Bezpieczeństwo iframe — clickjacking i X-Frame-Options

Clickjacking (fałszowanie interfejsu użytkownika, UI redressing) polega na osadzeniu docelowej witryny w przezroczystym iframe umieszczonym nad stroną przynętą. Użytkownik sądzi, że klika element strony przynęty, ale w rzeczywistości klika ukrytą, uwierzytelnioną stronę znajdującą się pod spodem — wykonując działania w docelowej witrynie bez swojej wiedzy.

Atakujący ładuje victim.com w przezroczystym iframe umieszczonym nad przyciskiem „Kliknij, aby wygrać!”. Gdy użytkownik klika, w rzeczywistości klika przycisk „Usuń konto” w witrynie victim.com — jako uwierzytelniony użytkownik na podstawie pliku cookie sesji tej witryny. Phishing nie jest wymagany.

X-Frame-Options: DENY uniemożliwia załadowanie strony w dowolnym iframe. X-Frame-Options: SAMEORIGIN zezwala na osadzanie strony wyłącznie przez strony z tego samego originu. Proszę ustawić ten nagłówek po stronie serwera na wszystkich uwierzytelnionych stronach, aby zapobiec clickjackingowi.

Content-Security-Policy: frame-ancestors 'none' to nowoczesny i bardziej elastyczny zamiennik X-Frame-Options: DENY. frame-ancestors 'self' zastępuje SAMEORIGIN. frame-ancestors może również zezwalać na określone zaufane originy: frame-ancestors https://trusted.example.com.

Starsze mechanizmy frame busting wykorzystywały JavaScript do wydostawania się z ramek. Można je łatwo obejść za pomocą atrybutu sandbox (który blokuje skrypt frame busting). Zawsze proszę używać nagłówków po stronie serwera (X-Frame-Options lub CSP frame-ancestors) — frame busting w JavaScript nie jest niezawodny.

Uzasadnione przypadki użycia ramek to: osadzanie własnych treści we własnym originie (SAMEORIGIN) oraz zezwalanie konkretnemu partnerowi na osadzanie widgetu (frame-ancestors z określonym originem). Proszę zaprojektować politykę tak, aby zezwalała na te przypadki i odrzucała wszystkie pozostałe.

Proszę ustawić zarówno X-Frame-Options (dla starszych przeglądarek), jak i CSP frame-ancestors (dla nowoczesnych przeglądarek), aby uzyskać maksymalny zakres ochrony. Gdy oba nagłówki są obecne, w przeglądarkach obsługujących CSP pierwszeństwo ma frame-ancestors. Wysyłanie obu nagłówków zapewnia ochronę przed clickjackingiem we wszystkich klientach użytkownika.

Nawet iframe z tego samego originu mogą stwarzać zagrożenia: przechowywane XSS na osadzonej stronie może uzyskać dostęp do strony nadrzędnej przez parent.document, jeśli iframe i strona nadrzędna mają ten sam origin. W przypadku iframe z tego samego originu, które nie potrzebują dostępu do strony nadrzędnej, proszę używać sandbox bez allow-same-origin, aby ograniczyć szkody wynikające z luk w osadzanej treści.

Aby zweryfikować ochronę przed clickjackingiem, proszę użyć karty sieciowej w narzędziach przeglądarki i sprawdzić, czy nagłówki odpowiedzi zawierają X-Frame-Options lub CSP frame-ancestors. Narzędzia takie jak securityheaders.com analizują nagłówki. Proszę utworzyć testową stronę HTML z iframe wskazującym na Państwa witrynę i sprawdzić, czy nie uda się go załadować.

Podczas osadzania treści zewnętrznych (YouTube, Google Maps) to Państwo są witryną osadzającą — proszę upewnić się, że osadzana usługa zezwala na osadzanie we własnej polityce X-Frame-Options. Nie można osadzić witryny, która blokuje osadzanie — jest to zamierzone działanie chroniące użytkowników osadzanej usługi.

W przeciwieństwie do większości dyrektyw CSP, frame-ancestors nie można ustawić za pomocą znacznika meta z atrybutem HTTP-equiv — dyrektywa musi zostać dostarczona jako nagłówek odpowiedzi HTTP. Dzięki temu atakujący nie mogą usunąć ochrony przez zmodyfikowanie osadzanego kodu HTML, zanim przeglądarka odczyta znaczniki meta.

Dlaczego kod frame busting w JavaScript jest niezawodną ochroną przed clickjackingiem?

Clickjacking osadza uwierzytelnione strony w przezroczystych iframe, aby przejmować kliknięcia. Obrona: nagłówki po stronie serwera X-Frame-Options: DENY lub CSP frame-ancestors: none. Proszę ustawić oba, aby zapewnić ochronę w różnych przeglądarkach. Frame busting w JavaScript jest niezawodny — zawsze proszę używać nagłówków HTTP. frame-ancestors oferuje szczegółowe zezwalanie na listę zaufanych originów, czego X-Frame-Options nie potrafi.