Tag Archives: Zero DOM

Clickjacking extensions DOM: Vulnerabilitat crítica a DEF CON 33

Cartell digital en català sobre el clickjacking d’extensions DOM amb PassCypher — contraatac sobirà Zero DOM

DOM extension clickjacking — el clickjacking d’extensions basat en DOM, mitjançant iframes invisibles, manipulacions del Shadow DOM i overlays BITB — posa en risc els gestors de contrasenyes; vegeu §Passkeys phishables. Aquesta crònica resumeix les demostracions de DEF CON 33 (DOM-based extension clickjacking i passkeys phishables), el seu impacte i les contramesures Zero-DOM (PassCypher, SeedNFC, EviBITB).

Resum Executiu

⮞ Nota de lectura

Si només voleu retenir l’essencial, el Resum Executiu (≈4 minuts) és suficient. Per a una visió completa i tècnica, continueu amb la lectura íntegra de la crònica (≈35 minuts).

⚡ El descobriment

Las Vegas, principis d’agost de 2025. El DEF CON 33 vibra al Centre de Convencions. Entre doms de hackers, pobles IoT, Adversary Village i competicions CTF, l’aire és dens de passió, insígnies i soldadures improvisades. A l’escenari, Marek Tóth no necessita artificis: connecta el portàtil, mira el públic i prem Enter. L’atac estrella: el Clickjacking d’extensions basat en DOM. Senzill de codificar, devastador d’executar: pàgina trampa, iframes invisibles, una crida focus() maliciosa… i els gestors d’autoemplenament aboquen en un formulari fantasma identificadors, contrasenyes, TOTP i passkeys.
en un formulari fantasma.

✦ Impacte immediat en gestors de contrasenyes

Els resultats són contundents. Marek Tóth va analitzar 11 gestors de contrasenyes: tots mostraven vulnerabilitats per disseny.
En 10 de 11 casos, es van exfiltrar credencials i secrets.
Segons SecurityWeek, prop de 40 milions d’instal·lacions continuen exposades.
La vulnerabilitat s’estén més enllà: fins i tot els crypto-wallets van deixar escapar claus privades, exposant directament actius digitals.

⧉ Segona demostració — Passkeys phishables (overlay)

A DEF CON 33, Allthenticate va demostrar que les Vegeu §Passkeys phishables poden ser pescades mitjançant una simple superposició i redirecció — cap injecció DOM requerida. L’anàlisi completa està disponible a la secció dedicada Phishable Passkeys i a atribució & fonts.

🚨 El missatge

En només dues demos, dos pilars de la ciberseguretat — gestors de contrasenyes i Vegeu §Passkeys phishables — s’ensorren del pedestal. El missatge és brutal: mentre els teus secrets visquin al DOM, mai no estaran segurs. I mentre la ciberseguretat depengui del navegador i del núvol, un sol clic pot capgirar-ho tot. Com recorda OWASP, el clickjacking és un clàssic — però aquí és la capa d’extensions la que queda pulveritzada.

🔑 L’alternativa

Saviez-vous qu’il existe depuis plus de dix ans une autre voie, une voie qui ne passe pas par les départements français d’outre-mer ? Avec PassCypher HSM PGP, PassCypher NFC HSM et SeedNFC pour la conservation des clés cryptographiques matérielles, vos identifiants TOTP/HOTP, vos mots de passe et vos clés secrètes ne voient jamais le DOM. Il ne s’agit pas d’un patch, mais d’une architecture propriétaire souveraine, décentralisée, serverless et databaseless, sans mot de passe maître, qui libère la gestion des secrets des dépendances centralisées telles que FIDO/WebAuthn.

Crònica per llegir
Temps estimat de lectura: 35 minuts
Data d’actualització: 2025-10-02
Nivell de complexitat: Avançat / Expert
Especificitat lingüística: Lèxic sobirà — alta densitat tècnica
Llengües disponibles: CAT · EN · ES · FR
Accessibilitat: Optimitzat per a lectors de pantalla — ancoratges semàntics integrats
Tipus editorial: Crònica estratègica
Sobre l’autor: Text escrit per Jacques Gascuel, inventor i fundador de Freemindtronic®.
Especialista en tecnologies de seguretat sobirana, dissenya i patenta sistemes de maquinari per a la protecció de dades, la sobirania criptogràfica i les comunicacions segures.
La seva experiència cobreix el compliment dels estàndards ANSSI, NIS2, RGPD i SecNumCloud, així com la lluita contra les amenaces híbrides mitjançant arquitectures sobiranes by design.

TL;DR — Al DEF CON 33, el clickjacking d’extensions basat en DOM va demostrar un risc sistèmico per a les extensions de navegador que injecten secrets al DOM. Exfiltrats: identificadors (logins), codis TOTP, Vegeu §Passkeys phishables i claus criptogràfiques. Tècniques: iframes invisibles, manipulació del Shadow DOM, superposicions Browser-in-the-Browser (BITB). Impacte inicial: ≈ 40 milions d’instal·lacions notificades com a exposades en la divulgació. Estat (11 de setembre de 2025): diversos proveïdors han publicat correccions oficials per als mètodes descrits (Bitwarden, Dashlane, Enpass, NordPass, ProtonPass, RoboForm, Keeper [parcial], LogMeOnce), mentre que altres continuen reportats com a vulnerables (1Password, iCloud Passwords, LastPass, KeePassXC-Browser). Contramesura: fluxos de maquinari Zero-DOM (PassCypher NFC/PGP, SeedNFC) mantenen els secrets fora del DOM del navegador. Principi: Zero DOM — eliminar la superfície d’atac.
Infografia en català mostrant l’anatomia d’un atac de clickjacking basat en DOM amb pàgina maliciosa, iframe invisible i exfiltració de secrets cap a l’atacant.
✪ Anatomia d’un atac de clickjacking d’extensions DOM: pàgina enganyosa, iframes invisibles i exfiltració de secrets cap a l’atacant. Representació pedagògica en llengua catalana.

2021 Digital Security EviPass NFC HSM technology Technical News

766 trillion years to find 20-character code like a randomly generated password

2025 Digital Security Technical News

Quantum computer 6100 qubits ⮞ Historic 2025 breakthrough

2025 Digital Security Technical News

Ordinateur quantique 6100 qubits ⮞ La percée historique 2025

2025 Cyberculture Digital Security

Authentification multifacteur : anatomie, OTP, risques

2023 Digital Security

WhatsApp Hacking: Prevention and Solutions

2025 Digital Security

Email Metadata Privacy: EU Laws & DataShielder

2025 Digital Security

Chrome V8 confusió RCE — Actualitza i postura Zero-DOM

2025 Digital Security

Chrome V8 confusion RCE — Your browser was already spying

2024 Cyberculture Digital Security

Russian Cyberattack Microsoft: An Unprecedented Threat

2025 Digital Security

Chrome V8 Zero-Day: CVE-2025-6554 Actively Exploited

2025 Digital Security

APT29 Exploits App Passwords to Bypass 2FA

2025 Digital Security

Signal Clone Breached: Critical Flaws in TeleMessage

2025 Digital Security

APT29 Spear-Phishing Europe: Stealthy Russian Espionage

2024 Digital Security

Why Encrypt SMS? FBI and CISA Recommendations

2025 Digital Security

APT44 QR Code Phishing: New Cyber Espionage Tactics

2024 Digital Security

BitLocker Security: Safeguarding Against Cyberattacks

2024 Digital Security

French Minister Phone Hack: Jean-Noël Barrot’s G7 Breach

2024 Digital Security

Cyberattack Exploits Backdoors: What You Need to Know

2021 Cyberculture Digital Security Phishing

Phishing Cyber victims caught between the hammer and the anvil

2024 Digital Security

Google Sheets Malware: The Voldemort Threat

2024 Articles Digital Security News

Russian Espionage Hacking Tools Revealed

2024 Digital Security Spying Technical News

Side-Channel Attacks via HDMI and AI: An Emerging Threat

2024 Digital Security Technical News

Apple M chip vulnerability: A Breach in Data Security

Digital Security Technical News

Brute Force Attacks: What They Are and How to Protect Yourself

2023 Digital Security

Predator Files: The Spyware Scandal That Shook the World

2023 Digital Security Phishing

BITB Attacks: How to Avoid Phishing by iFrame

2023 Digital Security

5Ghoul: 5G NR Attacks on Mobile Devices

2024 Digital Security

Europol Data Breach: A Detailed Analysis

Digital Security EviToken Technology Technical News

EviCore NFC HSM Credit Cards Manager | Secure Your Standard and Contactless Credit Cards

2024 Cyberculture Digital Security News Training

Andorra National Cyberattack Simulation: A Global First in Cyber Defense

Articles Digital Security EviVault Technology NFC HSM technology Technical News

EviVault NFC HSM vs Flipper Zero: The duel of an NFC HSM and a Pentester

Articles Cryptocurrency Digital Security Technical News

Securing IEO STO ICO IDO and INO: The Challenges and Solutions

Articles Cyberculture Digital Security Technical News

Protect Meta Account Identity Theft with EviPass and EviOTP

2024 Digital Security

Cybersecurity Breach at IMF: A Detailed Investigation

2023 Articles Cyberculture Digital Security Technical News

Strong Passwords in the Quantum Computing Era

2024 Digital Security

PrintListener: How to Betray Fingerprints

2024 Articles Digital Security News Spying

How to protect yourself from stalkerware on any phone

2023 Articles DataShielder Digital Security Military spying News NFC HSM technology Spying

Pegasus: The cost of spying with one of the most powerful spyware in the world

2024 Digital Security Spying

Ivanti Zero-Day Flaws: Comprehensive Guide to Secure Your Systems Now

2024 Articles Compagny spying Digital Security Industrial spying Military spying News Spying Zero trust

KingsPawn A Spyware Targeting Civil Society

2024 Articles Digital Security EviKey NFC HSM EviPass News SSH

Terrapin attack: How to Protect Yourself from this New Threat to SSH Security

Articles Crypto Currency Cryptocurrency Digital Security EviPass Technology NFC HSM technology Phishing

Ledger Security Breaches from 2017 to 2023: How to Protect Yourself from Hackers

2024 Articles Digital Security News Phishing

Google OAuth2 security flaw: How to Protect Yourself from Hackers

Articles Digital Security EviCore NFC HSM Technology EviPass NFC HSM technology NFC HSM technology

TETRA Security Vulnerabilities: How to Protect Critical Infrastructures

2023 Articles DataShielder Digital Security EviCore NFC HSM Technology EviCypher NFC HSM EviCypher Technology NFC HSM technology

FormBook Malware: How to Protect Your Gmail and Other Data

Articles Digital Security

Chinese hackers Cisco routers: how to protect yourself?

Articles Crypto Currency Digital Security EviSeed EviVault Technology News

Enhancing Crypto Wallet Security: How EviSeed and EviVault Could Have Prevented the $41M Crypto Heist

Articles Digital Security News

How to Recover and Protect Your SMS on Android

Articles Crypto Currency Digital Security News

Coinbase blockchain hack: How It Happened and How to Avoid It

Articles Compagny spying Digital Security Industrial spying Military spying Spying

Protect yourself from Pegasus spyware with EviCypher NFC HSM

Articles Digital Security EviCypher Technology

Protect US emails from Chinese hackers with EviCypher NFC HSM?

Articles Digital Security

What is Juice Jacking and How to Avoid It?

2023 Articles Cryptocurrency Digital Security NFC HSM technology Technologies

How BIP39 helps you create and restore your Bitcoin wallets

Articles Digital Security Phishing

Snake Malware: The Russian Spy Tool

Articles Cryptocurrency Digital Security Phishing

ViperSoftX How to avoid the malware that steals your passwords

Articles Digital Security Phishing

Kevin Mitnick’s Password Hacking with Hashtopolis

En ciberseguretat sobirana ↑ Aquesta crònica s’inscriu dins l’apartat Digital Security, en la continuïtat de les investigacions realitzades sobre exploits i contramesures de maquinari zero trust.

Què és el clickjacking d’extensions basat en el DOM?

