Clickjacking, el nuevo cuco de la inseguridad en Internet

Si pretendemos usar esto de "la interné" sí que cada vez lo tenemos más difícil. Que virus, que troyanos, rootkits indetectables, Cross-site Scripting, la vulnerabilidad DNS que hace que ni podamos confiar en lo que se muestra en la barra de direcciones del navegador… pero si todo lo anterior no nos parecía suficiente ahora tenemos algo más. El nuevo término de moda es Clickjacking, el cual no importa que deshabilitemos Javascript y todos los plugins juntos funciona igual, y aunque no se sabe mucho de como realmente funciona aún, se sabe cuáles son sus efectos: Generar clicks en cualquier parte de la página sin consentimiento ni conocimiento del usuario. Gracias esto se vuelve una técnica muy útil tanto para robar o alterar datos residentes en la web como para facilitar la instalación de malware, y fraudes de clicks de esos que tanto le preocupan a Google. Lo peor del caso es que no existe una forma de utilizar la web de hoy en día sin correr peligro de este tipo de ataque, ya que como mencionaba antes, aunque deshabilitemos todo contenido activo de nuestro navegador, igual sigue funcionando. Se creía que la conocida extensión para Firefox, NoScript, podía dar una protección completa, incluso su creador aconseja cómo configurar otros navegadores para lograr el mismo nivel de protección en estos (siendo Opera el único que permite deshabilitar tantas opciones como lo hace NoScript en Firefox), pero Ronald van den Heetkamp demostró que no es suficiente. Hoy por hoy la única manera de permanecer inmune a este ataque y poder seguir usando la web es utilizar un navegador en modo texto como Lynx, lo que, por supuesto, no nos permite utilizar casi nada de la web 2.0 que a la bobósfera y al mundo le calienta tanto.

GMail desde el navegador Lynx.

Mientras tanto, resta esperar que Jeremiah Grossman y Robert "Rsnake" Hansen, los Dan Kaminsky de este entuerto, digan lo que saben (iban a hacerlo en la Open Web Application Security Project pero Adobe les "pidió" más tiempo), y, para muy largo plazo, podamos ver una respuesta conjunta de los navegadores líderes en dirección a la resolución de este problema.

Vía Kriptópolis y Ars Technica.

Compártelo

Entradas Relacionadas

Georgia y Rusia en cyber guerra

Dilatación del tiempo en Internet explicada

La inseguridad de Internet al desnudo: El cyber-ataque a Estonia

Descarga de Internet

Video del nuevo Opera Mobile 9.5