DoubleClickjacking : Une nouvelle menace pour la sécurité en ligne

[Omnous_Luminae]

Le sujet est intéressant, pour les moyens de protections contre ce type d'attaques, seules des extensions sont possibles ?

Je me suis renseigner et j'ai pu trouver que l'on pouvait :1. Utiliser des en-têtes HTTP de protectiona) Content Security Policy (CSP)Déployez une politique CSP avec la directive

Code :

frame-ancestors 

pour empêcher l'intégration de votre site dans des iframes externes.
 

Code :

Content-Security-Policy: frame-ancestors 'self';

b) X-Frame-OptionsBien que cette directive soit moins flexible que CSP, elle peut également protéger votre site contre l'inclusion dans des iframes.

 

Code :

X-Frame-Options: DENY

2. Désactiver les actions automatiques dangereusesAjoutez des confirmations utilisateur pour des actions sensibles. Cela empêche qu'une double action soit déclenchée accidentellement.
Exemple : Ajouter une étape de confirmation

• Demander une confirmation par bouton (ex. "Êtes-vous sûr ?").
  
• Exiger un mot de passe ou un code CAPTCHA avant de valider une action critique.
  

 3. Protection côté client avec JavaScriptAjoutez des scripts pour détecter si votre site est intégré dans une iframe.
Exemple : Détection d'iframe
 

Code :

if (window.self !== window.top) { // Bloquer l'exécution du site si intégré dans une iframe document.body.innerHTML = '<h1>Accès interdit</h1>'; }

4. Détection des clics rapidesImplémentez un contrôle qui détecte et bloque plusieurs clics rapides (souvent associés au DoubleClickjacking).
Exemple : Limitation du clic rapide
 

Code :

let lastClickTime = 0; document.addEventListener('click', (e) => { const currentTime = new Date().getTime(); if (currentTime - lastClickTime < 500) { // Moins de 500 ms entre deux clics e.preventDefault(); alert("Action bloquée pour éviter des clics involontaires."); } lastClickTime = currentTime; });
 

5. Audit régulier et tests de sécurité

• Effectuez des tests de sécurité pour identifier les vulnérabilités potentielles.
  
• Utilisez des outils comme OWASP ZAP ou Burp Suite pour tester la robustesse de votre site contre le Clickjacking.
  

En combinant ces mesures techniques, vous réduisez considérablement les risques liés au DoubleClickjacking.