クリックジャッキング(Clickjacking)対策

対策

• 方法１：CSP(Content Security Policy) の frame-ancestors ディレクティブを使う。

• 方法２：HTTP レスポンスヘッダに、X-Frame-Optionsヘッダフィールドを出力し、他ドメインのサイトからの frame 要素や iframe 要素による読み込みを制限する。

• 方法３：処理を実行する直前のページで再度パスワードの入力を求め、実行ページでは、再度入力されたパスワードが正しい場合のみ処理を実行する。

参考

• 安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構
  • http://www.ipa.go.jp/security/vuln/websecurity.html
• Clickjacking – OWASP
  • https://www.owasp.org/index.php/Clickjacking
• Clickjacking Defense Cheat Sheet – OWASP
  • https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
• Content Security Policy
  • https://w3c.github.io/webappsec/specs/content-security-policy/#directive-frame-ancestors
• ラボラジアン ソフトウェアセキュリティ情報 – クリックジャッキング by IPA「安全なウェブサイトの作り方 第7版」