אנדרואיד

IE8 של Clickjacking תיקון לא הרבה עזרה, מומחים אומרים

How to Download Internet Explorer 7/8/9/10/11 32 bit & 64 bit

How to Download Internet Explorer 7/8/9/10/11 32 bit & 64 bit
Anonim

"זה לא פתרון ללחוץ על כל קטע של הדמיון, זה גורם מקטין במעורפל עבור אנשים מעטים מאוד המשתמשים IE8", אמר רוברט הנסן, מנכ"ל של הייעוץ Secoryory, ואחד האנשים שדיווחו לראשונה על הבעיה ל- Microsoft. "אבל זה מעניין שהם לוקחים את זה ברצינות." בעוד כמה אתרי אינטרנט בהחלט להשתמש בטכנולוגיה של מיקרוסופט כדי למנוע מבקרים IE שלהם מלהיות מכה עם clickjacking, יש פשוט יותר מדי תחומים אחרים שבהם קוד HTML לא סביר להיות מעודכן והאקרים יכולים לשגר התקפות - מיקוד ממשקי ממשק נתב או יישומים ארגוניים, או ללכת אחרי אתרי אינטרנט שלא הצליחו ליישם את התיקון של מיקרוסופט. "זהו פתרון שגם אם כולם יחליטו שזו הדרך הנכונה לעשות דברים, זה ייקח עוד שנים רבות של חינוך", אמר הנסן.

גרוע מכך, משתמשים מסוימים עשויים לחשוב בטעות שהם מוגנים רק בגלל שהם משתמשים ב- IE, לדברי ג'ורג'יו מאון, המפתחת של תוסף ה- Firefox של NoScript, הנחשב בדרך כלל להגנה הטובה ביותר מפני התקפות מבוססות אינטרנט רבות, כולל קליקים. "החדשות הרעות עבור חובבי IE הם שאין להם הגנה על הקסם" מחוץ לקופסא ", כתב בבלוג שלו ביום שלישי. "נכון, זה לא דורש שום דפדפן 'Add-on' … אבל זה מגיע עם דרישה מחמירה עוד יותר: כל האתרים להיות מוגנים כבר אימצה גרזן קניינית חדשה, כלומר משהו לא משתמש הקצה יכול לאמת, שלא לדבר על אכיפה. "

NoScript מאפשר למשתמשים לחסום באופן סלקטיבי את השימוש בשפות scripting בדפדפן פיירפוקס. מכיוון ש- clickjacking מחייב Scripting, ההתקפה אינה פועלת כאשר NoScript מופעל.

במשך חודשים, התוספת של Maone הייתה הטכנולוגיה הידועה ביותר לסיכול קליקים. עם קוד ה- IE 8, עם זאת, למיקרוסופט יש סוף סוף אלטרנטיבה משלה.

כדי לעזור למצב, Maone מפתחת תכונת תאימות כדי שמשתמשי NoScript יוכלו לנצל את אותו קוד אינטרנט המשמש את IE, הוא עכשיו שדולה כדי לקבל תכונה זו כלולה בגירסה הקרובה של פיירפוקס.

האנסן ומאון גם מתח ביקורת על מיקרוסופט על החזקת פרטים טכניים של הטכנולוגיה. "למרות שהם יישמו את זה, הם לא נתנו הדרכה כיצד להשתמש בו בפועל", אמר האנסן. בהודעה בדואר אלקטרוני, אמרה מיקרוסופט כי היא מתכננת להקים פוסט בבלוג על Anti-clickjacking תכונה זה מתישהו השבוע וכי זה עבד עם כל ספקי הדפדפן העיקריים "כדי לקבל משוב קלט על יישום שלנו את התג clickjacking לפני משלוח Internet Explorer 8 RC1."

הודעה זו עשויה להיות שימושית. כפי שהדברים נראים עכשיו, נראה כי "התכונה לא מאפשרת למשתמש להגן על עצמם", אמר ג'רמיה גרוסמן, קצין הטכנולוגיה הראשי של White Hat Security.הנסן אמר כי המפתחים של מיקרוסופט הציע הראשון שלהם IE8 clickjacking לתקן לפני כמה חודשים, כאשר הוא הראשון תיאר את הבעיה להם. "פטרתי את זה כפתרון לטווח ארוך, שאפשר לסלק אותו, "אמר