DOM-based extension clickjacking segresta una extensió del navegador (gestor de contrasenyes o wallet) fent un mal ús del Document Object Model. Una pàgina enganyosa encadena iframes invisibles, Shadow DOM i una crida maliciosa a focus() per desencadenar l’autofill en un formulari invisible. L’extensió «creu» que actua sobre el camp correcte i hi aboca secrets — credencials, codis TOTP/HOTP, passkeys, fins i tot claus privades. Com que aquests secrets toquen el DOM, poden ser exfiltrats de manera silenciosa.

⮞ Perspectiva doctrinal: El DOM-based extension clickjacking no és un error aïllat sinó un defecte de disseny. Qualsevol extensió que injecti secrets en un DOM manipulable és intrínsecament vulnerable. Només les arquitectures Zero-DOM (separació estructural, HSM/NFC, injecció fora del navegador) eliminen aquesta superfície d’atac.

Quin nivell de perillositat té?

Aquest vector no és menor: explota la lògica mateixa de l’autofill i actua sense que l’usuari se n’adoni. L’atacant no es limita a superposar un element; força l’extensió a omplir un formulari fals com si res, fent que l’exfiltració sigui indetectable a simple vista.

Flux típic de l’atac

  1. Preparació — la pàgina maliciosa integra una iframe invisible i un Shadow DOM que amaga el context real; els camps són ocultats (opacity:0, pointer-events:none).
  2. Ham — la víctima clicca un element innocent; redireccions i un focus() maliciós redirigeixen l’esdeveniment cap a un camp controlat per l’atacant.
  3. Exfiltració — l’extensió pensa que interactua amb un camp legítim i injecta automàticament credencials, TOTP, passkeys o claus privades al DOM fals; les dades s’exfiltren immediatament.

Aquest mecanisme enganya els senyals visuals, evita proteccions clàssiques (X-Frame-Options, Content-Security-Policy, frame-ancestors) i converteix l’autofill en un canal d’exfiltració invisible. Els overlays tipus Browser-in-the-Browser (BITB) i les manipulacions del Shadow DOM agreugen el risc, fent que les passkeys sincronitzades i les credencials siguin susceptibles de phishing.

⮞ Resum

L’atac combina iframes invisibles, manipulació del Shadow DOM i redireccions via focus() per segrestar les extensions d’autofill. Els secrets s’injecten en un formulari fantasma, donant a l’atacant accés directe a dades sensibles (credencials, TOTP/HOTP, passkeys, claus privades). Moraleja: mentre els secrets transitin pel DOM, la superfície d’atac segueix oberta.

Història del Clickjacking (2002–2025)

El clickjacking ha evolucionat durant dècades. El concepte va néixer als primers anys 2000 amb Jeremiah Grossman i Robert Hansen: enganyar un usuari perquè faci clic en un element que no veu realment. Va passar de ser una il·lusió òptica aplicada al codi a una tècnica d’atac habitual (OWASP).

  • 2002–2008: Aparició del “UI redressing”: capes HTML i iframes transparents atrapant usuaris.
  • 2009: Facebook afectat per likejacking.
  • 2010: Aparició del cursorjacking (desplaçar el cursor per enganyar el clic).
  • 2012–2015: Exploits via iframes, anuncis maliciosos i malvertising.
  • 2016–2019: Tapjacking a mòbils.
  • 2020–2024: “Hybrid clickjacking” combinant XSS i phishing.
  • 2025: A DEF CON 33, Marek Tóth presenta el salt: DOM-Based Extension Clickjacking, on les extensions injecten formularis invisibles i habiliten exfiltració silenciosa de secrets.

❓Des de quan hi ha exposició?

Les tècniques d’iframes invisibles i Shadow DOM són conegudes des de fa anys. Les descobertes de DEF CON 33 revelen un patró de disseny d’una dècada: extensions que confien en el DOM per injectar secrets estan inherentment exposades.

Síntesi: En 20 anys, el clickjacking ha passat d’una trampa visual a una sabotatge sistèmic contra gestors d’identitat; DEF CON 33 marca un punt d’inflexió i subratlla la urgència d’enfocaments Zero-DOM amb hardware sobirà.

Clickjacking extensions DOM — Anatomia de l’atac

El clickjacking extensions DOM no és una variant trivial: desvia la lògica mateixa dels gestors d’autoemplenament. Aquí, l’atacant no es limita a recobrir un botó amb una iframe; força l’extensió a omplir un formulari fals com si fos legítim.

Esquema de clickjacking d'extensions DOM en tres fases: Preparació, Esquer i Exfiltració amb extensió d’autocompleció vulnerada
Esquema visual del clickjacking d’extensions DOM: una pàgina maliciosa amb iframe invisible (Preparació), un element Shadow com a esquer (Esquer) i l’exfiltració d’identificadors, TOTP i claus a través de l’extensió d’autocompleció (Exfiltració).

Desplegament típic d’un atac:

  1. Preparació — La pàgina trampa carrega una iframe invisible i un Shadow DOM que oculta el context real.
  2. Esquer — L’usuari fa clic en un element aparentment innocu; una crida focus() redirigeix l’esdeveniment cap al camp invisible controlat per l’atacant.
  3. Exfiltració — L’extensió creu interactuar amb un camp legítim i injecta identificadors, TOTP, passkeys i fins i tot claus privades directament dins del fals DOM.

Aquesta mecànica distorsiona els senyals visuals, esquiva les defenses clàssiques (X-Frame-Options, CSP, frame-ancestors) i transforma l’autoemplenament en un canal d’exfiltració invisible. A diferència del clickjacking “tradicional”, l’usuari no fa clic en un lloc de tercers: és la seva pròpia extensió la que queda atrapada per la seva confiança en el DOM.

⮞ Resum

L’atac combina iframes invisibles, Shadow DOM i focus() per atrapar els gestors d’autoemplenament. Els gestors de contrasenyes injecten els seus secrets no pas al lloc previst, sinó en un formulari fantasma, oferint a l’atacant accés directe a dades sensibles.

Gestors vulnerables & divulgació CVE (instantània — 2 oct. 2025)

Actualitzat: 2 d’octubre 2025
Arran de la divulgació a DEF CON 33 per Marek Tóth, diversos venedors van publicar correccions o mitigacions, però la velocitat de resposta varia molt. La nova columna indica el temps estimat entre la presentació (8 d’agost de 2025) i la publicació d’un patch/mitigació.

Gestor Credencials TOTP Passkeys Estat Patch / nota oficial ⏱️ Temps de patch
1Password Mitigacions (v8.11.x) Blog 🟠 >6 setmanes (mitigació)
Bitwarden Parcial Corregit (v2025.8.2) Release 🟢 ~4 setmanes
Dashlane Corregit Advisory 🟢 ~3 setmanes
LastPass Corregit (set. 2025) Release 🟠 ~6 setmanes
Enpass Corregit (v6.11.6) Release 🟠 ~5 setmanes
iCloud Passwords No Vulnerable (en revisió) 🔴 >7 setmanes (sense patch)
LogMeOnce No Corregit (v7.12.7) Release 🟢 ~4 setmanes
NordPass Parcial Corregit (mitigacions) Release 🟠 ~5 setmanes
ProtonPass Parcial Corregit (mitigacions) Releases 🟠 ~5 setmanes
RoboForm Corregit Update 🟢 ~4 setmanes
Keeper Parcial No No Patch parcial (v17.2.0) Release 🟠 ~6 setmanes (parcial)

⮞ Perspectiva estratègica:

Fins i tot després de les correccions, el problema continua sent arquitectònic: mentre els secrets transitin pel DOM, romandran exposats.
Les solucions Zero-DOM (PassCypher HSM PGP, PassCypher NFC HSM, SeedNFC) eliminen la superfície d’atac garantint que els secrets no surtin mai del contenidor xifrat.
Zero-DOM = superfície d’atac nul·la.

Nota: instantània al 2 d’octubre de 2025. Per versions per producte, notes de llançament i CVE associats, consulteu la taula i les pàgines oficials dels venedors.

Tecnologies de correcció utilitzades

Des de la divulgació pública a DEF CON 33, els venedors han publicat actualitzacions. No obstant això, la majoria són pegats superficials o comprovacions condicionals; cap fabricant ha re-construït l’enginy d’injecció completament.

Imatge resum: aquestes tecnologies van des de pegats estètics fins a solucions Zero-DOM basades en hardware.

Infografia sobre les defenses contra el clickjacking d’extensions DOM: X-Frame-Options, CSP, retards d’autofill i diàlegs flotants.
Quatre mètodes de correcció contra el clickjacking d’extensions DOM: des de polítiques de seguretat fins a estratègies.

Objectiu

Explicar com els venedors han intentat mitigar la fallada, distingir pegats cosmètics de correccions estructurals i destacar enfocaments sobirans Zero-DOM.

Mètodes observats (agost 2025)

Mètode Descripció Gestors afectats
Restricció d’autoemplenament Mode “on-click” o desactivació per defecte Bitwarden, Dashlane, Keeper
Filtrat de subdominis Bloqueig d’autoemplenament en subdominis no autoritzats ProtonPass, RoboForm
Detecció Shadow DOM Refusar injectar si el camp és encapsulat NordPass, Enpass
Aïllament contextual Comprovacions prèvies a la injecció (iframe, opacitat, focus) Bitwarden, ProtonPass
Hardware sobirà (Zero-DOM) Secrets mai transiten pel DOM: NFC HSM, HSM PGP, SeedNFC PassCypher, EviKey, SeedNFC

Limitacions observades

  • Els pegats no modifiquen l’enginy d’injecció, només el seu disparador.
  • No s’ha introduït separació estructural entre UI i fluxos de secrets.
  • Qualsevol gestor encara lligat al DOM roman exposat estructuralment.
⮞ Transició estratègica
Aquests pegats són reaccions, no ruptures. Tracten símptomes, no la falla arquitectònica.

Anàlisi tècnica i doctrinal de les correccions

DOM extension clickjacking és una fallada de disseny estructural: secrets injectats en un DOM manipulable poden ser segrestats tret que el flux d’injecció quedi separat arquitectònicament del navegador.

Què no solucionen les correccions actuals

  • Cap venedor ha re-construït l’enginy d’injecció.
  • Les mesures principalment limiten l’activació (desactivar autoemplenament, filtres de subdomini, detecció d’elements invisibles) en lloc de canviar el model d’injecció.

Què requeriria una correcció estructural

  • Eliminar la dependència del DOM per a la injecció de secrets.
  • Aïllar l’enginy d’injecció fora del navegador (hardware o procés segur separatat).
  • Usar autenticació hardware (NFC, PGP, enclausura segura) i exigir validació física/indicació explícita de l’usuari.
  • Prohibir per disseny la interacció amb elements invisibles o encapsulats.

Tipologia de correccions

Nivell Tipus de correcció Descripció
Cosmètic UI/UX, autoemplenament desactivat per defecte No canvia l’enginy d’injecció, només el disparador
Contextual Filtrat DOM, Shadow DOM, subdominis Afegeix condicions, però encara depèn del DOM
Estructural Zero-DOM, hardware (PGP, NFC, HSM) Elimina l’ús del DOM per secrets; separa UI i fluxos de secrets

Tests doctrinals per verificar patches

Per comprovar si una correcció és realment estructural, els investigadors poden:

  • Injectar un camp invisible (opacity:0) dins d’un iframe i verificar el comportament d’injecció.
  • Comprovar si les extensions encara injecten secrets a inputs encapsulats o no visibles.
  • Verificar si les accions d’autoemplenament són registrables i bloquejades en cas de desajust de context.

No existeix actualment un estàndard industrial àmpliament adoptat (NIST/OWASP/ISO) que reguli la lògica d’injecció d’extensions, la separació UI/secret o la traçabilitat de les accions d’autoemplenament.

⮞ Conclusió
Les correccions actuals són solucions temporals. La resposta duradora és arquitectònica: treure els secrets del DOM amb patrons Zero-DOM i aïllament hardware (HSM/NFC/PGP).

Riscos sistèmics i vectors d’explotació

DOM extension clickjacking no és un bug aïllat; és una fallada de disseny sistèmica. Quan el flux d’injecció d’una extensió queda compromès, l’impacte pot expandir-se més enllà d’una contrasenya filtrada i degradar capes completes d’autenticació i infraestructures.

