أمان iframe: Clickjacking وX-Frame-Options

يضمّن اختطاف النقرات (Clickjacking)، المعروف أيضاً بإعادة تصميم واجهة المستخدم، موقعاً مستهدفاً داخل iframe شفاف موضوع فوق صفحة طُعم. يظن المستخدم أنه ينقر على صفحة الطُعم، لكنه ينقر فعلياً على الصفحة المخفية والمصادق على دخوله إليها أسفلها، فينفّذ إجراءات على الموقع المستهدف من دون علمه.

يحمّل المهاجم victim.com داخل iframe شفاف موضوع فوق زر "انقر للربح!". عندما ينقر المستخدم، ينقر فعلياً على زر "حذف الحساب" في victim.com، مع تسجيل دخوله بحسابه من خلال ملف جلسة victim.com. ولا حاجة إلى التصيد الاحتيالي.

يمنع X-Frame-Options: DENY تحميل الصفحة داخل أي iframe. ويسمح X-Frame-Options: SAMEORIGIN بالتضمين داخل iframe للصفحات ذات الأصل نفسه فقط. اضبط هذا الرأس من جهة الخادم على جميع الصفحات التي تتطلب تسجيل الدخول لمنع اختطاف النقرات.

يُعد Content-Security-Policy: frame-ancestors 'none' البديل الحديث والأكثر مرونة لـ X-Frame-Options: DENY. ويحل frame-ancestors 'self' محل SAMEORIGIN. ويمكن لـ frame-ancestors أيضاً السماح بمصادر موثوقة محددة: frame-ancestors https://trusted.example.com.

كان كسر الإطارات قديماً يعتمد على JavaScript للخروج من الإطارات. ويمكن التحايل على هذه الأساليب بسهولة باستخدام السمة sandbox، التي تحظر نص كسر الإطار. استخدم دائماً الرؤوس من جهة الخادم (X-Frame-Options أو CSP frame-ancestors)، فكسر الإطارات باستخدام JavaScript غير موثوق.

تشمل حالات الاستخدام المشروعة للتضمين داخل الإطارات: تضمين المحتوى الخاص بك على الأصل نفسه (SAMEORIGIN)، والسماح لشريك محدد بتضمين widget الخاص بك (باستخدام frame-ancestors مع أصل محدد). صمّم السياسة للسماح بهذه الحالات ومنع جميع الحالات الأخرى.

اضبط كلاً من X-Frame-Options (للمتصفحات الأقدم) وCSP frame-ancestors (للمتصفحات الحديثة) لتوفير أقصى تغطية. عند وجودهما معاً، تكون الأولوية لـ frame-ancestors في المتصفحات التي تدعم CSP. ويضمن إرسال الرأسين حمايةً من اختطاف النقرات عبر جميع برامج المستخدم.

يمكن أن تشكل iframes ذات الأصل نفسه مخاطر أيضاً: إذ يمكن لثغرة XSS مخزّنة في صفحة مضمّنة الوصول إلى الصفحة الحاوية عبر parent.document عندما يكون الأصل نفسه. استخدم sandbox من دون allow-same-origin مع iframes ذات الأصل نفسه التي لا تحتاج إلى الوصول إلى الصفحة الحاوية، للحد من أضرار الثغرات الموجودة في المحتوى المضمّن.

تحقّق من الحماية من اختطاف النقرات باستخدام علامة تبويب الشبكة في المتصفح لفحص رؤوس الاستجابة بحثاً عن X-Frame-Options أو CSP frame-ancestors. تحلّل أدوات مثل securityheaders.com الرؤوس. أنشئ صفحة HTML تجريبية تحتوي على iframe يشير إلى موقعك، وتحقّق من فشل تحميله.

عند تضمين محتوى من جهات خارجية مثل YouTube وGoogle Maps، يكون موقعك هو الموقع الذي يضمّن المحتوى — لذا تأكّد من أن الخدمة المضمّنة تسمح بالتضمين ضمن سياسة X-Frame-Options الخاصة بها. لا يمكنك تضمين موقع يمنع التضمين، وهذا مقصود لحماية مستخدمي الخدمة المضمّنة.

بخلاف معظم توجيهات CSP، لا يمكن ضبط frame-ancestors من خلال وسم HTTP-equiv من نوع meta، بل يجب إرساله كرأس استجابة HTTP. ويضمن ذلك عدم تمكّن المهاجمين من إزالة الحماية عبر التلاعب بـ HTML المضمّن قبل أن يقرأ المتصفح وسوم meta.

لماذا تُعد شيفرة كسر الإطارات باستخدام JavaScript وسيلة غير موثوقة للدفاع ضد اختطاف النقرات؟

يضمّن اختطاف النقرات صفحات تتطلب تسجيل الدخول داخل iframes شفافة لاختطاف النقرات. وتتمثل الحماية في استخدام رؤوس X-Frame-Options: DENY أو CSP frame-ancestors: none من جهة الخادم. اضبط كليهما لتوفير الحماية عبر المتصفحات المختلفة. كسر الإطارات باستخدام JavaScript غير موثوق — استخدم دائماً رؤوس HTTP. ويوفّر frame-ancestors قائمة سماح دقيقة بالمصادر الموثوقة، وهو ما لا يستطيع X-Frame-Options توفيره.