روش جديدی برای سرقت هويت

شماره: IRCNE201005763
يك متخصص رابط كاربر موزيلا كد اثبات حمله اي را منتشر كرده است كه در آن يك روش جديد سرقت هويت معرفي شده است. در اين روش فرد مهاجم با سرقت tab متعلق به يك وب سايت قانوني كاربران را براي ورود اطلاعات login فريب مي دهد.
در روش هاي سنتي سرقت هويت معمولاً كاربران مستقيماً به يك صفحه وب آلوده هدايت مي شوند كه ظاهر وب سايت هاي قانوني همچون وب سايت هاي بانك ها را به خود گرفته است و سعي در فريب كاربر براي وارد كردن اطلاعات حساسي همچون نام كاربري و كلمه عبور را دارد.
به روش جديد، سرقت tab كه همان tabnapping يا tabjacking است، گفته مي شود. در اين روش، وب سايتي كه به كاربر نمايش داده مي شود كاملاً قانوني به نظر مي رسد و در نتيجه تشخيص صحيح را براي كاربران مشكل مي سازد.
ابتدا مهاجم يك صفحه قانوني را براي كاربر باز مي كند و سپس در صورتي كه كاربر صفحه مذكور را باز بگذارد و بر روي tab ديگري كليك كند، مهاجم صفحه خرابكار خود را وارد tab خرابكار قبلي كرده و عنوان و آيكون آن را به شكل يك وب سايت قانوني در مي آورد. در كد اثبات حمله مذكور، از ظاهر صفحه و آيكون Gmail استفاده شده است. در اين صورت ممكن است كاربر دوباره به tab قبلي بازگشته و با حواس پرتي اطلاعات login خود را با فرض قانوني بودن سايت در اختيار فرد مهاجم گذارد.
از آنجايي كه در اين حمله، محتواي صفحه موجود در يك tab بدون اطلاع كاربر و توسط مهاجم تغيير مي كند، به آن حمله سرقت tab اطلاق شده است.