Безопасность iframe: кликджекинг и X-Frame-Options

Кликджекинг (подмена интерфейса) встраивает целевой сайт в прозрачный фрейм поверх страницы-приманки. Пользователь думает, что нажимает на приманку, но на самом деле нажимает на скрытую страницу, прошедшую аутентификацию, — и выполняет действия на целевом сайте, не подозревая об этом.

Злоумышленник загружает victim.com в прозрачный фрейм, расположенный поверх кнопки «Нажмите, чтобы выиграть!». Когда пользователь нажимает кнопку, он на самом деле нажимает кнопку «Удалить аккаунт» на victim.com — будучи аутентифицированным в своей сессии victim.com. Фишинг не требуется.

X-Frame-Options: DENY предотвращает загрузку страницы в любом фрейме. X-Frame-Options: SAMEORIGIN разрешает встраивать страницу только страницам того же источника. Устанавливайте этот заголовок на стороне сервера для всех аутентифицированных страниц, чтобы предотвратить кликджекинг.

Content-Security-Policy: frame-ancestors 'none' — современная, более гибкая замена X-Frame-Options: DENY. frame-ancestors 'self' заменяет SAMEORIGIN. Директива frame-ancestors также может разрешать конкретные доверенные источники: frame-ancestors https://trusted.example.com.

В устаревших механизмах защиты от фреймов использовался JavaScript, чтобы выйти из фрейма. Атрибут sandbox легко блокирует такую защиту, поскольку запрещает выполнение скрипта. Всегда используйте заголовки на стороне сервера (X-Frame-Options или CSP frame-ancestors) — защита от фреймов с помощью JavaScript ненадёжна.

Допустимые случаи встраивания во фреймы: встраивание собственного содержимого на собственном источнике (SAMEORIGIN), а также разрешение конкретному партнёру встраивать ваш виджет (frame-ancestors с определённым источником). Спроектируйте политику так, чтобы разрешить эти случаи и запретить все остальные.

Для максимального охвата устанавливайте и X-Frame-Options (для старых браузеров), и CSP frame-ancestors (для современных браузеров). Если присутствуют оба заголовка, в браузерах с поддержкой CSP приоритет имеет frame-ancestors. Отправка обоих заголовков обеспечивает защиту от кликджекинга во всех пользовательских агентах.

Даже фреймы того же источника могут представлять опасность: хранимая XSS-уязвимость во встроенной странице может получить доступ к родительской странице через parent.document, если источники совпадают. Используйте sandbox без allow-same-origin для фреймов того же источника, которым не нужен доступ к родительской странице, чтобы ограничить ущерб от уязвимостей встроенного содержимого.

Проверьте защиту от кликджекинга: откройте вкладку сети браузера и проверьте заголовки ответа на наличие X-Frame-Options или CSP frame-ancestors. Такие инструменты, как securityheaders.com, анализируют заголовки. Создайте проверочную HTML-страницу с фреймом, указывающим на ваш сайт, и убедитесь, что он не загружается.

При встраивании стороннего содержимого (YouTube, Карты Google) вы выступаете сайтом, в который встраивают содержимое, поэтому убедитесь, что встроенный сервис разрешает встраивание в собственной политике X-Frame-Options. Нельзя встроить сайт, запрещающий встраивание, — это сделано намеренно и защищает пользователей встроенного сервиса.

В отличие от большинства директив CSP, frame-ancestors нельзя задать с помощью метатега HTTP-equiv — эту директиву необходимо передавать в заголовке HTTP-ответа. Благодаря этому злоумышленники не могут снять защиту, изменив встроенный HTML до того, как браузер прочитает метатеги.

Кликджекинг встраивает аутентифицированные страницы в прозрачные фреймы, чтобы перехватывать нажатия. Защита: заголовок X-Frame-Options: DENY или заголовок CSP frame-ancestors: none на стороне сервера. Устанавливайте оба заголовка для защиты во всех браузерах. Защита от фреймов на JavaScript ненадёжна — всегда используйте заголовки HTTP. Директива frame-ancestors предоставляет детальный список разрешённых доверенных источников, чего не может X-Frame-Options.