Escenaris crítics

  • Accés persistent — un TOTP clonat o tokens de sessió recuperats poden re-registrar dispositius “de confiança”.
  • Reproducció de passkeys — una passkey exfiltrada pot funcionar com un token mestre reutilitzable fora del control habitual.
  • Compromís SSO — tokens OAuth/SAML filtrats poden exposar sistemes IT complets.
  • Exposició supply-chain — extensions mal regulades creen una superfície d’atac estructural a nivell de navegador.
  • Robatori d’actius cripto — extensions de moneder que usen DOM poden filtrar seed phrases i claus privades o signar transaccions malicioses.

⮞ Resum

Les conseqüències van més enllà del robo de credencials: TOTPs clonats, passkeys reproduïdes, tokens SSO compromesos i seed phrases exfiltrades són resultats realistes. Mentre els secrets transitin pel DOM, representen un vector d’exfiltració.

Comparativa de amenaces sobiranes
Atac Objectiu Secrets Contramesura sobirana
ToolShell RCE SharePoint / OAuth Certificats SSL, tokens SSO Emmagatzematge i signatura hardware (HSM/PGP)
eSIM hijack Identitat mòbil Perfils de operador Ancoratge hardware (SeedNFC)
DOM clickjacking Extensions de navegador Credencials, TOTP, passkeys Zero-DOM + HSM / autoemplenament sandoxed
Crypto-wallet hijack Extensions de moneder Claus privades, seed phrases Injecció HID/NFC des de HSM (no DOM, no clipboard)
Atomic Stealer Portapapers macOS Claus PGP, dades de wallets Xarxes xifrades + entrada HSM (no clipboard)

Exposició regional i impacte lingüístic — Àmbit anglosaxó (notes)

Regió Usuaris angloparlants Adopció de gestors Contramesures Zero-DOM
Món anglòfon ≈1.5 mil milions Alta (NA, UK, AU) PassCypher HSM PGP, SeedNFC
Amèrica del Nord ≈94M usuaris (36% adults EUA) Creixent consciència; adopció encara moderada PassCypher HSM PGP, NFC HSM
Regne Unit Alta penetració d’internet i moneders Adopció madura; regulacions en augment PassCypher HSM PGP, EviBITB

Insight estratègic: l’espai anglosaxó representa una superfície d’exposició significativa; prioritzar Zero-DOM i mitigacions hardware als fulls de ruta regionals. Fonts: ICLS, Security.org, DataReportal.

Moneders cripto exposats

Les extensions de moneder (MetaMask, Phantom, TrustWallet) sovint utilitzen interaccions amb el DOM; sobreposicions o iframes invisibles poden enganyar l’usuari perquè signi transaccions malicioses o exposi la seed phrase. Vegeu §Sovereign Countermeasures per mitigacions hardware.

SeedNFC HSM — mitigació hardware (concisa)

Contramesura sobirana: SeedNFC HSM ofereix emmagatzematge hardware per claus privades i seed phrases fora del DOM. L’injecció es realitza via canals xifrats NFC↔HID BLE i requereix un desencadenament físic per part de l’usuari, impedint injeccions per redressing o firmes per sobreposició. Vegeu la subsecció técnica de SeedNFC per més detalls d’implementació.

Sandbox vulnerable & Browser-in-the-Browser (BITB)

Els navegadors ofereixen un “sandbox” com a frontera, però el DOM extension clickjacking i les tècniques BITB demostren que les il·lusions d’interfície poden enganyar els usuaris. Un marc d’autenticació fals o una sobreposició poden suplantar proveïdors (Google, Microsoft, bancs) i fer que l’usuari autoritzi accions que alliberen secrets o signen transaccions. Directives com frame-ancestors o certes polítiques CSP no garanteixen bloqueig complet d’aquestes forgeries d’interfície.

Mecanisme de Sandbox URL (tècnic): una solució Zero-DOM robusta lliga cada credencial o referència criptogràfica a una URL esperada (“sandbox URL”) emmagatzemada dins d’un HSM xifrat. Abans d’un autoemplenament o signatura, la URL activa es compara amb la referència de l’HSM; si no coincideixen, el secret no s’allibera. Aquesta validació a nivell d’URL evita exfiltracions encara que les sobreposicions eludeixin la detecció visual.

Detecció i mitigació anti-iframe (tècnic): defenses en temps real inspeccionen i neutralitzen patrons sospitosos d’iframe/overlay (elements invisibles, Shadow DOM anidat, seqüències anòmales de focus(), pointer-events alterats). Les heurístiques inclouen opacitat, context de pila, redireccions de focus i comprovacions d’ancestria d’iframe; la mitigació pot eliminar o aïllar la UI forjada abans de qualsevol interacció.

Per a fluxos d’escriptori, l’enllaç segur entre un dispositiu Android NFC i una aplicació amb HSM permet que els secrets es desxifrin només en RAM volàtil durant una fracció de segon i s’injectin fora del DOM, reduint persistència i exposició en l’host.

⮞ Resum tècnic (atac neutralitzat per sandbox URL + neutralització d’iframe)

La cadena d’atac sol utilitzar sobreposicions CSS invisibles (opacity:0, pointer-events:none), iframes embeguts i nodes Shadow DOM encapsulats. Seqüències de focus() i seguiment del cursor poden induir l’extensió a confeccionar autoemplenament a camps controlats per l’atacant i exfiltrar les dades. L’enllaç d’URL i la neutralització en temps real dels iframes tanca aquest vector.

Il·lustració de la protecció anti-BitB i anti-clickjacking amb EviBITB i Sandbox URL integrats a PassCypher HSM PGP / NFC HSM
✪ Il·lustració – L’escut anti-BITB i el cadenat Sandbox URL bloquegen l’exfiltració de credencials en un formulari manipulat per clickjacking.

⮞ Referència pràctica Per una implementació Zero-DOM pràctica i detalls de producte (antiframe, lligams d’URL HSM, enllaç d’escriptori), consulteu §PassCypher HSM PGP i §Sovereign Countermeasures.

BitUnlocker — Atac contra BitLocker via WinRE

Al DEF CON 33 i al Black Hat USA 2025, el grup d’investigació STORM va presentar una explotació crítica contra BitLocker anomenada BitUnlocker. Aquesta tècnica eludeix les proteccions de BitLocker aprofitant falles lògiques en l’entorn de recuperació de Windows (WinRE).

Vectors d’atac

  • Parsing de boot.sdi: manipulació del procés de càrrega.
  • ReAgent.xml: modificació del fitxer de configuració de recuperació.
  • BCD segrestat: explotació de les dades de configuració d’arrencada.

Metodologia

Els investigadors van centrar-se en la cadena d’arrencada i els components de recuperació per:

  • Identificar vulnerabilitats lògiques dins de WinRE.
  • Desenvolupar exploits capaços d’exfiltrar secrets de BitLocker.
  • Proposar contramesures per endurir la seguretat de BitLocker i WinRE.

Impacte estratègic

Aquest atac demostra que fins i tot un sistema de xifrat de disc considerat robust pot ser compromès mitjançant vectors indirectes en la cadena d’arrencada i recuperació. Subratlla la necessitat d’una defensa en profunditat que integri no només la criptografia, sinó també la protecció i la integritat dels entorns d’arrencada i restauració.

Passkeys phishables — Atacs per superposició a DEF CON 33

A DEF CON 33, una demostració independent va mostrar que les passkeys sincronitzades — sovint presentades com a «resistents al phishing» — poden ser exfiltrades silenciosament utilitzant una simple superposició + redirecció. A diferència del clickjacking d’extensions basat en DOM, aquest vector no requereix cap injecció al DOM: abusa de la confiança en la interfície i dels marcs renderitzats pel navegador per enganyar usuaris i capturar credencials sincronitzades.

Com funciona l’atac per superposició (resum)

  • Superposició / redirecció: es mostra un marc o una superposició d’autenticació fals que imita una pàgina de login legítima.
  • Abús de la confiança del navegador: la UI sembla vàlida, així que els usuaris aproven accions o prompts que alliberen passkeys sincronitzades.
  • Exportació sincronitzada: un cop l’atacant accedeix al gestor o al flux sincronitzat, les passkeys i credencials sincronitzades poden ser exportades i reutilitzades.

Sincronitzades vs lligades al dispositiu — diferència clau

  • Passkeys sincronitzades: emmagatzemades i replicades via núvol/gestor — còmode però punt únic de fallada i susceptible a atacs d’usurpació d’interfície.
  • Passkeys lligades al dispositiu: emmagatzemades en un element segur del dispositiu (hardware) i mai no surten del dispositiu — no són exportables pel núvol i resulten molt més resistents als atacs per superposició.

Proves i evidència

Conseqüència estratègica: la forja d’UI demostra que la “resistència al phishing” depèn del model d’emmagatzematge i confiança. Les passkeys sincronitzades són phisbles; les emmagatzemades en elements segurs del dispositiu romanen el millor recurs. Això reforça la doctrina Zero-DOM + hardware sobirà.

Passkeys phishables @ DEF CON 33 — Atribució i nota tècnica

Investigador principal: Dr. Chad Spensky (Allthenticate)
Coautors tècnics: Shourya Pratap Singh, Daniel Seetoh, Jonathan (Jonny) Lin — Passkeys Pwned: Turning WebAuthn Against Itself (DEF CON 33)
Contribuïdors reconeguts: Shortman, Masrt, sails, commandz, thelatesthuman, malarum (slide d’introducció)

Referències:

Concepte clau: La forja d’UI pot exfiltrar passkeys sincronitzades sense tocar el DOM. Reforça la necessitat de validar fora del navegador (Zero-DOM + validació sobirana fora de navegador).

Senyal estratègic DEF CON 33

DEF CON 33 va cristal·litzar un canvi de supòsits sobre la seguretat del navegador. A continuació, les conclusions concises i orientades a l’acció:

  • Els navegadors no són zones de confiança fiables. No tracteu el DOM com un espai segur per secrets.
  • Passkeys sincronitzades i secrets injectats al DOM són phisbles. Les tècniques d’overlay poden vèncer credencials sincronitzades.
  • Les respostes dels venedors són desiguals; escasses correccions estructurals. Els pegats UI són útils però insuficients.
  • Prioritzeu enfocaments hardware Zero-DOM. Fluxos offline i ancoratges hardware redueixen l’exposició i han d’aparèixer als roadmaps.

Resum

En comptes d’acontentar-se amb pegats cosmètics, les organitzacions han de planificar canvis doctrinals: tractar com a sospitosos els secrets que toquen el DOM i accelerar l’adopció de mitigacions Zero-DOM basades en hardware als productes i polítiques.

Contramesures sobiranes (Zero DOM)

Els pegats de venedors redueixen el risc immediat però no eliminen la causa arrel: els secrets que flueixen pel DOM. Zero-DOM significa que els secrets no han de residir, transitar ni dependre del navegador. La defensa duradora és arquitectònica: mantenir credencials, TOTP, passkeys i claus privades dins d’hardware offline i exposar-les breument només en RAM volàtil quan s’activa explícitament.

"Diagrama

En disseny Zero-DOM, els secrets s’emmagatzemen en HSMs offline i s’alliberen només després d’una acció física (NFC, HID pair, confirmació local). La desxifració es produeix en RAM volàtil el temps mínim necessari; res no queda en clar al DOM ni al disc.

Operació sobirana: NFC HSM, HID-BLE i HSM-PGP

NFC HSM ↔ Android ↔ Navegador:
L’usuari presenta físicament el NFC HSM davant d’un dispositiu Android amb NFC. L’app corroborarà la sol·licitud de l’host, activarà el mòdul i transmetrà el secret xifrat a l’host. La desxifració només passa en RAM volàtil; el navegador mai té el secret en clar.

NFC HSM ↔ HID-BLE:
Quan està emparellat amb un emulador HID Bluetooth, el sistema escriu credencials directament al camp objectiu per un canal BLE xifrat AES-128-CBC, evitant clipboard, keyloggers i exposició DOM.

Activació local HSM-PGP:
En escriptori, un contenidor HSM-PGP (AES-256-CBC PGP) es desxifra localment en RAM amb una acció d’usuari; la injecció no travessa el DOM i s’esborra immediatament després d’uso.

Aquesta arquitectua elimina la superfície d’injecció en lloc de parchejar-la: sense servidor central, sense contrasenya mestra a extreure i sense text clar persistent al navegador. Les implementacions han d’incloure comprovacions d’URL sandboxed, finestres efímeres de memòria i registres auditable d’activacions per verificar cada operació d’autoemplenament.

