简而言之，Proton Pass 浏览器应用已不再容易受到所报告的点击劫持攻击的影响。我们是通过网络安全研究员 Marek Tóth 在 DEF CON 33 上发表的报告获悉此漏洞的。
Tóth 发表了一场关于他所发现的新型点击劫持攻击的演讲。他解释了这种攻击的运作方式，以及密码管理器浏览器应用中的数据如何可能受到攻击。Proton Pass 是他演讲中使用的示例之一，Tóth 成功地对他自己的浏览器应用实施了点击劫持攻击。我们已通过发布 Proton Pass 1.31.6 版解决了此漏洞，强烈建议您更新 Proton Pass 网络应用（如果尚未更新）。
什么是点击劫持攻击？
根据开放全球应用安全项目（OWASP）的定义，点击劫持攻击（新窗口）可定义如下：
“点击劫持（Clickjacking），也称为‘UI 重定向攻击’，是指攻击者使用多个透明或不透明图层，诱使用户在打算点击顶层页面时点击另一页面上的按钮或链接。这样一来，攻击者就‘劫持’了本应作用于其页面的点击，并将这些点击路由到另一页面，该页面很可能属于其他应用、域名，或两者兼有。”
Tóth 在其报告中指出，“许多漏洞赏金计划都将此漏洞列在‘范围外’部分，而在较好的情况下，他们会接受报告但不给予奖励”。如今，点击劫持威胁并未被视为对大多数企业的威胁，因为针对它的防护措施已很常见。
然而，Tóth 成功开发出一种具有多种攻击变体的新型点击劫持攻击技术。他将这一过程描述为创建“一种恶意脚本，通过使用 JavaScript 将浏览器扩展程序注入 DOM 的 UI 元素隐藏，从而操纵这些元素”。随后，他在 11 款可用作浏览器扩展程序的密码管理器（包括 Proton Pass）上测试了这种新型攻击。结果发现，全部 11 款密码管理器都容易受到 Tóth 的基于 DOM 的扩展程序点击劫持攻击。
您可以在完整报告（新窗口）中了解 Tóth 开展测试的详细信息。
Proton Pass 使用起来安全吗？
在 Proton Pass 应用 1.31.6 版中，我们发布了修复程序，防止这种攻击生效。相关的扩展程序元素和叠加层已得到处理，此外，鉴于 Tóth 对我们安全研究的贡献，我们还将他列入了安全贡献者名单。
我们邀请安全专家通过我们的漏洞赏金计划测试所有 Proton 应用，并定期由第三方网络安全公司开展代码审计，以确保我们关于产品的所有声明都真实无误。
我应该怎么做才能保护自己？
Tóth 在其报告中就您可以采取哪些行动来防范点击劫持攻击及其他类型的网络攻击提出了建议。我们还建议采取以下行动：
- 检查您是否已启用自动更新。运行最新版本的 Proton Pass 有助于您防范零日漏洞
- 考虑停用手动自动填充功能，仅使用复制和粘贴。Proton Pass 允许您通过两次点击自动填充密码，以便您有时间自行评估网站是否安全，但如果您希望降低风险，也可以选择不使用自动填充功能。
Proton 已获得 ISO 27001 认证，证明我们是一个透明且安全的组织。您存储在保险库中的一切都受到端到端加密的保护，以确保您的隐私得到维护，且除您之外无人可以访问您的数据。不过，我们始终建议保持谨慎，确保创建强度高且多样化的密码，并使用 hide-my-email 别名防范网络钓鱼和恶意软件。
