Adob​​eの要請で、Hackers Nixのクリックジャック」Talk

アドビシステムズ社は、調査結果について静かに尋ねた後、2人のセキュリティ研究者が、クリックジャックと呼ばれるオンライン攻撃を使用して被害者のブラウザを制御する方法を示すためのテクニカルトークを取りやめました。 Robert HansenとJeremiah Grossmanは来週、ニューヨークで開催されるOWASP（Open Web Application Security Project）会議で講演を行う予定です。しかし、彼らのクリックジャック攻撃の仕組みを示すために開発したコンセプトコードは、Adobeの製品のバグを漏らした。 Adobeとの1週間の話し合いの後、研究者は先週の金曜日に講演を行うことを決めた。

HansenとGrossmanはクリックジャックの脆弱性はインターネットブラウザの設計にあると信じているが、Adobeは彼らの議論彼らがパッチをリリースするまで。ホワイトハットセキュリティのCTO、グロスマン氏は、インタラクションでクリックジャック攻撃で、被害者が悪意のあるWebリンクをクリックしても、そのことを気付かずに騙していると騙しているという。このタイプの攻撃は長年にわたって知られていましたが、特に危険であるとは考えられていませんでした。たとえば、セキュリティ専門家は、広告クリックの不正行為やWebページのDigg評価を膨らませるために使用できると考えていました。

しかし、概念実証コードを書く際に、HansenとGrossmanはクリックジャッキングが

「最終的にそれを構築し、概念の証明を得たとき、それはかなり厄介だった」とグロスマン氏は語った。 「あなたがクリックしたものをコントロールすると、どれくらい悪いことができますか？実際には本当に悪いことがたくさんあります。」

年のコンサルタントSecTheoryのCEOであるGrossmanもHansenも、その攻撃のしかし、OWASPの会議主催者であるトム・ブレナン（Tom Brennan）は、攻撃コードが実証され、攻撃者が被害者のデスクトップを完全に制御できることを明らかにしたと述べている。

Adob​​eは、 。ハンセン氏は月曜日、彼のブログで、「これは悪意ではない」と話している。

月曜日、アドビは、バグを非公開にして、バグを明らかにしても攻撃者を助けるかもしれないが、OWASPのBrennanは、IT専門家に脅威の本質を理解させる機会を与えるため、研究者はまだ話をしておくべきだと語った。 「今日の何百万人もの人々に影響を与えているブラウザーには、ゼロデイ問題がある」と彼は語った。 HansenとGrossmanは、MicrosoftがInternet Explorerの関連するバグにパッチを当てると予想しており、他の多くのブラウザもclickjackingの問題の影響を受けていると言います。グロスマン氏は、「ブラウザのセキュリティ上の問題は多かれ少なかれ、信じている」と述べた。