Un artículo que leí sugiere que los piratas informáticos podrán grabar la clave
trazos de un error de IE, pero seguramente eso significa modificaciones al
código del lado del servidor?
El error de IE al que creo que te refieres es mencionado aquí .
un atacante puede crear una página web en evil.com, que el atacante
controles, e incluir en la página de evil.com un marco visible que muestra
la página de inicio de sesión para example.com. El atacante puede ocultar el marco de
bordes y expanda el marco para cubrir toda la página, de modo que
mira al usuario del navegador como si él o ella realmente estuviera visitando
example.com El atacante registra algunos javascript en la principal
La página de evil.com que escucha todos los eventos clave de la página. Normalmente,
este oyente sería notificado de eventos solo desde el principal evil.com
página - pero debido a un error en el navegador, este oyente también recibe una notificación
de eventos de la página example.com de framed
Sin embargo, el usuario:
- Deben estar utilizando una versión vulnerable de Internet Explorer.
- Ya confíe en
evil.com para ingresar sus credenciales para example.com . Es decir, evil.com podría estar mostrando algo que se parece a se parece a a la página de inicio de sesión de example.com en lugar de a un IFrame.
He habilitado el modo sandbox con sandbox="allow-forms allow-scripts".
¿Es esto lo suficientemente seguro o debería adoptarse un enfoque diferente? .
El principal riesgo si el otro sitio web es malicioso o está comprometido, puede hacer lo que quiera solo dentro de IFrame . El atributo sandbox es ampliamente admitido , sin embargo, es posible que no desee escribir el IFrame en absoluto para los navegadores no compatibles. No está especificando allow-top-navigation por lo que no pueden redirigir al usuario.
La Same Origin Policy evitará que la página enmarcada manipule la suya. Supongo que el principal riesgo que está asumiendo es que el sitio podría intentar un exploit del navegador o un ataque entre dominios en otro sitio web (por ejemplo, XSS, CSRF) si envía al usuario a un sitio en el que no ha elegido confiar.