ところでクリックジャッキングって一体なに？
クリックジャッキング：研究者が複数のブラウザに対する新たな脅威について警告：ZDNet Japanより
セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響のある、新たな恐ろしいブラウザに対する脅威に対する警告を発している。その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashだ。
この脅威は「クリックジャッキング」と呼ばれるもので、OWASP NYC AppSec 2008カンファレンスで議論されるはずだったものだが、Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が準備されるまではこの話題を公にすることが取りやめられていたものだ。
これを発見したのは、Robert Hansen氏とJeremiah Grossman氏という2人の研究者で、彼らはこの問題の深刻さを強調するために、いくつかの情報を公開している
では、クリックジャックングとは実際にはどういうものなのだろうか
残念ながら、われわれが発見した問題の一部は、思ったよりもずっと悪いものだった。実際、あまりにも脅威が大きかったため、われわれは責任を持った情報開示をせざるを得ないと感じた。1つの問題が別の問題につながり、それがまた別の問題へとつながっている。すでに少なくとも2つのパッチが用意されており、まだ公開の日付は決まっていないが、他のベンダーもおそらくパッチを用意することと思われる。そして、われわれはまだ少数のベンダーとしか共同で作業をしていない。つまり・・・事態はかなり悪い。
このクリックジャッキングって詳細がよくわからないので、何ともよくわからない感じです。
どうも、相当ヤバイのは間違いなさそうです。
一言で言えば、悪意のあるウェブサイトに訪れた際、攻撃者はブラウザ上のリンクをコントロールできるというものだ。この問題は、lynxなどを除いて、ほぼすべてのブラウザに影響がある。この問題はJavaScriptとは関係がないため、JavaScriptをオフにしても問題は解決しない。これは、ブ
ラウザの動作する仕組みに関わる根本的な欠陥で、簡単なパッチでは修正することができない。この攻撃方法を使った場合、ユーザーが悪意のあるウェブページ
を訪れると、攻撃者はそのページ上のあらゆるリンク、ボタン、その他あらゆるものをユーザーには見せないままクリックすることができる。
この一言・・・今時lynxを使っているユーザーが、どのくらいいるのだろう？インターネットをはじめて使った頃に、利用した記憶がある程度です。当時はブラウザの選択肢も少なかったのです。パソコン通信の延長な感じでしたから。。。
詳細もわからずに勝手に要約すると。。。
ユーザーの意思では「まず踏まない」ようなリンク先を「踏ませる」攻撃？
と、思っております。
インターネットのキケンを説明するのに、ネットに繋がない！なんて、まず仕事をする上で不可能なこと。。。を、例え話でよく使います。
それは不可能なのだから、それなりのセキュリティ対策を（技術的にも、人的にも）するしかない！と。
しかし、この攻撃って「これ」が本当に必要なことかもしれません。
う〜ん、どの程度ヤバイのでしょうか？
詳細か、対策されたブラウザが早く欲しいですね。って言いながら、ブラウザからブログを投稿してます(爆)
何をどこからどのようにすれば？との質問が多くあります
急激な社会環境変化により従来の概念や方法では解決できないことが多くなりました。
従来の業務は会社の中で行う → モバイルを活用して場所と時間の制約が無くなった → 自宅などの会社以外の場所で通常と同じレベルの作業が求められる（現状のリモートワーク）
労働・雇用環境の変化に応じて基準となる「就業規則」も変えなければなりません。同時に業務を進めるために「最低限のセキュリティ」も確保しなければなりません。
しかし教育も体制もない中、どのように進めればいいのでしょうか？と問合せが増えています。
13 thoughts on “ところでクリックジャッキングって一体なに？”
この投稿はコメントできません。
関係は不明ですが、ブラウザで書き込んだまたはコピーした文字列の一部を含む URL （実在せず）に飛ぼうとしたことがこの二日で 2 回、コピーした文字列を含む実在するサイトに飛んだのが 1 回。明らかに、 DNS 汚染とは違います。関係があるかもしれないので、情報が欲しいです。
朝之丞 さん
自分の事例を改変してもう少し具体的にかいておきます。
あくまでも、現段階では、自分の事例が今回の件と関係あるかどうか不明です。
例えば、この CNET のコメントを、メモ帳で書いて、コピペしてコメントにします。
そのあと、他のブロガーの方の記事を閲覧、記事中のリンクを別タブで開きます。
そのリンク先の中にあった別のリンクをさらに開こうとしました（今度は別タブでなく）。