⮞ Resum

Zero-DOM és una defensa estructural: manteniu secrets en hardware, exigiu activació física, desxifreu només en RAM i bloquegeu qualsevol injecció o exfiltració basada en DOM.

PassCypher HSM PGP — Tecnologia Zero-DOM (patentada des de 2015)

Abans de la descoberta pública de DOM extension clickjacking a DEF CON 33, Freemindtronic ja havia adoptat una alternativa arquitectònica: des del 2015 apliquem el principi de no portar mai secrets pel DOM. Aquesta doctrina és la base de l’arquitectura Zero-DOM patentada de PassCypher, que emmagatzema credencials, TOTP/HOTP i claus criptogràfiques en contenidors HSM hardware — mai injectades en un entorn manipulable.

Un avenç en gestors de contrasenyes

  • Zero-DOM natiu — cap dada sensible toca el navegador.
  • HSM-PGP integrat — contenidors xifrats (AES-256-CBC PGP) amb segmentació de claus patentada.
  • Autonomia sobirana — sense servidor, sense base de dades, sense dependències al núvol.

Protecció reforçada BITB

Des del 2020 PassCypher HSM PGP integra EviBITB, un motor que detecta i neutralitza en temps real iframes i overlays maliciosos (Browser-in-the-Browser). Opera serverless i pot funcionar en modes manual, semi-automàtic o automàtic, millorant notablement la resistència contra atacs BITB i clickjacking d’extensions.

EviBITB integrat a PassCypher HSM PGP: detecció i mitigació d'iFrames i overlays de redirecció
EviBITB integrat a PassCypher HSM PGP: detecció i mitigació d’iFrames i overlays de redirecció per reduir el risc BITB i el clickjacking d’extensions DOM.

Implementació immediata

L’usuari no necessita configuracions complexes: instal·leu l’extensió PassCypher HSM PGP des del Chrome Web Store o l’add-on d’Edge, activeu l’opció BITB i obtindreu protecció Zero-DOM sobirana.

Característiques clau

  • Autoemplenament blindat — sempre via sandbox URL, mai en clar dins el navegador.
  • EviBITB integrat — destrucció d’iframes i overlays maliciosos en temps real (manual / semi / automàtic).
  • Eines criptogràfiques — generació i gestió de claus segmentades (AES-256 + PGP).
  • Compatibilitat — funciona amb qualsevol web mitjançant l’extensió; no requereix plugins addicionals.
  • Arquitectura sobirana — zero servidor, zero base de dades, zero DOM.

⮞ Resum

PassCypher HSM PGP re-defineix la gestió de secrets: contenidors permanentment xifrats, desxifrat efímer en RAM, autoemplenament via sandbox URL i protecció anti-BITB. És una solució hardware orientada a resistir les amenaces actuals i a preparar la transició cap a resiliència quàntica.

PassCypher NFC HSM — Gestor passwordless sobirà

Els gestors de programari cauen amb un sol iframe; PassCypher NFC HSM evita que les credencials transitin pel DOM. El nano-HSM les manté xifrades offline i l’alliberament només es produeix un instant en RAM per autenticar.

Funcionament a l’usuari:

  • Secrets intocables — el NFC HSM encripta i emmagatzema credencials sense exposar-les.
  • TOTP/HOTP — l’app Android o PassCypher HSM PGP genera i mostra codis al moment.
  • Entrada manual — l’usuari introdueix PIN o TOTP al camp; l’app mostra el codi generat pel HSM.
  • autoemplenament contactless — presentant el mòdul NFC l’usuari executa autoemplenament de manera segura i fora del DOM.
  • autoemplenament d’escriptori — PassCypher HSM PGP permet completar camps amb un clic i validacions opcionales.
  • Anti-BITB distribuït — l’enllaç NFC ↔ Android ↔ navegador activa EviBITB per destruir iframes maliciosos en temps real.
  • Mode HID BLE — un emulador Bluetooth HID injecta credencials fora del DOM, bloquejant atacs DOM i keyloggers.

⮞ Resum

PassCypher NFC HSM encarna Zero Trust (cada acció requereix validació física) i Zero Knowledge (cap secret s’exposa). Per disseny, neutralitza clickjacking, BITB, typosquatting, keylogging, IDN spoofing, injeccions DOM, clipboard hijacking i extensions malicioses, i anticipa atacs quàntics.

✪ Atacs neutralitzats per PassCypher NFC HSM

Tipus d’atac Descripció Estat amb PassCypher
Clickjacking / UI redressing Iframes invisibles o overlays que secweisen clics Neutralitzat (EviBITB)
BITB Marcs falsos que simulen finestres de login Neutralitzat (sandbox + enllaç)
Keylogging Captura de pulsacions Neutralitzat (HID BLE)
Typosquatting URLs lookalike Neutralitzat (validació física)
DOM Injection / DOM XSS Scripts maliciosos al DOM Neutralitzat (arquitectura out-of-DOM)
Clipboard Hijacking Intercepció del clipboard Neutralitzat (sense ús clipboard)
Malicious Extensions Plugins maliciosos Neutralitzat (pairing + sandbox)
Atacs quàntics (anticipats) Trencament massiu de claus Mitigat (segmentació de claus + AES-256 CBC + PGP)
[/row]

SeedNFC + HID Bluetooth — Injecció segura dels wallets

Les extensions de moneder prosperen en el DOM i els atacants exploten aquesta feblesa. Amb SeedNFC HSM, la lògica canvia: l’enclau mai allibera claus privades o seed phrases. Durant la inicialització o restauració d’un moneder, el sistema usa emulació Bluetooth HID — com un teclat hardware — sense clipboard, sense DOM i sense rastre per a claus privades o credencials.

Flux operatiu (anti-DOM, anti-clipboard):

  • Custòdia — SeedNFC HSM xifra i emmagatzema la seed/cla privada (mai l’exporta).
  • Activació física — l’usuari autoritza contactless via l’app Android NFC.
  • Injecció HID BLE — el sistema tecleja la seed o el fragment necessari directament al camp del moneder, fora del DOM i del clipboard.
  • Protecció BITB — l’usuari pot activar EviBITB dins l’app per neutralitzar overlays maliciosos durant l’onboarding o recuperació.
  • Efemeritat — la RAM conté temporalment les dades durant l’entrada HID i s’esborra immediatament.

Casos d’ús típics

  • Onboarding o recuperació de moneders (MetaMask, Phantom) sense exposar la clau al navegador.
  • Operacions sensibles a escriptori amb validació física per part de l’usuari via NFC.
  • Còpia de seguretat offline multi-actiu: HSM emmagatzema seed phrases i claus mestres per reutilització sense exportació.

⮞ Resum

SeedNFC HSM amb HID BLE injecta claus directament via emulador HID BLE, evitant teclat i clipboard. El canal xifra amb AES-128 CBC i l’activació física del mòdul assegura un procés verificable i segur. A més, es pot activar protecció anti-BITB per neutralitzar overlays.

Escenaris d’explotació i vies de mitigació

Les revelacions de DEF CON 33 són una alerta; les amenaces evolucionaran més enllà dels pegats. Cal vigilar els següents escenaris:

  • Clickjacking impulsat per IA: LLMs generaran overlays i trampes Shadow DOM en temps real, fent phishing + DOM hijack a gran escala.
  • Tapjacking híbrid mòbil: piles d’aplicacions, gestos invisibles i interaccions en segon pla per validar transaccions o exfiltrar OTPs a mòbil.
  • HSMs post-quàntics: la mitigació a llarg termini requerirà ancoratges hardware i gestió de claus resistent a ordinadors quàntics — moure el límit de seguretat cap a HSMs certificats i fora del navegador.

⮞ Resum

Els atacants futurs evitaran els pegats del navegador; la mitigació exigeix una ruptura: ancoratges hardware offline, planificació HSM post-quàntic i dissenys Zero-DOM en comptes de pegats de programari.

 

Síntesi estratègica

DOM extension clickjacking demostra que navegadors i extensions no són entorns d’execució de confiança per secrets. Els pegats redueixen risc però no eliminen l’exposició estructural.

Camí sobirà — tres prioritats

  • Governança: tractar extensions i motors d’autoemplenament com infraestructura crítica — controls de desenvolupament estrictes, auditories obligatòries i normes de divulgació d’incidents.
  • Canvi arquitectònic: adoptar dissenys Zero-DOM perquè els secrets no transitin pel navegador; exigir activació física per operacions d’alt valor.
  • Resiliència hardware: invertir en ancoratges hardware i en fulls de ruta HSM post-quàntics per eliminar punts únics de fallada en models cloud/sync.

Doctrina — concisa

  • Considerar qualsevol secret que toqui el DOM com potencialment compromès.
  • Preferir activació física (NFC, HID BLE, HSM) per operacions d’alt valor.
  • Auditar i regular la lògica d’injecció d’extensions com a funció crítica de seguretat.
Nota reguladora — marcs existents (CRA, NIS2, marcs nacionals) milloren la resiliència del programari però rarament aborden secrets integrats al DOM. Els responsables polítics han de tancar aquest punt cec exigint separació provable entre UI i fluxos de secrets.

Glossari

  • DOM (Document Object Model): estructura interna de la pàgina al navegador.
  • Clickjacking: tècnica que enganya l’usuari perquè faci clic en elements ocults o disfressats.
  • Shadow DOM: subarbre encapsulat que aïlla components.
  • Zero-DOM: arquitectura de seguretat on els secrets mai toquen el DOM, eliminant el risc d’injecció.
🔥 En resum: els pegats al núvol ajuden, però l’hardware i les arquitectures Zero-DOM eviten falles de classe.

⮞ Nota — Què no cobreix aquesta crònica:

Aquesta anàlisi no proporciona PoC explotables ni tutorials pas a pas per reproduir DOM clickjacking o passkey phishing. Tampoc analitza l’economia de les criptomonedes ni casos legals específics més enllà d’un punt de vista estratègic de seguretat.

L’objectiu és explicar falles estructurals, quantificar riscos sistèmics i traçar contramesures Zero-DOM basades en hardware. Per detalls d’implementació, consulteu §Sovereign Countermeasures i les subseccions de producte.

Clickjacking des extensions DOM : DEF CON 33 révèle 11 gestionnaires vulnérables

Affiche cyberpunk illustrant DOM Based Extension Clickjacking présenté au DEF CON 33 avec extraction de secrets du navigateur

Clickjacking d’extensions DOM : DEF CON 33 révèle une faille critique et les contre-mesures Zero-DOM

Résumé express — Clickjacking d’extensions DOM

Situation (snapshot — 17 Sep 2025) : à DEF CON 33, des démonstrations en direct ont mis en évidence des attaques de DOM-based extension clickjacking et d’overlays (BITB) capables d’exfiltrer identifiants, codes TOTP, passkeys synchronisées et clés crypto depuis des extensions et wallets. Les tests initiaux ont estimé ≈40 M d’installations exposées. Plusieurs éditeurs ont publié des atténuations en août-sept. 2025 (ex. Bitwarden, Dashlane, Enpass, NordPass, ProtonPass, RoboForm) ; d’autres restent signalés vulnérables (1Password, LastPass, iCloud Passwords, KeePassXC-Browser). Voir le tableau de statut pour le détail par produit. Impact : systémique — tout secret qui touche le DOM peut être exfiltré de manière furtive ; les overlays BITB rendent les passkeys synchronisées « phishables ».

Recommandation : migrer vers des flux matériels Zero-DOM (HSM / NFC) ou ré-ingénierie structurelle des moteurs d’injection. Voir §Contre-mesures Souveraines.

Chronique à lire

Temps de lecture estimé : 37–39 minutes
Date de mise à jour : 2025-10-2
Niveau de complexité : Avancé / Expert
Spécificité linguistique : Lexique souverain — densité technique élevée
Langues disponibles : CAT ·EN ·ES ·FR
Accessibilité : Optimisé pour lecteurs d’écran — ancres sémantiques incluses
Type éditorial : Chronique stratégique
À propos de l’auteur : Jacques Gascuel, inventeur et fondateur de Freemindtronic®. Spécialiste des technologies de sécurité souveraines, il conçoit et brevète des systèmes matériels pour la protection des données, la souveraineté cryptographique et les communications sécurisées.

