19.4. クリックジャッキング

クリックジャッキングでは、悪意のあるサイトは、攻撃対象サイトの重要なボタンの下にダミーのボタンが配置されるように注意深く構築された透明な iframe に攻撃対象のサイトを読み込みます。ユーザーが見えるボタンを押すと、実際には隠されたページのボタン (たとえばログインボタン) がクリックされます。攻撃者はユーザーの認証情報を窃取し、リソースにアクセスすることが出来ます。

デフォルトでは、Red Hat Single Sign-On の応答はすべて、これが発生することを防止できるいくつかの特定のブラウザーヘッダーを設定します。具体的には、X-FRAME_OPTIONS および Content-Security-Policy を設定します。制御できる詳細なブラウザーアクセスが多数あるため、これらのヘッダーの両方の定義を確認する必要があります。管理コンソールでは、これらのヘッダーの任意の値を指定できます。左側のメニュー項目 Realm Settings に移動し、Security Defenses タブをクリックして Headers サブタブに遷移してください。

デフォルトでは、Red Hat Single Sign-On は、iframes に same-origin ポリシーのみを設定します。