Jak się bronić przed TabNabbing?

Question

Bardzo zainteresowałem się czytaniem this genius post by Aza Raskin.

Jakie są rozwiązania nieobsługujące przeglądarek do ochrony przed TabNabbing? Czy są jakieś?

Answer 1

„Zakładka nabbing” nie jest nowy atak, pan Raskin jest oderwanie inni badacze pracują. PDP od GnuCitizen odkrył to back in 2008.

Największym zagrożeniem, jakie widzę, jest phishing. Szczerze mówiąc nie sądzę, że istnieje dobre rozwiązanie, aby powstrzymać wyłudzanie informacji. Te konkretne problemy powinny zostać naprawione przez przeglądarkę. W końcu Firefox i Chrome poradzą sobie z naprawą. Szczerze mówiąc, to większe zagrożenie, z którym zmagają się wszystkie przeglądarki, które mogą być używane wraz z tym atakiem przekierowania. Obecnie chrome ma poprawkę w postaci STS i Firefox w postaci HTTPs Everywhere. Używanie noscript pomoże również złagodzić ten atak ataków przekierowania.

Answer 2

Zgodnie z sugestiami, użyj menedżera haseł. Istnieje wiele innych problemów, które mogą się zdarzyć, jeśli wpiszesz hasło za każdym razem. W witrynach, których menedżer haseł nie działa, masz problemy. Certyfikaty klienta ftw.

Answer 3

Jedną z rzeczy, która uniemożliwi tego typu zdarzenia, jest two factor authentication używając czegoś w rodzaju tokena RSA (niestety tylko jeden bank w tym kraju zapewnia tę metodę).

Token RSA to mały gadżet o rozmiarze USB, który ma stale zmieniający się numer seryjny/sekwencyjny i jest wydawany użytkownikowi (każdy z nich ma inną sekwencję numerów). Po zalogowaniu się na stronie internetowej banku musisz podać log/pass, a także bieżący numer na torze RSA - , który zmienia się co dwie minuty. Oznacza to, że jeśli złoczyńcy zbierali dane logowania, mają mniej niż dwie minuty na zalogowanie się na konto przed zmianą numeru kolejnego RSA, a przechwycone dane logowania stają się niemożliwe do ponownego użycia.

To uwierzytelnianie dwuskładnikowe nie jest jednak srebrną kulą, nie widzę, żeby Google wyświetlało to dla twojego losowego konta Gmail, ani Facebook. Powinien być obowiązkowy dla instytucji finansowych i rządowych departamentów online, co ograniczy zakres tego typu ataków. Jest to powszechnie stosowany mechanizm zabezpieczający do zdalnego dostępu do firmowych portali internetowych i zdalnych logowań sieciowych i jest to całkiem udane.

To nadal nie odpowiedział na twoje pytanie - w jaki sposób możesz zapobiec temu autorowi lub autorowi witryny? Nie możesz, chyba że nie uruchamiasz skryptów stron trzecich, i regularnie sprawdzaj swoje strony, aby upewnić się, że nie zostały naruszone zabezpieczenia i że został włożony skrypt. Nigdy nie powinieneś zastanawiać się nad skanowaniem skryptów stron trzecich, ponieważ mogą one zostać zaciemnione w niewiarygodnym stopniu, którego nie można przeskanować. Jeśli uruchamiasz skrypty stron trzecich i dobrze się z tym czujesz, możesz chcieć ustawić maszynę, która wszystko, co robi, to zautomatyzowane testy interfejsu użytkownika w twojej witrynie - jest to łatwe do skonfigurowania z kilkoma podstawowymi testami i po prostu pozostaw testowanie swojej witryny na żywo co 30 lub 60 minut, szukając nieoczekiwanych wyników.

Answer 4

Właśnie odwiedziłem stronę, o której wspomniałeś, a mój darmowy program antywirusowy (AVG) natychmiast wykrył zagrożenie (przypuszczam, że ma przykład na stronie) i ostrzegł mnie o Exploit Tabnapping.

Więc to jest jeden, proste, możliwość