🚨 DEF CON 33 — Points clés

  • Deux démonstrations en direct : clickjacking d’extensions DOM (gestionnaires/wallets) et passkeys phishables (overlay).
  • ≈11 gestionnaires testés ; impact initial estimé ≈40M d’installations exposées.
  • Direction des atténuations : correctifs UI rapides vs. rares solutions structurelles Zero-DOM.
  • Voir la table de statut et §Contre-mesures souveraines pour le détail.

Il vous reste 3 minutes : lisez le passage clé où DEF CON 33 dévoile le clickjacking d’extensions.

Infographie illustrant l’anatomie d’un clickjacking d’extensions basé sur le DOM : page malveillante, iframe invisible, autofill piégé et exfiltration des secrets vers l’attaquant.

Point d’inflexion : DEF CON 33 dévoile le clickjacking d’extensions

⚡ La découverte

Las Vegas, début août 2025. DEF CON 33 envahit le Las Vegas Convention Center. Entre dômes de hackers, villages IoT, Adversary Village et compétitions CTF, l’ambiance est électrisée. Sur scène, Marek Tóth branche son laptop, lance la démo et appuie sur Entrée. Instantanément, l’attaque vedette apparaît : le clickjacking d’extensions DOM. Facile à coder et dévastateur à exécuter, il repose sur une page piégée, des iframes invisibles et un appel focus() malveillant. Ces éléments trompent les gestionnaires d’autofill qui vident identifiants, codes TOTP et passkeys dans un formulaire fantôme. Le clickjacking d’extensions DOM s’impose donc comme une menace structurelle.

⧉ Seconde démonstration — Passkeys phishables (overlay)

Lors de DEF CON 33, Allthenticate a montré que des passkeys synchronisées peuvent aussi être phishingées via un simple overlay et une redirection — sans injection DOM. Nous traitons les implications complètes dans la section dédiée Passkeys phishables et dans Attribution & sources. À noter également : DEF CON 33 et Black Hat 2025 ont mis en lumière une autre démonstration critique — BitUnlocker — ciblant BitLocker via WinRE (voir §BitUnlocker).

⚠ Message stratégique — risques systémiques

Avec deux démonstrations — l’une visant les gestionnaires/wallets, l’autre ciblant les passkeys — deux piliers de la cybersécurité vacillent. Le constat est net : tant que vos secrets résident dans le DOM, ils restent attaquables. Et tant que la cybersécurité repose sur le navigateur et le cloud, un simple clic peut tout renverser. Comme le rappelle OWASP, le clickjacking est une menace ancienne — mais ici c’est la couche extension qui se révèle fragile.

⎔ L’alternative souveraine — Contre-mesures Zero-DOM

Saviez-vous qu’une alternative existe depuis plus de dix ans — une approche qui évite totalement le DOM du navigateur ? Grâce à PassCypher HSM PGP, PassCypher NFC HSM et SeedNFC pour la sauvegarde matérielle des clés cryptographiques, vos identifiants, mots de passe, codes TOTP/HOTP et clés privées restent chiffrés dans des HSM hors ligne et ne sont jamais exposés au DOM. Ce n’est pas une rustine : c’est une architecture souveraine propriétaire, décentralisée — sans serveur, sans base de données centrale et sans mot de passe maître — qui fonctionne hors ligne. Elle libère la gestion des secrets des dépendances techniques, d’hébergement et des obligations juridiques liées aux services centralisés (synchronisation cloud, FIDO/WebAuthn, gestionnaires de mots de passe), tout en offrant une protection native contre le clickjacking d’extensions et les attaques BITB.

Merci d’avoir pris le temps de lire ce résumé. — On dit souvent que « le diable se cache dans les détails » : c’est précisément ce que je vous propose de découvrir dans la chronique complète. Vous voulez tout savoir sur le clickjacking d’extensions DOM, les passkeys phishables, l’attaque BitUnlocker ainsi que les contre-mesures Zero-DOM et anti-overlay capables de protéger vos secrets ? ➜ Lisez la suite.

2021 Digital Security EviPass NFC HSM technology Technical News

766 trillion years to find 20-character code like a randomly generated password

2025 Digital Security Technical News

Quantum computer 6100 qubits ⮞ Historic 2025 breakthrough

2025 Digital Security Technical News

Ordinateur quantique 6100 qubits ⮞ La percée historique 2025

2025 Cyberculture Digital Security

Authentification multifacteur : anatomie, OTP, risques

2023 Digital Security

WhatsApp Hacking: Prevention and Solutions

2025 Digital Security

Email Metadata Privacy: EU Laws & DataShielder

2025 Digital Security

Chrome V8 confusió RCE — Actualitza i postura Zero-DOM

2025 Digital Security

Chrome V8 confusion RCE — Your browser was already spying

2024 Cyberculture Digital Security

Russian Cyberattack Microsoft: An Unprecedented Threat

2025 Digital Security

Chrome V8 Zero-Day: CVE-2025-6554 Actively Exploited

2025 Digital Security

APT29 Exploits App Passwords to Bypass 2FA

2025 Digital Security

Signal Clone Breached: Critical Flaws in TeleMessage

2025 Digital Security

APT29 Spear-Phishing Europe: Stealthy Russian Espionage

2024 Digital Security

Why Encrypt SMS? FBI and CISA Recommendations

2025 Digital Security

APT44 QR Code Phishing: New Cyber Espionage Tactics

2024 Digital Security

BitLocker Security: Safeguarding Against Cyberattacks

2024 Digital Security

French Minister Phone Hack: Jean-Noël Barrot’s G7 Breach

2024 Digital Security

Cyberattack Exploits Backdoors: What You Need to Know

2021 Cyberculture Digital Security Phishing

Phishing Cyber victims caught between the hammer and the anvil

2024 Digital Security

Google Sheets Malware: The Voldemort Threat

2024 Articles Digital Security News

Russian Espionage Hacking Tools Revealed

2024 Digital Security Spying Technical News

Side-Channel Attacks via HDMI and AI: An Emerging Threat

2024 Digital Security Technical News

Apple M chip vulnerability: A Breach in Data Security

Digital Security Technical News

Brute Force Attacks: What They Are and How to Protect Yourself

2023 Digital Security

Predator Files: The Spyware Scandal That Shook the World

2023 Digital Security Phishing

BITB Attacks: How to Avoid Phishing by iFrame

2023 Digital Security

5Ghoul: 5G NR Attacks on Mobile Devices

2024 Digital Security

Europol Data Breach: A Detailed Analysis

Digital Security EviToken Technology Technical News

EviCore NFC HSM Credit Cards Manager | Secure Your Standard and Contactless Credit Cards

2024 Cyberculture Digital Security News Training

Andorra National Cyberattack Simulation: A Global First in Cyber Defense

Articles Digital Security EviVault Technology NFC HSM technology Technical News

EviVault NFC HSM vs Flipper Zero: The duel of an NFC HSM and a Pentester

Articles Cryptocurrency Digital Security Technical News

Securing IEO STO ICO IDO and INO: The Challenges and Solutions

Articles Cyberculture Digital Security Technical News

Protect Meta Account Identity Theft with EviPass and EviOTP

2024 Digital Security

Cybersecurity Breach at IMF: A Detailed Investigation

2023 Articles Cyberculture Digital Security Technical News

Strong Passwords in the Quantum Computing Era

2024 Digital Security

PrintListener: How to Betray Fingerprints

2024 Articles Digital Security News Spying

How to protect yourself from stalkerware on any phone

2023 Articles DataShielder Digital Security Military spying News NFC HSM technology Spying

Pegasus: The cost of spying with one of the most powerful spyware in the world

2024 Digital Security Spying

Ivanti Zero-Day Flaws: Comprehensive Guide to Secure Your Systems Now

2024 Articles Compagny spying Digital Security Industrial spying Military spying News Spying Zero trust

KingsPawn A Spyware Targeting Civil Society

2024 Articles Digital Security EviKey NFC HSM EviPass News SSH

Terrapin attack: How to Protect Yourself from this New Threat to SSH Security

Articles Crypto Currency Cryptocurrency Digital Security EviPass Technology NFC HSM technology Phishing

Ledger Security Breaches from 2017 to 2023: How to Protect Yourself from Hackers

2024 Articles Digital Security News Phishing

Google OAuth2 security flaw: How to Protect Yourself from Hackers

Articles Digital Security EviCore NFC HSM Technology EviPass NFC HSM technology NFC HSM technology

TETRA Security Vulnerabilities: How to Protect Critical Infrastructures

2023 Articles DataShielder Digital Security EviCore NFC HSM Technology EviCypher NFC HSM EviCypher Technology NFC HSM technology

FormBook Malware: How to Protect Your Gmail and Other Data

Articles Digital Security

Chinese hackers Cisco routers: how to protect yourself?

Articles Crypto Currency Digital Security EviSeed EviVault Technology News

Enhancing Crypto Wallet Security: How EviSeed and EviVault Could Have Prevented the $41M Crypto Heist

Articles Digital Security News

How to Recover and Protect Your SMS on Android

Articles Crypto Currency Digital Security News

Coinbase blockchain hack: How It Happened and How to Avoid It

Articles Compagny spying Digital Security Industrial spying Military spying Spying

Protect yourself from Pegasus spyware with EviCypher NFC HSM

Articles Digital Security EviCypher Technology

Protect US emails from Chinese hackers with EviCypher NFC HSM?

Articles Digital Security

What is Juice Jacking and How to Avoid It?

2023 Articles Cryptocurrency Digital Security NFC HSM technology Technologies

How BIP39 helps you create and restore your Bitcoin wallets

Articles Digital Security Phishing

Snake Malware: The Russian Spy Tool

Articles Cryptocurrency Digital Security Phishing

ViperSoftX How to avoid the malware that steals your passwords

Articles Digital Security Phishing

Kevin Mitnick’s Password Hacking with Hashtopolis

En cybersécurité souveraine Cette chronique fait partie de la rubrique Digital Security, tournée vers les exploits, vulnérabilités systémiques et contre-mesures matérielles zero-trust.

Historique du Clickjacking (2002–2025)

Définition du clickjacking d’extensions basé sur le DOM

Le DOM-based extension clickjacking détourne une extension (gestionnaire de mots de passe ou wallet) en abusant du Document Object Model du navigateur. Une page trompeuse enchaîne iframes invisibles, Shadow DOM et un appel focus() malveillant pour déclencher l’autofill dans un formulaire invisible. L’extension « pense » être sur le bon champ et y déverse des secrets — identifiants, codes TOTP/HOTP, passkeys, voire clés privées. Parce que ces secrets touchent le DOM, ils peuvent être exfiltrés silencieusement.

⮞ Perspicacité doctrinale : Le DOM-based extension clickjacking n’est pas un bug ponctuel — c’est un défaut de conception. Toute extension qui injecte des secrets dans un DOM manipulable est vulnérable par nature. Seules des architectures Zero-DOM (séparation structurelle, HSM/NFC, injection hors-navigateur) éliminent cette surface d’attaque.

Quel est le niveau de dangerosité ?

Ce vecteur n’est pas une variante mineure : il exploite la logique même de l’autofill et agit à l’insu de l’utilisateur. L’attaquant ne se contente pas de superposer un élément ; il force l’extension à remplir un faux formulaire comme si de rien n’était, rendant l’exfiltration indétectable par une observation superficielle.

Déroulé type de l’attaque

  1. Préparation — la page malveillante intègre une iframe invisible et un Shadow DOM qui camoufle le vrai contexte ; des champs sont rendus non visibles (opacity:0, pointer-events:none).
  2. Appât — la victime clique sur un élément anodin ; des redirections et un focus() malveillant redirigent l’événement vers un champ contrôlé par l’attaquant.
  3. Exfiltration — l’extension croit interagir avec un champ légitime et injecte automatiquement identifiants, TOTP, passkeys ou clés privées dans le DOM factice ; les données sont aussitôt exfiltrées.

Cette mécanique trompe les indices visuels, contourne des protections classiques (X-Frame-Options, Content-Security-Policy, frame-ancestors) et transforme l’autofill en un canal d’exfiltration invisible. Les overlays de type Browser-in-the-Browser (BITB) ou les manipulations de Shadow DOM aggravent encore le risque, rendant les passkeys synchronisées et les credentials phishables.

