Singkatnya, aplikasi peramban Proton Pass tidak lagi rentan terhadap serangan clickjacking yang dilaporkan. Kami diperingatkan tentang kerentanan ini melalui laporan oleh peneliti keamanan siber Marek Tóth yang disampaikan di DEF CON 33.

Tóth memberikan presentasi tentang jenis baru serangan clickjacking yang ditemukannya. Ia menjelaskan cara kerja serangan tersebut, dan bagaimana data dalam aplikasi peramban pengelola kata sandi dapat rentan terhadapnya. Proton Pass adalah salah satu contoh yang digunakan dalam presentasinya dan Tóth berhasil melakukan serangan clickjacking pada aplikasi perambannya sendiri. Kami telah mengatasi kerentanan ini dengan peluncuran Proton Pass versi 1.31.6, dan sangat menyarankan untuk memperbarui aplikasi web Proton Pass Anda jika belum melakukannya.

Apa itu serangan clickjacking?

Sebagaimana didefinisikan oleh Open Worldwide Application Security Project (OWASP), serangan clickjacking(jendela baru) dapat didefinisikan sebagai berikut:

“Clickjacking, juga dikenal sebagai “serangan ganti rupa UI”, adalah ketika penyerang menggunakan beberapa lapisan transparan atau buram untuk menipu pengguna agar mengklik tombol atau tautan di halaman lain ketika mereka bermaksud mengklik halaman tingkat atas. Dengan demikian, penyerang “membajak” klik yang ditujukan untuk halaman mereka dan melakukan perutean ke halaman lain, kemungkinan besar milik aplikasi, domain lain, atau keduanya.”

Dalam laporannya, Tóth mengidentifikasi bahwa “banyak program bug bounty mencantumkan kerentanan ini di bagian “di luar cakupan”, dan dalam kasus yang lebih baik mereka menerimanya tetapi tidak memberikan imbalan.” Ancaman clickjacking tidak dianggap sebagai ancaman bagi sebagian besar bisnis saat ini karena perlindungan terhadap serangan tersebut sudah umum.

Namun, Tóth berhasil mengembangkan teknik serangan clickjacking baru dengan beberapa varian serangan. Ia menjelaskan prosesnya seperti membuat “skrip berbahaya yang memanipulasi elemen UI yang disuntikkan ekstensi peramban ke dalam DOM dengan membuatnya tidak terlihat menggunakan JavaScript.” Ia kemudian menguji jenis serangan baru ini pada 11 pengelola kata sandi yang dapat digunakan sebagai ekstensi peramban, termasuk Proton Pass. Ke-11 pengelola kata sandi tersebut terbukti rentan terhadap serangan clickjacking ekstensi berbasis DOM milik Tóth.

Rincian tentang bagaimana Tóth melakukan pengujian dapat ditemukan di laporan lengkap(jendela baru).

Apakah Proton Pass aman digunakan?

Dalam aplikasi Proton Pass versi 1.31.6, kami merilis perbaikan untuk mencegah serangan ini berhasil. Elemen ekstensi dan hamparan yang relevan telah diatasi, dan kami juga telah menambahkan Tóth ke daftar Kontributor Keamanan kami atas kontribusinya pada penelitian keamanan kami.

Kami mengundang para pakar keamanan untuk menguji semua aplikasi Proton kami melalui program bug bounty kami, dan perusahaan keamanan siber pihak ketiga melakukan audit kode kami secara berkala untuk memastikan bahwa semua klaim yang kami buat tentang produk kami adalah benar.

Apa yang harus saya lakukan untuk melindungi diri sendiri?

Dalam laporannya, Tóth memberikan rekomendasi tentang tindakan yang dapat dilakukan untuk melindungi diri dari serangan clickjacking serta jenis serangan siber lainnya. Kami juga menyarankan untuk mengambil tindakan berikut:

  • Pastikan pembaruan otomatis telah diaktifkan. Menjalankan versi terbaru Proton Pass membantu tetap aman dari kerentanan hari ke-0
  • Pertimbangkan untuk menonaktifkan isi otomatis manual dan hanya menggunakan salin dan tempel. Proton Pass memungkinkan pengisian otomatis kata sandi dengan dua klik untuk memberikan waktu dalam menilai apakah suatu situs web aman, tetapi juga dapat memilih untuk tidak menggunakan isi otomatis jika ingin mengurangi risiko.

Proton telah menerima sertifikasi ISO 27001 untuk membuktikan bahwa kami adalah organisasi yang transparan dan aman. Semua yang tersimpan di dalam brankas dilindungi oleh enkripsi end-to-end untuk memastikan privasi tetap terjaga dan tidak ada orang lain selain Anda yang dapat melakukan akses ke data Anda. Namun, kami selalu menyarankan untuk berhati-hati dan memastikan pembuatan kata sandi yang kuat dan bervariasi serta melindungi diri dari phishing dan malware dengan alias hide-my-email.