Internet Explorer 8 non è così efficace contro il clickjacking.

Di Zeus News.

Quella proposta da Microsoft non è una vera soluzione ma un piccolo trucco che richiede la collaborazione dei webmaster: gli utenti non devono abbassare la guardia.

Apprezziamo la buona volontà e il fatto che abbiate preso sul serio la questione, ma il problema è tutt'altro che risolto: è questa in sintesi l'opinione di alcuni esperti di sicurezza sulla funzionalità di Internet Explorer 8 che dovrebbe prevenire il clickjacking.

Non è ancora tempo di buttare a mare Firefox e NoScript, un'accoppiata finora ritenuta la migliore difesa contro l'attacco che spinge a cliccare sui link invisibili, per passare in blocco al browser di Microsoft.

Il problema è che la soluzione escogitata a Redmond implica l'adozione di tag speciali che i webmaster devono inserire nelle loro pagine affinché tutto funzioni.

Se chi sviluppa siti non collabora, insomma, la misura è inefficace, e sappiamo bene che in queste cose non si può contare sulla solerzia dei webmaster.

La cosa peggiore però è il rischio che gli utenti di Internet Explorer 8 pensino di essere al sicuro solo perché usano il browser di Microsoft e quindi cadano ancora più facilmente nelle trappole.

"Non è una soluzione al clickjacking. È un fattore che mitiga superficialmente i rischi per le pochissime persone che usano IE 8" spiega Robert Hansen, Ceo di SecTheory (lo stesso che consiglia di disattivare Flash e Javascript per risparmiare energia).

Per essere protetti gli utenti non possono semplicemente sperare che i siti che visitano siano stati progettati per tenerli al sicuro tramite un hack proprietario - sostiene Giorgio Maone, lo sviluppatore di NoScript - perché è qualcosa che non possono verificare.

Microsoft, poi, non ha ancora pubblicato delle linee guida su come implementare le idee proposte, anche se ha promesso che lo farà e che collaborerà con i maggiori creatori di browser.

Intanto Maone stesso sta lavorando al codice di NoScript per integrare il trucco di Microsoft e chiedendo a Mozilla di introdurre questa caratteristica nella prossima versione di Firefox. Non sarà la soluzione definitiva, ma è sempre meglio di niente.

Zeus News.