Universal Login のクリックジャッキング保護に関する変更

クリックジャッキング攻撃から保護するために、Auth0 が Universal Login ページの iframe への埋め込みを防ぐ方法を追加することについて説明します。

クリックジャッキングは、見えない、または別の要素に見せかけた Web ページ上の要素を、ユーザーにだましてクリックさせる攻撃です。これは、コンテンツを iframe に読み込み、その上に要素をレンダリングすることで行われます。Universal Login ページでは、攻撃者がユーザーをだまして ログイン ボタンや パスワードのリセット ボタンをクリックさせる可能性があります。

これは、次の HTTP ヘッダーを設定することで防止できます。

X-Frame-Options: deny Content-Security-Policy: frame-ancestors 'none'

想定される攻撃のリスクがそれほど高くない場合でも、これらのヘッダーを追加することは適切なセキュリティ対策です。また、セキュリティスキャナーでも検出されるため、ペネトレーションテストの報告でこれらのヘッダーが欠けていることが指摘される可能性があります。

​

Actions

iframe 内でログインページをレンダリングする場合、これらのヘッダーを追加すると互換性に影響する変更となる可能性があります。そのため Auth0 では、すべてのお客様に一律でこれらのヘッダーを追加するのではなく、オプトインで有効にできるようにしており、有効化することを強く推奨しています。

New Universal Login Experience を使用している場合は、これらのヘッダーが常に設定されるため、以下の Action は必要ありません。

この変更をオプトインするには、次の手順に従います。

1. Tenant Settings > Advanced Settings に移動します。
2. Migrations までスクロールし、Disable clickjacking protection for Classic Universal Login 設定をオフにします。