¿Cómo podemos prevenir un ataque de clickjacking usando iframes, etc. en la aplicación central .Net MVC?
¿Cómo podemos prevenir un ataque de clickjacking usando iframes, etc. en la aplicación central .Net MVC?
Si su aplicación está alojada con IIS, puede activar el encabezado de X-Frame-Options en web.config.
<httpProtocol>
<customHeaders>
<add name="X-Frame-Options" value="DENY" />
</customHeaders>
</httpProtocol>
Otras formas de usar X-Frame-Options se describen aquí .
Un enfoque más moderno sería utilizar la Política de seguridad de contenido.
Content-Security-Policy: frame-ancestors 'none';
Para los navegadores más antiguos que no entienden estos encabezados, también puede usar un script de framekiller , pero esto no está actualizado y no siempre completamente seguro.
Una forma es agregar los encabezados HTTP a su respuesta como se describe en otra respuesta. Esto es común a cualquier aplicación web y las siguientes son las opciones que puede usar.
Dado que ha preguntado acerca de .Net Core específicamente, a continuación se presenta la forma en que puede implementar la seguridad en su middleware.
app.UseXfo(o=>o.Deny());
Puede usar cualquier opción en su software intermedio de esta manera en su código.
Lea otras preguntas en las etiquetas clickjacking asp.net-core