⮞ Résumé

Le clickjacking d’extensions combine iframes invisibles, manipulation du Shadow DOM et redirections via focus() pour détourner les extensions d’autofill. Les secrets sont injectés dans un formulaire fantôme, offrant à l’attaquant un accès direct aux données sensibles (identifiants, TOTP/HOTP, passkeys, clés privées). Moralité : tant que les secrets transitent par le DOM, la surface d’attaque reste ouverte.

Historique du Clickjacking (2002–2025)

Le clickjacking est devenu le parasite persistant du web moderne. Le terme apparaît au début des années 2000, lorsque Jeremiah Grossman et Robert Hansen décrivent la tromperie consistant à pousser un internaute à cliquer sur quelque chose qu’il ne voit pas réellement. Une illusion appliquée au code, vite devenue une technique d’attaque incontournable (OWASP).

  • 2002–2008 : émergence du “UI redressing” : calques HTML + iframes transparentes piégeant l’utilisateur (Hansen Archive).
  • 2009 : Facebook victime du Likejacking (OWASP).
  • 2010 : apparition du Cursorjacking : décalage du pointeur pour tromper le clic (OWASP).
  • 2012–2015 : exploitation via iframes, publicité et malvertising (MITRE CVE).
  • 2016–2019 : le tapjacking sévit sur mobile (Android Security Bulletin).
  • 2020–2024 : montée du “hybrid clickjacking” mêlant XSS et phishing (OWASP WSTG).
  • 2025 : à DEF CON 33, Marek Tóth dévoile un nouveau palier : DOM-Based Extension Clickjacking. Cette fois, ce ne sont plus seulement les sites web mais les extensions navigateur (gestionnaires, wallets) qui injectent des formulaires invisibles.

❓Depuis combien de temps étiez-vous exposés ?

Le clickjacking et les iframes invisibles sont connus depuis des années ; l’utilisation du Shadow DOM n’est pas nouvelle. Les révélations de DEF CON 33 exposent un motif de conception vieux d’une décennie : les extensions qui font confiance au DOM pour injecter des secrets sont vulnérables par construction.

Synthèse : En 20 ans, le clickjacking est passé d’une astuce visuelle à un sabotage systémique des gestionnaires d’identité. DEF CON 33 marque un point de rupture : la menace n’est plus seulement le site web, mais le cœur des extensions et de l’autofill.

Gestionnaires vulnérables & divulgation CVE (instantané — 2 oct. 2025)

Mise à jour : 2 octobre 2025 Depuis la divulgation DEF CON 33 par Marek Tóth, plusieurs éditeurs ont déployé des correctifs ou atténuations, mais la réactivité varie fortement. La nouvelle colonne indique le délai estimé entre la présentation (8 août 2025) et la sortie d’un patch/atténuation.

Gestionnaire Identifiants TOTP Passkeys Statut Patch / note officielle ⏱️ Délai de patch
1Password Oui Oui Oui Mitigations (v8.11.x) Blog 🟠 >6 semaines (mitigation)
Bitwarden Oui Oui Partiel Corrigé (v2025.8.2) Release 🟢 ~4 semaines
Dashlane Oui Oui Oui Corrigé Advisory 🟢 ~3 semaines
LastPass Oui Oui Oui Corrigé (sept. 2025) Release 🟠 ~6 semaines
Enpass Oui Oui Oui Corrigé (v6.11.6) Release 🟠 ~5 semaines
iCloud Passwords Oui Non Oui Vulnérable (en examen) 🔴 >7 semaines (aucun patch)
LogMeOnce Oui Non Oui Corrigé (v7.12.7) Release 🟢 ~4 semaines
NordPass Oui Oui Partiel Corrigé (atténuations) Release 🟠 ~5 semaines
ProtonPass Oui Oui Partiel Corrigé (atténuations) Releases 🟠 ~5 semaines
RoboForm Oui Oui Oui Corrigé Update 🟢 ~4 semaines
Keeper Partiel Non Non Patch partiel (v17.2.0) Release 🟠 ~6 semaines (partiel)

⮞ Perspectiva estratégica:

Incluso tras correcciones, el problema sigue siendo arquitectónico: mientras las credenciales y secretos transiten por el DOM, permanecerán expuestos.
Las soluciones Zero-DOM (PassCypher HSM PGP, PassCypher NFC HSM, SeedNFC) eliminan la superficie de ataque al garantizar que los secretos nunca abandonen su contenedor cifrado.
Zero-DOM = superficie de ataque nula.

Nota: instantánea al 2 de octubre de 2025. Para versiones por producto, notas de versión y CVE asociados, consulte la tabla y las páginas oficiales de los editores.

Technologies de correction mises en œuvre

Depuis la divulgation publique du DOM Extension Clickjacking à DEF CON 33, des éditeurs ont publié des correctifs. Toutefois ces correctifs restent inégaux et se limitent souvent à des ajustements d’UI ou des vérifications contextuelles. Aucun fournisseur n’a jusqu’ici refondu le moteur d’injection.

Avant d’examiner les méthodes, voici une vue d’ensemble visuelle des principales technologies déployées : du pansement cosmétique aux solutions souveraines Zero-DOM.

Infographie des défenses contre le clickjacking DOM : X-Frame-Options, CSP, retards d’autofill, boîtes de dialogue flottantes
Quatre technologies de défense contre le clickjacking DOM : politiques de sécurité, délais d’injection, et isolation de l’interface. Lisez l’article complet →

Objectif

Expliquer comment les éditeurs ont tenté de corriger la faille, distinguer patchs cosmétiques et corrections structurelles, et mettre en lumière les approches souveraines Zero-DOM hardware.

Méthodes observées (août 2025)

Méthode Description Gestionnaires concernés
Restriction d’autofill Passage en mode « on-click » ou désactivation par défaut Bitwarden, Dashlane, Keeper
Filtrage de sous-domaines Blocage sur sous-domaines non explicitement autorisés ProtonPass, RoboForm
Détection Shadow DOM Refus d’injection si le champ est encapsulé dans un Shadow DOM NordPass, Enpass
Isolation contextuelle Contrôles avant injection (iframe, opacité, focus) Bitwarden, ProtonPass
Matériel souverain (Zero-DOM) Aucun secret ne transite par le DOM : NFC HSM, HSM PGP, SeedNFC PassCypher, EviKey, SeedNFC (non vulnérables par design)

📉 Limites observées

  • Les patchs ne changent pas le moteur d’injection, ils en limitent seulement le déclenchement.
  • Aucune séparation structurelle interface ↔ flux de secrets.
  • Tant que l’injection reste liée au DOM, de nouvelles variantes de clickjacking demeurent possibles.
⮞ Transition stratégique Ces correctifs réagissent aux symptômes sans traiter la cause. Pour distinguer la rustine de la refonte doctrinale, poursuivez avec l’analyse ci-dessous.

Technologies de correction — Analyse technique & doctrinale

Constat Le clickjacking d’extensions DOM n’est pas un bug ponctuel mais une erreur de conception : injecter des secrets dans un DOM manipulable sans séparation structurelle ni contrôle contextuel robuste rend l’architecture vulnérable.

Ce que les correctifs actuels n’adressent pas

  • Aucun éditeur n’a reconstruit son moteur d’injection.
  • Les correctifs limitent l’activation (désactivation, filtrage, détection partielle) plutôt que de changer le modèle d’injection.

Ce qu’exigerait une correction structurelle

  • Supprimer la dépendance au DOM pour l’injection de secrets.
  • Isoler le moteur d’injection hors du navigateur (matériel ou processus sécurisé séparé).
  • Imposer une authentification matérielle (NFC, PGP, enclave) et une validation physique explicite.
  • Interdire toute interaction avec des champs invisibles/encapsulés par défaut.

Typologie des correctifs

Niveau Type Description
Cosmétique UI/UX, autofill désactivé par défaut Ne modifie pas la logique d’injection, uniquement son déclencheur
Contextuel Filtrage DOM, Shadow DOM, sous-domaines Ajoute des conditions, mais reste prisonnier du DOM
Structurel Zero-DOM, matériel (PGP, NFC, HSM) Élimine l’usage du DOM pour les secrets, sépare UI et flux sensibles

Tests doctrinaux pour vérifier un correctif

  • Injecter un champ invisible (opacity:0) dans une iframe et observer le comportement d’injection.
  • Simuler un Shadow DOM encapsulé et vérifier si l’extension injecte malgré tout.
  • Vérifier si l’action d’autofill est tracée/auditable ou correctement bloquée en cas de mismatch de contexte.

Absence de norme industrielle

Aucune norme (NIST/OWASP/ISO) n’encadre aujourd’hui : (1) la logique d’injection des extensions, (2) la séparation UI ↔ flux de secrets, (3) la traçabilité des auto-remplissages.

⮞ Conclusion Les correctifs actuels sont majoritairement des pansements. La solution durable est architecturale : retirer les secrets du DOM via des patterns Zero-DOM et une isolation matérielle (HSM/NFC/PGP).

Risques systémiques & vecteurs d’exploitation

Le DOM-based extension clickjacking n’est pas un bug isolé : c’est une faille systémique. Lorsqu’un flux d’injection d’extension est compromis, l’impact dépasse le simple mot de passe volé : il peut entraîner une cascade d’effets sur l’authentification et l’infrastructure.

Scénarios critiques

  • Accès persistant — un TOTP cloné permet d’enregistrer un appareil « de confiance » et de maintenir l’accès après réinitialisation.
  • Rejeu de passkeys — une passkey exfiltrée peut servir de jeton réutilisable hors de tout contrôle.
  • Compromission SSO — fuite de tokens OAuth/SAML via une extension entreprise = brèche SI complète.
  • Chaîne d’approvisionnement — extensions faibles ou malveillantes deviennent une surface d’attaque structurelle pour les navigateurs.
  • Vol d’actifs crypto — les wallets qui s’appuient sur l’injection DOM peuvent fuir seed phrases ou clés privées, ou signer des transactions malveillantes.

⮞ Résumé

Les conséquences vont au-delà du vol de credentials : TOTP clonés, passkeys rejouées, tokens SSO compromis et seed phrases exfiltrées sont des résultats réalistes. Tant que des secrets transitent par le DOM, ils restent un vecteur d’exfiltration.

Comparatif de menace souverain

Attaque Cible Secrets Contre-mesure souveraine
ToolShell RCE SharePoint / OAuth Certificats SSL, tokens SSO Stockage + signature hors-DOM (HSM/PGP)
eSIM hijack Identité mobile Profils opérateurs Ancrage matériel (SeedNFC)
DOM clickjacking Extensions navigateur Credentials, TOTP, passkeys Zero-DOM + HSM / sandboxed autofill
Crypto-wallet hijack Extensions wallets Clés privées, seed phrases Injection HID/NFC depuis HSM (pas de DOM ni clipboard)
Atomic Stealer Presse-papier macOS Clés PGP, wallets Canaux chiffrés + HSM → injection hors-clipboard

Le clickjacking d’extensions DOM révèle ainsi la fragilité des modèles de confiance logicielle.

Exposition régionale & impact linguistique — sphère francophone

Le clickjacking d’extensions DOM frappe différemment selon les régions. Ci-dessous l’exposition estimée des populations francophones en Europe et dans la francophonie globale, là où les risques numériques sont concentrés et où les réponses souveraines doivent être priorisées.

Exposition estimée — Aire francophone (août 2025)

Zone Population francophone % en Europe Contre-mesures disponibles
Francophonie mondiale (OIF) ≈321 millions PassCypher HSM PGP, NFC HSM, SeedNFC (docs FR)
Europe (UE + Europe entière) ≈210 millions ~20 % de l’UE PassCypher HSM PGP (compatible RGPD, ANSSI)
France (locuteurs natifs) ≈64 millions ≈95 % de la population PassCypher HSM PGP (version FR)

⮞ Lecture stratégique

Les populations francophones en Europe constituent une cible prioritaire : entre ≈210M en Europe et ≈321M dans le monde, une part significative est exposée. En France (~64M locuteurs), l’enjeu est national. Seules des contre-mesures Zero-DOM souveraines — PassCypher HSM PGP, NFC HSM, SeedNFC (docs FR) — garantissent une défense indépendante et résiliente.

