iframe Checkout Procedure

Question

iframe Checkout Procedure

#1 de Arminius (4 votos)

4

Estoy trabajando para una empresa que desea permitir que cualquiera incruste un iframe en el que los usuarios puedan comprar productos en cualquier sitio. Por lo tanto, sería un caso de uso típico que los usuarios ingresen la información de su tarjeta de crédito en este iframe.

Soy consciente de que el clickjacking es un vector de ataque típico para este tipo de configuración. Sin embargo, parece que ese vector se trata más de inducir a una víctima a hacer clic en un botón dentro de un iframe más que inducirlo a realizar una acción compleja como completar un procedimiento de pago.

Lo que necesito saber antes de sentirme cómodo al implementar este iframe:

¿Esta configuración aún es vulnerable al clickjacking?
¿Es posible leer la información ingresada en un iframe como este a través de un keylogger o divs invisibles que flotan en la parte superior del iframe?
¿Qué otros posibles vectores de ataque hay en una configuración como la que describí?
¿Hay consideraciones de seguridad adicionales en las que debería estar pensando?

tls keyloggers clickjacking iframe

pregunta clarkatron 03.01.2018 - 23:35

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls keyloggers clickjacking iframe

Restablecimiento de contraseña CSRF de Wordpress 4.0 ¿Son confiables los programas de escaneo de Wi-Fi?

score 4 · Accepted Answer

¿Es posible leer la información ingresada en un iframe como este a través de un keylogger o divs invisibles que flotan en la parte superior del iframe?

Técnicamente, el documento principal no puede capturar las interacciones de un usuario con el iframe. ¹ Pero su principal problema aquí es que el usuario no tiene forma de verificar que el El cuadro con el que están interactuando es en realidad un iframe que muestra su tienda real y no una copia en un dominio completamente diferente. (Una simple superposición de CSS sobre el iframe de la tienda real también funcionaría).

En un sitio potencialmente no confiable, simplemente no puede establecer un iframe confiable con el que los usuarios puedan interactuar de forma segura. Los indicadores de seguridad de su navegador (que muestran el nombre de dominio completo y el icono de candado verde) solo funcionan para el documento de nivel superior. Es por eso que los proveedores de autenticación / pago utilizan redirecciones para que los usuarios se autentiquen / desprotegan en un documento de nivel superior en el que puedan confiar, en lugar de dentro de un marco anidado.

¹ Es decir, un evento de teclado solo va al documento principal o al iframe. Pero no puede ser capturado por el padre y aún ser disparado dentro del iframe.