その時にブラウザーが開こうとしたのが、たとえば、
http://www.関係は不明ですが、ブラウザで書き込んだまたはコピーした文字列の一部を含（中略）.com
のように、過去のコメントの一部を含む、存在しないサイトに飛ぼうとしました。
サイトが実在した事例でも、同様の操作でした。
新倉さん、sumimotoshoheiさん
私も新作Security softのTry and Tested中「危ない系」に行って且つリダイレクトでIE7の音がして（何回も）行った先で、クリックしていないのに音が…orz（つい最近です）これ関係有りますかね？
・アフィリエイト
・DDoS
・ブラクラ
思い付くのはこれくらいでしょうか。
もしもポップアップで出てきたダウンロード確認の『はい』ボタンまでコントロールされていたら、知らないうちにDirectX入れられたりしてしまうかもしれませんね。
sumimotoshoheiさん、コメントありがとうございます。
>明らかに、 DNS 汚染とは違います。
なるほど。。。既に体験済みなのですね。
どんなところに飛ばすのでしょうね？飛んだ先がクリックせずに飛んで、クリックと同じ効果があれば「何か得」をするはずです。
攻撃であれば、飛んだ先が”とんでもないこと”になりますね。
相当広範囲な、強力最悪ＤＤＯＳにしか思えないです。
いずれにしても、実態がわからないのは、イヤですね。
なるほどそうかもですね。
clipboard hijack attack と言う言葉を含むリンクが、新倉さんの原文からたどれる模様ですが、外国語なので、日本語ばかり読んでいる自分には読めません。
不正なスクリプトだか、アクソティブ×だか分かりませんが、クリップボード領域を飛ばせたいサイト名のワークに使われているのでは？
//
みなさま、コメントありがとうございます。
>・アフィリエイト・DDoS・ブラクラ
korlyさんの仰る通りだと思います。
何かの意図があるはずです。ピンポイントか分散かですね。分散であればテロとも言えるかもしれないですね。
朝之丞さん、同じく再現されたのですね。コントロール不能な「Try and Tested」ですね(笑)。私はまだ、再現出来てません。
やり方がダメなのでしょうか？
sumimotoshoheiさん、詳細状況ありがとうございます。
この挙動。。。かなりアヤシイですね。単に見えないリンク先に飛ばされるだけだと思っていました。
引き続き、要ウォッチですね。
朝之丞さん
同じ症状の経験者がいらっしゃることを確認でき、少し安心しましたが、 korly さんの書かれたことも気になっています。
現在、「セキュリティーホール memo 9 月 29 日」の記述を参考にし、Firefox は noscript でガチガチにし、他のブラウザは、スクリプト等全て切った上で、設定を、「 iframe 」 切りにして試しています。
昨日は、一日、当該症状は出ませんでした。これでも症状が再現するようなら、またコメントを追記します。
説明不足でしたので追記させて頂きます。
直前のコメントで
＞www.朝之丞.com
などは存在しないので、その旨のメッセージが表示されます。
コメント4での
＞クリックしていないのに音が
も最近出る様になりました。
sumimotoshoheiさん
＞http://www.関係は不明ですが、ブラウザで書き込んだまたはコピーした文字列の一部を含（中略）.com
のように、過去のコメントの一部を含む、存在しないサイトに飛ぼうとしました。
ビンゴ! です。
その症状は、私も出ています。ググった後、とあるURLをクリックしたらその前にググった検索キーワード、例えば「朝之丞」としますが、www.朝之丞.com とか出た時があります。
どうもありがとうございます。
自分もデモサイトの動作確認出来ました。
自分からも、朝之丞さんに期待して良いでしょうか？
ルート１３４さん、コメントありがとうございます。
>クリップボード領域を・・・
どうもそのようです。
sumimotoshoheiさん
すみません。原文をちゃんと読んでませんでした。
拙い英語能力で読んでみました。
クリップボードの乗っ取りでした。
原文に、デモがありました。「proof-of-concept demo」ってやつです。リンクは張りませんので、原文からリンクしてみてください。とりあえず踏んでみました。これで私も再現できました。
ちなみにF-Secure2009では「反応」しました。
Trojan-Downloader:JS/Agent.CTKってので、HITしました(笑)
＆アヤシイサイトのURLがクリップボードに残ってました。
クリップボードの履歴ツールを使っているのですが、止めずにやったら、止められなくなり、強制終了しました。CPU90%くらいまで行っちゃいました。再起動後に止めてからやったら、上記のようになりました。
この先は、朝之丞さんの「Try and Tested」でやっていただくしか・・・「方法はない」と思います(笑)