Sources : OIF, données Europe, WorldData.

Extensions crypto-wallets exposées

Les gestionnaires de mots de passe ne sont pas les seuls à tomber : les wallets (MetaMask, Phantom, TrustWallet) reposent souvent sur l’injection DOM pour afficher ou signer des transactions. Un overlay bien placé ou une iframe invisible peut amener l’utilisateur à croire qu’il valide une opération légitime alors qu’il signe un virement malveillant ou révèle sa seed phrase.

Implication directe : contrairement aux credentials, ici il s’agit d’actifs financiers immédiats. Des milliards de dollars reposent sur ces extensions. Le DOM devient donc un vecteur d’exfiltration monétaire.

⮞ Résumé

Les extensions wallets qui réutilisent le DOM s’exposent aux mêmes failles : seed phrases, clés privées et signatures de transactions peuvent être interceptées via redressing DOM.

Contre-mesure souveraine : SeedNFC HSM — sauvegarde matérielle des clés privées et seed phrases, hors DOM, avec injection sécurisée NFC↔HID BLE. Les clés ne quittent jamais le HSM ; l’utilisateur active physiquement chaque opération : le redressing DOM devient inopérant. En complément, PassCypher HSM PGP et PassCypher NFC HSM protègent OTP et credentials, évitant la compromission latérale.

Sandbox navigateur faillible & attaques BITB

Les navigateurs présentent leur sandbox comme un rempart, pourtant le DOM-based extension clickjacking et le Browser-in-the-Browser (BITB) démontrent le contraire. Un simple overlay et un faux cadre d’authentification suffisent à tromper l’utilisateur : il croit interagir avec Google, Microsoft ou sa banque alors qu’il livre ses secrets à une page frauduleuse. Même frame-ancestors ou certaines règles CSP ne suffisent pas toujours à empêcher ces forgeries d’interface.

C’est ici que les technologies souveraines modifient la donne. Avec EviBITB (IRDR), Freemindtronic intègre dans PassCypher HSM PGP un moteur de détection et destruction d’iframes de redirection, capable de neutraliser en temps réel les tentatives de BITB. Activable en un clic, utilisable en mode manual, semi-automatique ou automatique, il fonctionne sans serveur, sans base de données et agit instantanément. (explications · guide détaillé)

La clé de voûte reste le sandbox URL. Chaque identifiant ou clé est lié à une URL de référence stockée chiffrée dans le HSM. Lorsqu’une page tente un autofill, l’URL active est comparée à celle du HSM. En cas de non-correspondance, aucune donnée n’est injectée. Ainsi, même si un iframe franchit des contrôles visuels, le sandbox URL bloque l’exfiltration.

Cette double barrière s’étend aux usages desktop via l’appairage sécurisé NFC entre un smartphone Android NFC et l’application Freemindtronic intégrant PassCypher NFC HSM : les secrets restent chiffrés dans le HSM et ne sont déchiffrés que quelques millisecondes en RAM, juste le temps nécessaire à l’auto-remplissage — sans jamais transiter ni résider dans le DOM.

⮞ Résumé technique (attaque contrée par EviBITB + sandbox URL)

La chaîne d’attaque utilise overlays CSS invisibles (opacity:0, pointer-events:none), iframes et Shadow DOM encapsulé. En enchaînant focus() et suivi du curseur, l’extension est piégée pour autofill dans un formulaire invisible aussitôt exfiltré. Avec EviBITB, ces iframes/overlays sont détruits en temps réel ; parallèlement, le sandbox URL vérifie l’authenticité de la destination par rapport à l’URL chiffrée dans le HSM. Si mismatch → autofill bloqué. Résultat : pas d’injection, pas de fuite. Les secrets restent hors-DOM, y compris en usage desktop via NFC HSM appairé.

Illustration de la protection anti-BitB et anti-clickjacking par EviBITB et Sandbox URL intégrés à PassCypher HSM PGP / NFC HSM
✪ Illustration – Le bouclier EviBITB et le cadenas Sandbox URL empêchent l’exfiltration des identifiants depuis un formulaire piégé par clickjacking.
⮞ Référence pratique Pour une implémentation Zero-DOM pratique et détails produit (outillage anti-iframe, liaison HSM URL et appairage desktop), voir §PassCypher HSM PGP et §Contre-mesures souveraines.

Passkeys phishables — Overlays observés à DEF CON 33

À DEF CON 33, une démonstration indépendante a montré que des passkeys synchronisées — souvent présentées comme « résistantes au phishing » — peuvent être exfiltrées silencieusement via un simple overlay + redirection. Contrairement au DOM-based extension clickjacking, ce vecteur n’exige aucune injection DOM : il abuse de la confiance UI et des frames rendues par le navigateur pour leurrer l’utilisateur et récolter des credentials synchronisés.

Fonctionnement (résumé)

  • Overlay / redirection : un faux cadre d’authentification imitant un portail légitime est affiché.
  • Trust navigateur abusé : l’UI semble légitime ; l’utilisateur approuve des actions/boîtes de dialogue qui libèrent les passkeys synchronisées.
  • Export synchronisé : une fois l’accès obtenu, les passkeys et credentials synchronisés peuvent être exportés et réutilisés.

Synch vs lié à l’appareil — différence clé

  • Passkeys synchronisées : stockées/répliquées via cloud / gestionnaire — pratiques mais point de défaillance unique et phishables par usurpation UI.
  • Passkeys liées à l’appareil : stockées dans un élément sécurisé matériel et ne quittent pas l’appareil — non soumises à l’export cloud, donc beaucoup plus résistantes aux overlays.

Preuves & sources

Conclusion stratégique : l’usurpation d’UI prouve que la « résistance au phishing » dépend du modèle de stockage et de confiance : les passkeys synchronisées via cloud / gestionnaires sont phishables ; les credentials liées au matériel (élément sécurisé) restent l’alternative robuste. Cela renforce la doctrine Zero-DOM + hardware souverain.

BitUnlocker — Attaque sur BitLocker via WinRE

À DEF CON 33 et Black Hat USA 2025, l’équipe STORM a présenté une attaque critique contre BitLocker nommée BitUnlocker. La technique contourne certaines protections de BitLocker en exploitant des faiblesses logiques dans l’environnement de récupération Windows (WinRE).

Vecteurs d’attaque

  • Parsing de boot.sdi — manipulation du processus de chargement
  • ReAgent.xml — modification de la configuration de récupération
  • BCD altéré — exploitation des Boot Configuration Data

Méthodologie

Les chercheurs ont ciblé la chaîne de démarrage et ses composants de récupération pour :

  • Identifier des faiblesses logiques dans WinRE ;
  • Développer des exploits capables d’exfiltrer des secrets BitLocker ;
  • Proposer des contre-mesures pour renforcer BitLocker / WinRE.

Impact stratégique

Cette attaque montre que même des systèmes de chiffrement réputés peuvent être contournés via des vecteurs indirects — ici la chaîne de récupération. Elle souligne la nécessité d’une approche « défense en profondeur » protégeant non seulement les primitives cryptographiques mais aussi l’intégrité du boot/recovery.

Passkeys phishables @ DEF CON 33 — Attribution & note technique

Recherche principale : Dr Chad Spensky (Allthenticate)

Co-auteurs techniques : Shourya Pratap Singh, Daniel Seetoh, Jonathan (Jonny) Lin — Passkeys Pwned: Turning WebAuthn Against Itself (DEF CON 33)

Contributeurs reconnus : Shortman, Masrt, sails, commandz, thelatesthuman, malarum (intro slide)

Références :

Conclusion clé : l’usurpation d’UI par overlay peut exfiltrer des passkeys synchronisées sans toucher le DOM. Doctrine renforcée : Zero-DOM + validation hors-navigateur.

Signaux stratégiques DEF CON 33

DEF CON 33 cristallise un changement d’hypothèses sur la sécurité navigateur. Points d’action :

  • Les navigateurs ne sont plus des zones de confiance. Le DOM n’est pas un sanctuaire des secrets.
  • Passkeys synchronisées & secrets injectés dans le DOM sont phishables.
  • Réponses éditeurs hétérogènes ; correctifs structurels rares.
  • Prioriser les approches Zero-DOM matérielles. Les flux hardware hors-ligne réduisent l’exposition et doivent figurer dans les feuilles de route.

Synthèse

Plutôt que de s’en tenir à des correctifs cosmétiques, planifiez une rupture doctrinale : considérez tout secret touchant le DOM comme compromis et accélérer l’adoption d’atténuations matérielles Zero-DOM.

Contre-mesures souveraines (Zero-DOM)

Les correctifs éditeurs réduisent le risque immédiat mais ne suppriment pas la cause : les secrets qui transitent par le DOM. Zero-DOM signifie que les secrets ne doivent jamais résider, transiter ou dépendre du navigateur. La défense durable est architecturale — garder credentials, TOTP, passkeys et clés privées dans du matériel hors-ligne et ne les exposer qu’éphémèrement en mémoire volatile après activation explicite.

Schéma Zero DOM Flow montrant l’arrêt de l’exfiltration DOM et l’injection sécurisée via HSM PGP / NFC HSM avec Sandbox URL
Zero DOM Flow : les secrets restent en HSM, injection HID en RAM éphémère, exfiltration DOM impossible

Dans une conception Zero-DOM, les secrets sont stockés dans des HSM hors-ligne et ne sont libérés qu’après une action physique explicite (tap NFC, appairage HID, confirmation locale). Le déchiffrement a lieu en RAM volatile pour l’intervalle minimal nécessaire ; rien ne persiste dans le DOM ou sur disque.

Fonctionnement souverain : NFC HSM, HID-BLE et HSM-PGP

NFC HSM ↔ Android ↔ Navigateur : l’utilisateur présente physiquement le NFC HSM à un appareil Android NFC. L’application compagnon vérifie la requête de l’hôte, active le module et transmet le secret chiffré sans contact au poste. Le déchiffrement ne s’effectue qu’en RAM ; le navigateur ne contient jamais le secret en clair.

NFC HSM ↔ HID-BLE : appairé avec un émulateur clavier Bluetooth HID, le système tape les credentials directement dans le champ cible via un canal AES-128-CBC chiffré, évitant clipboard, keyloggers et exposition DOM.

Activation locale HSM-PGP : en local, un conteneur HSM-PGP (AES-256-CBC PGP) se déchiffre dans la RAM sur une action utilisateur unique. Le secret est injecté sans traverser le DOM et effacé immédiatement après usage.

Cette approche supprime la surface d’injection au lieu de la masquer : pas de serveur central, pas de mot de passe maître extractible et pas de cleartext persistant dans le navigateur. Les implémentations doivent combiner sandbox URL, fenêtres mémoire minimales et journaux d’activation auditables.

⮞ Résumé

Zero-DOM est une défense structurelle : garder les secrets dans du matériel, exiger une activation physique, déchiffrer seulement en RAM, et bloquer toute injection/exfiltration basée DOM.

PassCypher HSM PGP — Technologie Zero-DOM brevetée & gestion souveraine des clés anti-phishing

Longtemps avant que le DOM Extension Clickjacking ne soit exposé publiquement à DEF CON 33, Freemindtronic a adopté une autre approche. Depuis 2015, notre R&D suit un principe fondateur : ne jamais utiliser le DOM pour transporter des secrets. Cette doctrine Zero-Trust a produit l’architecture Zero-DOM brevetée de PassCypher HSM PGP, qui maintient identifiants, TOTP/HOTP, passkeys et clés cryptographiques confinés dans des conteneurs HSM matériels — jamais injectés dans un environnement navigateur manipulable.

Un progrès unique pour la gestion des secrets

  • Zero-DOM natif — aucune donnée sensible ne touche le navigateur.
  • HSM-PGP intégré — conteneurs AES-256-CBC chiffrés + protection par segmentation de clés brevetée.
  • Souveraineté opérationnelle — zéro serveur, zéro base centrale, zéro dépendance cloud.

Protection BITB renforcée (EviBITB)

Depuis 2020, PassCypher HSM PGP intègre EviBITB, un moteur serverless neutralisant en temps réel les attaques Browser-in-the-Browser : détection et destruction d’iframes malveillants, identification d’overlays frauduleux et validation anonyme du contexte UI. EviBITB peut fonctionner en mode manuel, semi-automatique ou automatique pour réduire drastiquement le risque BITB et le détournement invisible du DOM.

