googles +1-Button eine vom Angreifer ausgewählte Seite seinen Kontakten (vergleichbar dem Likejacking bei Facebook). Nicht ohne Grund hatte ich damals das Likejacking als Buttonjacking bezeichnet. Um mich selbst zu zitieren:

"Das Problem von Facebooks "Like"-Button und allen anderen Schaltflächen etc., die auf einer Webseite eingebunden werden, um Aktionen im Kontext eines anderen Dienstes auszulösen: Sofern sie nur auf einen Klick warten und daraufhin sofort eine Aktion im Namen eines bei ihrem eigenen Dienst angemeldeten Benutzers auslösen, können sie sich nicht mit einem Framebuster vor Clickjacking schützen, da es ja gerade ihre Aufgabe ist, in einer anderen Seite eingebunden zu sein. Und auch serverseitige Schutzmöglichkeiten wie der "X-FRAME-OPTIONS"-Header lassen sich nicht anwenden. Sofern die Seite, die sie einbettet, nicht selbst gegen Clickjacking geschützt ist, sind sie ein leichtes Opfer eines solchen Angriffs."

Aber kommen wir zu den guten Nachrichten:

Android-Update schützt vor "mobilen Clickjacking"

Ein mit dem Clickjacking vergleichbarer Angriff auf Smartphones ist das Touch-Event Hijacking oder TapJacking, bei dem statt Mausklicks das Tippen auf den Touchscreen umgeleitet wird. Statt auf der angezeigten Benutzeroberfläche landen die Touch-Events auf einer für den Benutzer unsichtbaren Benutzeroberfläche. Dieser Angriff wurde von Gustav Rydstedt, Baptiste Gourdin, Elie Bursztein und Dan Boneh von der Stanford University in ihrem Vortrag "Framing Attacks on Smart Phones and Dumb Routers: Tap-jacking and Geo-localization Attacks" auf dem 4th USENIX Workshop on Offensive Technologies vorgestellt (Paper als PDF) In Android wurde in Version 2.3 eine Schutzmaßnahme gegen diese Angriffe implementiert. Es ist nun möglich, Interaktions-Events zu blockieren, wenn die zugehörige Oberfläche nicht sichtbar ist, z.B. weil sie von einer anderen verdeckt wird.

WordPress 3.1.3 mit Clickjacking-Schutz

WordPress 3.1.3 enthält einen Clickjacking-Schutz für Administrations- und Login-Seiten. Dadurch ist es z.B. nicht mehr möglich, über einen Clickjacking-Angriff auf einem Administrator diesen unbemerkt Einstellungen ändern zu lassen. Es wäre schön, wenn die Entwickler weiterer Webanwendungen sich an diesem Vorbild orientieren würden.

Kein Clickjacking bei Drive-by-Angriff über Facebook

Am 1. Juni 2011 meldete F-Secure einen Angriff über Facebook, bei dem die "Like"-Funktion missbraucht wurde, um die Opfer auf eine angebliche Video-Seite zu lotsen, auf der ihnen dann je nach System eine ungenannte Schadsoftware für Windows oder Scareware für Mac OS X untergeschoben wurde. Entgegen ersten Annahmen kam dabei kein Clickjacking zum Einsatz. Aber auch ohne Schadsoftware zu verbreiten kann mit Clickjacking ja mehr als genug Schaden angerichtet werden.

Und damit ist das Thema "Clickjacking" mal wieder abgeschlossen. Bis es wieder etwas Neues gibt, was leider früher oder später passieren wird. In der nächsten Folge geht es um Möglichkeiten zum Manipulieren von Anzeigen aller Art durch Right to Left Override (RLO) Unicode Tricks.

Carsten Eilers

Update 13.5.2015
Aus Anlass des 5jährigen Blog-Jubiläums habe ich alle Clickjacking-Artikel zusammengefasst, überarbeitet, ergänzt und auf den aktuellen Stand gebracht. Das Ergebnis ist ein (natürlich kostenloses) eBook im ePub- und PDF-Format: 5 Jahre Blog - Als Special: "Clickjacking"-eBook
Ende des Updates vom 13.5.2015

Übersicht über alle Artikel zum Thema

Clickjacking - Angriffe auf Seiten ohne Schwachstellen

Clickjacking - Auch komplizierte Aktionen sind möglich

Clickjacking - Framebuster oder HTTP-Header verhindern Angriffe

Der Angriff der Clickjacking-Würmer, "Likejacking" und "Buttonjacking"

Clickjacking - "Likejacking" unter die Haube geguckt

Clickjacking - The next Generation

Clickjacking - Drag&Drop-Angriffe und weitere Neuigkeiten

Cookiejacking - Keksdiebe im Internet Explorer

Likejacking - Facebook im Visier der Cyberkriminellen

Clickjacking - Gute und Schlechte Nachrichten

Standpunkt: Clickjacking gegen Flash, urchin.js und Duqu - nichts als Wiederholungen!

Neue Angriffe auf Webanwendungen über Clickjacking und Cookies

Clickjacking-Angriffe verhindern - der aktuelle Stand der Dinge

Clickjacking: Cross Origin Resource Jacking und ein Clickjacking-BeEF-PlugIn

Clickjacking: "Zaubertricks" ermöglichen Likejacking und mehr

Dieses und Jenes zum Clickjacking

5 Jahre Blog - Als Special: "Clickjacking"-eBook