クリックジャッキング
更新日:
用語解説
正規サイトの画面を透明又は見えにくいフレームとして別の表示へ重ね、利用者をだまして意図しないボタンやリンクをクリックさせるUI偽装攻撃です。
■ 試験で押さえるポイント
利用者には動画再生など別の操作に見せながら、実際には権限付与、設定変更、購入など、下層に置いた正規サイトの操作を実行させます。
HTTP応答のContent-Security-Policyにframe-ancestorsを設定し、必要のない他サイトからのフレーム表示を禁止します。X-Frame-Optionsも互換対策です。
重要操作では対象・内容を明瞭に再表示し、再認証や確認を要求します。CSRFトークンが正しくても、正規画面上で本人にクリックさせる攻撃は残り得ます。
CSRFがブラウザへ偽造要求を送らせるのに対し、クリックジャッキングは画面の重ね合わせで利用者自身のクリックを誤った対象へ誘導します。
■ 過去問での着眼点
透明なiframeなどで正規UIを別表示に重ね、利用者のクリック先をすり替える点が決め手です。フレーム表示の禁止が主要対策です。
例: 「景品を受け取る」ボタンの下へ透明な「管理者権限を許可」ボタンを重ねても、frame-ancestorsを'self'に限定すれば外部ページでの重ね表示を防げます。