Firefox ekstenzije Blocks Dangerous Web Attack

NoScript je mala aplikacija koja se integrira u Firefox. On blokira skripte u programskim jezicima kao što su JavaScript i Java od izvršavanja na nepouzdanim web stranicama. Skripte se mogu koristiti za pokretanje napada na računalo.

Najnovija verzija NoScript, inačica 1.8.2.1, zaustavit će tzv. "Clickjacking", gdje osoba koja pretražuje web klikne na zlonamjernu, nevidljivu vezu bez

[Dodatna literatura: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Clickjacking je poznat već nekoliko godina, ali ponovno privlači pozornost dva sigurnosna istraživača, Robert Hansen i Jeremiah Grossman, upozorili su prošlog mjeseca o novim scenarijima koji bi mogli ugroziti privatnost osobe ili, još gore, ukrasti novac s bankovnog računa.

Nažalost, klikanje je moguće zbog osnovne značajke dizajna u HTML-u koje dopušta web stranicama da ugrađuju sadržaj s drugih web stranica, rekao je Maone. Gotovo svi web preglednici su podložni napadu klikanja.

"To je vrlo teško riješiti jer je dio tkanja weba i preglednika", rekao je Maone.

Ugrađeni sadržaj može biti nevidljiv, ali osoba može i dalje nesvjesno stupiti u interakciju s njom. Napadanje klikom na to iskoristilo je tako što je zavaravalo korisnika da klikne na gumb koji izgleda kao da radi neku funkciju, ali zapravo čini nešto sasvim drugo.

Clickjacking može se postići manipuliranjem dodataka drugih aplikacija, poput Adobeovih Flash program i Microsoft Silverlight. Na primjer, istraživači su u posljednjih nekoliko dana pokazali da je moguće da napad napada klikom uključi web kameru i mikrofon osobe bez njihova znanja.

U savjetovanju u utorak, Adobe je izjavio da će do kraja mjesec.

Novo poboljšanje za NoScript, nazvan ClearClick, može otkriti postoji li skriven, ugrađen element unutar web stranice. Zatim prikazuje poruku upozorenja koja traži od korisnika da još uvijek žele kliknuti na njega.

Maone je rekao da će ClearClick vjerojatno zaustaviti sve pokušaj klikanja. NoScript je samo za Firefox preglednik, tako da su korisnici Microsoft Internet Explorera - najčešći preglednik na svijetu - ranjivi.

Vlasnici web stranica, međutim, mogu poduzeti korak da spriječe da njihovi korisnici padnu, Rekao je Maone. Programeri mogu koristiti skriptu na svojim web mjestima koja provjeravaju je li web stranica ugrađena na drugu stranicu. Ako je tako, skripta prisiljava dobru web stranicu ispred, sprječavajući klikanje, rekao je Maone.

Tehnika se zove "framebusting". Ebayova usluga on-line plaćanja, PayPal, koja često cijevi cyber-kriminalci, već je implementirala granice, kazao je Maone. NoScript će omogućiti pokretanje framebusting skripte, rekao je Maone. "Najbolja stvar koja se može dogoditi je da vlasnici web stranica počinju pažljivo razmišljati o sigurnosti", rekao je Maone. "Važno je da vlasnici web stranica šire riječ da bi trebali implementirati framebusting."

Clickjacking je ozbiljan, potencijalno dugoročni problem za razvojne programere preglednika. Budući da je napad omogućen značajkom unutar HTML-a, zahtijeva promjene u HTML specifikaciji.

Grupe za web standard trenutačno rade na HTML 5, specifikaciji koja će ugraditi nove značajke u programski jezik za prilagodbu budućem web dizajnu. Ali proces standarda se polako kreće, a promjene u HTML-u mogu razbiti postojeće web stranice, rekao je Maone.

"Za korisnika, bojim se da za sada ne postoji popravak nego NoScript."