Adobe의 요청에 따라 해커 Nix '클릭 재킹'토론

한센과 그로스맨은 클릭 재킹 결함이 궁극적으로 인터넷 브라우저가 설계되는 방식에 있다고 믿지만, 어도비는 그들이 토론을 미루고 있다고 확신했다. 그들이 패치를 공개 할 때까지. 화이트 햇 시큐리티 (White Hat Security)의 CTO 인 그로스 만 (Grossman)은 인터뷰를 통해 "어도비는 해킹을하기 위해 뭔가 할 수 있다고 생각한다"고 말했다.

클릭 잭 공격에서 공격자는 희생자가 악의적 인 웹 링크를 깨닫지 못하도록 클릭한다. 이 유형의 공격은 수년 동안 알려져 왔지만 특히 위험한 것으로 간주되지 않았습니다. 예를 들어, 보안 전문가들은 광고 클릭 사기를 저 지르거나 웹 페이지에 대한 Digg 등급을 부 풀리는 데 사용할 수 있다고 생각했습니다.

그러나 개념 증명 코드를 작성하면 Hansen과 Grossman은 클릭 재킹이 실제로 우리가 마침내 그것을 만들었고 개념의 증거를 얻었을 때 그것은 아주 심했다 "고 Grossman은 말했다. "내가 클릭 한 것을 제어하면 얼마나 나쁜 일을 할 수 있겠는가? 정말 많은 나쁜 일을 할 수 있음이 드러난다."

컨설턴트 인 SecTheory의 CEO 인 Grossman도 Hansen도 구체적인 내용을 알고 싶지 않았습니다. 그들의 공격의. 그러나 OWASP 회의 주최자 인 톰 브레넌 (Tom Brennan)은 공격 코드가 시연되었고 공격자가 피해자의 데스크톱을 완벽하게 제어 할 수 있다고 말했다.

연구자들은 Adobe가 자신의 대화를 중단하라는 압력을받지 않았다. 한센은 월요일에 자신의 블로그에 "사람들이 우리를 해커로 몰아 넣으려고하는 악마가 아니다."라고 월요일에 말하면서 어도비는 버그를 비공개로 유지하고 회사가 문제를 패치하는 중입니다.

버그를 공개하는 것이 공격자에게 도움이 될지라도 OWASP의 Brennan은 IT 전문가가 위협의 진정한 본질을 이해할 수있는 기회를 제공하기 위해 연구원은 계속 진행해야한다고 말했습니다. "오늘날 수백만 명의 사람들에게 영향을 미치는 브라우저에는 제로 데이 문제가 있습니다." Hansen과 Grossman은 Microsoft가 Internet Explorer에서 관련 버그를 패치 할 것으로 기대하고 있으며 많은 다른 브라우저에서도 클릭 재킹 문제의 영향을 받았다고합니다.. 그로스 만은 "우리는 브라우저 보안 문제가 다소있다"고 말했다.