iframe Güvenliği: Tıklama Korsanlığı ve X-Frame-Options

Tıklama korsanlığı (kullanıcı arayüzünü yeniden giydirme), hedef siteyi sahte bir sayfanın üzerine yerleştirilmiş saydam bir iframe içine gömer. Kullanıcı sahte sayfaya tıkladığını düşünür, ancak aslında altta bulunan, kimlik doğrulaması yapılmış gizli sayfaya tıklar ve hedef sitede bilgisi dışında işlemler gerçekleştirir.

Saldırgan, victim.com sitesini "Kazanmak için tıklayın!" düğmesinin üzerine yerleştirilmiş saydam bir iframe içine yükler. Kullanıcı tıkladığında aslında victim.com sitesindeki "Hesabı Sil" düğmesine tıklar; victim.com oturum çerezinde kendisi olarak kimlik doğrulaması yapılmıştır. Kimlik avı gerekmez.

X-Frame-Options: DENY, sayfanın herhangi bir iframe içine yüklenmesini engeller. X-Frame-Options: SAMEORIGIN, iframe içine yalnızca aynı kaynaktaki sayfalar tarafından yerleştirilmesine izin verir. Tıklama korsanlığını önlemek için bu üst bilgiyi sunucu tarafında kimlik doğrulaması yapılmış tüm sayfalarda ayarlayın.

Content-Security-Policy: frame-ancestors 'none', X-Frame-Options: DENY'nin modern ve daha esnek karşılığıdır. frame-ancestors 'self', SAMEORIGIN'in yerini alır. frame-ancestors, belirli güvenilir kaynaklara da izin verebilir: frame-ancestors https://trusted.example.com.

Eski çerçeveden çıkma yöntemlerinde çerçeveden kurtulmak için JavaScript kullanılırdı. Bu yöntemler, sandbox özniteliği tarafından kolayca etkisizleştirilebilir (çerçeveden çıkma betiğini engeller). Her zaman sunucu tarafı üst bilgilerini (X-Frame-Options veya CSP frame-ancestors) kullanın; JavaScript ile çerçeveden çıkma güvenilir değildir.

Çerçevelemenin meşru kullanım alanları şunlardır: kendi içeriğinizi kendi kaynağınızda gömmek (SAMEORIGIN) ve belirli bir iş ortağının bileşeninizi gömmesine izin vermek (belirli kaynakla birlikte frame-ancestors). İlkeyi bu durumlara izin verecek, diğer tüm durumları reddedecek şekilde tasarlayın.

En geniş kapsamı elde etmek için hem X-Frame-Options'ı (eski tarayıcılar için) hem de CSP frame-ancestors'ı (modern tarayıcılar için) ayarlayın. İkisi de bulunduğunda CSP'yi destekleyen tarayıcılarda frame-ancestors önceliklidir. Her ikisini göndermek, tüm kullanıcı aracıları arasında tıklama korsanlığı koruması sağlar.

Aynı kaynaklı iframe'ler bile risk oluşturabilir: gömülü bir sayfadaki depolanmış XSS, aynı kaynaklıysa parent.document aracılığıyla üst öğeye erişebilir. Gömülü içerikteki güvenlik açıklarından kaynaklanan zararı sınırlamak için üst öğeye erişmesi gerekmeyen aynı kaynaklı iframe'lerde allow-same-origin izni olmadan sandbox kullanın.

Tıklama korsanlığı korumasını doğrulayın: X-Frame-Options veya CSP frame-ancestors için yanıt üst bilgilerini kontrol etmek üzere tarayıcının ağ sekmesini kullanın. securityheaders.com gibi araçlar üst bilgileri analiz eder. Sitenizi gösteren bir iframe içeren deneme HTML sayfası oluşturun ve yüklemenin başarısız olduğunu doğrulayın.

Üçüncü taraf içeriklerini (YouTube, Google Haritalar) gömerken çerçeveleyen site siz olursunuz; gömülü hizmetin kendi X-Frame-Options ilkesinde çerçevelemeye izin verildiğinden emin olun. Çerçevelemeyi engelleyen bir siteyi gömemezsiniz; bu, tasarım gereğidir ve gömülü hizmetin kullanıcılarını korur.

Çoğu CSP yönergesinin aksine frame-ancestors, HTTP-equiv meta etiketi aracılığıyla ayarlanamaz; HTTP yanıtı üst bilgisi olarak gönderilmelidir. Bu, tarayıcı meta etiketlerini okumadan önce gömülü HTML'i değiştirerek saldırganların korumayı kaldırmasını engeller.

JavaScript ile çerçeveden çıkma kodu neden güvenilmez bir tıklama korsanlığı savunmasıdır?

Tıklama korsanlığı, kimlik doğrulaması yapılmış sayfaları saydam iframe'lere gömerek tıklamaları ele geçirir. Savunma olarak sunucu tarafında X-Frame-Options: DENY veya CSP frame-ancestors: none üst bilgilerini kullanın. Tarayıcılar arası kapsam için ikisini de ayarlayın. JavaScript ile çerçeveden çıkma güvenilmezdir; her zaman HTTP üst bilgilerini kullanın. frame-ancestors, X-Frame-Options'ın sunamadığı ayrıntılı güvenilir kaynak izin listeleri oluşturma olanağı sağlar.