Interface PassCypher HSM PGP avec EviBITB activé, supprimant automatiquement les iFrames de redirection malveillants
EviBITB embarqué dans PassCypher HSM PGP détecte et détruit en temps réel toutes les iFrames de redirection, neutralisant les attaques BITB et les détournements DOM invisibles.

EviBITB intégré : détection et destruction en temps réel des iFrames et overlays malveillants.

Pourquoi résiste-t-il aux attaques type DEF CON ?

Rien ne transite par le DOM, il n’existe pas de mot de passe maître à extraire et les conteneurs restent chiffrés au repos. La déchiffrement s’opère uniquement en RAM volatile, pour l’instant minimal requis pour assembler des segments de clés ; après l’autofill, tout est effacé sans trace exploitable.

Fonctionnalités clés

  • Auto-remplissage blindé — autofill en un clic via sandbox URL, jamais en clair dans le navigateur.
  • EviBITB embarqué — neutralisation d’iframes/overlays en temps réel (manuel / semi / automatique), 100 % serverless.
  • Outils crypto intégrés — génération et gestion de clés segmentées AES-256 et gestion PGP sans dépendances externes.
  • Compatibilité universelle — fonctionne avec n’importe quel site via logiciel + extension ; pas de plugins additionnels requis.
  • Architecture souveraine — zéro serveur, zéro DB centrale, zéro DOM : résilience par design.

Mise en œuvre immédiate

Aucune configuration complexe : installez l’extension PassCypher HSM PGP (Chrome Web Store / Edge Add-ons), activez l’option BITB et sandbox URL dans les paramètres, et bénéficiez instantanément d’une protection Zero-DOM souveraine.

⮞ En bref

PassCypher HSM PGP redéfinit la gestion des secrets : conteneurs chiffrés en permanence, clés segmentées, déchiffrement éphémère en RAM, Zero-DOM et zéro cloud. Solution matérielle passwordless souveraine conçue pour résister aux menaces actuelles et anticiper l’ère post-quantique.

PassCypher NFC HSM — Gestionnaire passwordless souverain

Quand les gestionnaires logiciels se font piéger par une simple iframe, PassCypher NFC HSM suit une autre voie : vos identifiants et mots de passe ne transitent jamais par le DOM. Ils restent chiffrés dans un nano-HSM hors-ligne et n’apparaissent qu’un instant en RAM volatile — juste le temps strict nécessaire à l’authentification.

Fonctionnement côté utilisateur :

  • Secrets intouchables — stockés et chiffrés dans le NFC HSM, jamais visibles ni extraits.
  • TOTP/HOTP — générés et affichés à la demande via l’application PassCypher NFC HSM (Android) ou sur desktop via PassCypher HSM PGP.
  • Saisie manuelle — l’utilisateur saisit PIN ou TOTP directement ; l’app PassCypher affiche le code généré par le NFC HSM.
  • Auto-remplissage sans contact — présentation du module NFC HSM au smartphone ou ordinateur ; autofill sans contact, même appairé à PassCypher HSM PGP.
  • Auto-remplissage desktop — avec PassCypher HSM PGP, clic sur un bouton intégré au champ pour remplir login/mot de passe.
  • Anti-BITB distribué — appairage NFC ↔ Android ↔ navigateur déclenchant EviBITB pour neutraliser les iframes en temps réel.
  • Mode HID BLE — émulation de clavier Bluetooth injectant hors DOM, neutralisant keyloggers et DOM-attacks.

⮞ Résumé

PassCypher NFC HSM incarne le Zero Trust (validation physique requise) et le Zero Knowledge (aucun secret exposé). Une sauvegarde d’identité matérielle by design, neutralisant clickjacking, BITB, typosquatting, keylogging, spoofing IDN, injections DOM, clipboard hijacking et anticipant les attaques quantiques.

✪ Attaques neutralisées par PassCypher NFC HSM

Type d’attaque Description Statut avec PassCypher
Clickjacking / UI Redressing Iframes invisibles ou overlays Neutralisé (EviBITB)
BITB Faux cadres simulant fenêtres d’authentification Neutralisé (sandbox + appairage)
Keylogging Capture des frappes Neutralisé (HID BLE)
Typosquatting URLs imitant des sites légitimes Neutralisé (validation physique)
Homograph Attack (IDN) Substitution Unicode pour tromper l’utilisateur Neutralisé (Zero-DOM)
Injection DOM / DOM XSS Scripts injectés dans le DOM Neutralisé (hors-DOM)
Clipboard hijacking Interception du presse-papier Neutralisé (pas d’usage clipboard)
Extensions malveillantes Plugins compromis Neutralisé (pairing + sandbox)
Attaques quantiques (anticipées) Calculs massifs visant à casser les clés Atténué (clés segmentées + AES-256 CBC + PGP)

SeedNFC + HID Bluetooth — Injection sécurisée des wallets

Les wallets web reposent sur le DOM — et c’est précisément là qu’on les piège. Avec SeedNFC HSM, la logique s’inverse : les clés privées et seed phrases ne quittent jamais l’enclave. Pour initialiser ou restaurer un wallet, l’entrée se fait via une émulation HID Bluetooth — comme un clavier matériel — sans presse-papier, sans DOM, sans trace pour saisir les clés privées, publiques ou credentials de hot wallets.

Flux opérationnel (anti-DOM, anti-clipboard) :

  • Custodie : la seed/clé privée est chiffrée et stockée dans SeedNFC HSM (jamais exportée).
  • Activation physique : présentation sans contact via l’appli Freemindtronic (Android NFC).
  • Injection HID BLE : la seed est dactylographiée directement dans le champ du wallet, hors DOM et hors clipboard, résistante aux keyloggers logiciels.
  • Protection BITB : EviBITB peut être activé côté appli pour neutraliser overlays lors de l’onboarding.
  • Éphémérité : les données résident seulement en RAM volatile durant la frappe HID puis sont effacées.

Cas d’usage :

  • Onboarding / recovery de wallets (MetaMask, Phantom) sans exposer la clé privée au navigateur.
  • Opérations sensibles sur poste (air-gap logique) avec validation physique par l’utilisateur via NFC.
  • Sauvegarde multi-actifs : seed phrases et clés conservées offline, activation exclusivement physique et traçable.

⮞ Résumé

SeedNFC HSM + HID BLE injecte la clé directement dans le champ du wallet via un émulateur HID BLE, évitant clavier et presse-papier. Canal chiffré AES-128 CBC, activation physique NFC et anti-BITB activable : secrets confinés hors-DOM et hors portée des extensions malveillantes.

Scénarios d’exploitation & voies de mitigation

Les révélations de DEF CON 33 ne sont pas une fin : plusieurs évolutions sont probables :

  • Clickjacking piloté par IA : LLMs génèrent des overlays DOM en temps réel, rendant les hameçonnages DOM + Shadow-DOM plus scalables et crédibles.
  • Tapjacking mobile hybride : superposition d’apps et gestes invisibles pour valider des transactions ou exfiltrer OTP.
  • HSM post-quantique : mitigation long terme via ancrage matériel et gestion de clés résistantes au quantique — déplacer la frontière de sécurité dans des HSM certifiés plutôt que dans le navigateur.

⮞ Résumé

Les attaques futures contourneront les correctifs navigateur. La mitigation exige une rupture : ancrages matériels hors-ligne, planification HSM post-quantique et designs Zero-DOM plutôt que rustines logicielles.

Synthèse stratégique

Le clickjacking d’extensions DOM démontre que navigateurs et extensions ne sont pas des zones de confiance pour les secrets. Les correctifs réduisent le risque mais n’éliminent pas l’exposition structurelle.

La voie souveraine — trois priorités

  • Gouvernance : traiter extensions et moteurs d’autofill comme infrastructure critique — contrôles de dev, audits obligatoires, règles de divulgation d’incident.
  • Changement d’architecture : adopter Zero-DOM pour que les secrets ne transitent jamais par le navigateur ; exiger activation physique pour opérations sensibles.
  • Résilience matérielle : investir dans ancrages hardware et roadmaps HSM post-quantique pour éliminer les points de défaillance cloud/sync.

Doctrine — synthétique

  • Considérer tout secret touchant le DOM comme potentiellement compromis.
  • Privilégier validation physique (NFC, HID BLE, HSM) pour opérations à haute valeur.
  • Auditer et réguler la logique d’injection des extensions comme fonction critique.
Note réglementaire — CRA, NIS2 et cadres nationaux améliorent la résilience logicielle mais traitent peu les secrets intégrés au DOM. Les décideurs doivent combler cet angle mort en exigeant séparation prouvée UI ↔ flux secrets.

Glossaire

DOM (Document Object Model)

Représentation en mémoire de la structure HTML/JS d’une page web ; permet aux scripts d’accéder et de modifier les éléments de la page.

Shadow DOM

Sous-arbre DOM encapsulé utilisé pour isoler des composants (web components) ; il peut masquer des éléments au reste du document.

Clickjacking

Technique consistant à tromper un utilisateur pour qu’il clique sur des éléments masqués ou superposés (UI redressing).

DOM-Based Extension Clickjacking

Variante où une page malveillante combine iframes invisibles, Shadow DOM et redirections (ex. focus()) pour forcer une extension à injecter des secrets dans un formulaire factice.

Autofill / Auto-remplissage

Mécanisme des gestionnaires (extensions/applications) qui insère automatiquement identifiants, mots de passe ou codes dans des champs web.

Passkey

Clé d’authentification WebAuthn (basée sur clé publique) censée être résistante au phishing lorsqu’elle est stockée en local ou dans un secure element.

WebAuthn / FIDO

Standard d’authentification par clé publique (FIDO2) permettant des logins sans mot de passe ; son niveau de sécurité dépend du modèle de stockage (synchrone vs. device-bound).

TOTP / HOTP

Codes temporaires (OTP) générés par algorithme temporel (TOTP) ou compteur (HOTP) pour l’authentification à deux facteurs.

HSM (Hardware Security Module)

Module matériel sécurisé pour générer, stocker et utiliser des clés cryptographiques sans jamais exposer les clés en clair hors de l’enclave.

PGP (Pretty Good Privacy)

Standard de chiffrement hybride utilisant clés publiques/privées ; ici employé pour conteneurs chiffrés AES-256 CBC protégés par PGP.

AES-256 CBC

Algorithme de chiffrement symétrique (mode CBC) avec clé 256 bits — utilisé pour chiffrer les conteneurs de secrets.

Clés segmentées

Approche de fragmentation des clés (segments) pour renforcer la résistance aux attaques et faciliter l’assemblage sécurisé en RAM éphémère.

Mémoire volatile (RAM éphémère)

Zone où les secrets sont brièvement déchiffrés pour l’opération d’autofill, puis immédiatement effacés — aucune persistance sur disque ou DOM.

NFC (Near Field Communication)

Technologie sans contact utilisée pour activer physiquement un HSM et autoriser la libération d’un secret de manière locale et physique.

HID-BLE (Bluetooth Low Energy HID)

Mode d’émulation d’un clavier via BLE pour injecter des données directement dans un champ sans passer par le DOM ni le presse-papier.

Sandbox URL

Mécanisme liant chaque secret à une URL attendue stockée dans l’HSM ; si l’URL active ne correspond pas, l’autofill est bloqué.

Browser-in-the-Browser (BITB)

Attaque par imitation d’une fenêtre de navigateur (overlay) dans une iframe — trompe l’utilisateur en simulant un site ou une boîte d’authentification.

EviBITB

Moteur anti-BITB (serverless) qui détecte et détruit en temps réel iframes/overlays malveillants et valide le contexte UI de façon anonyme.

SeedNFC

Solution HSM matérielle pour la conservation des seed phrases/cles privées ; effectue l’injection hors-DOM via HID/NFC.

Iframe

Cadre HTML embarquant une autre page ; les iframes invisibles (opacity:0, pointer-events:none) sont souvent utilisées dans les attaques d’UI redressing.
focus()
Appel JavaScript qui place le focus sur un champ. Utilisé malicieusement pour rediriger des événements utilisateur vers des champs contrôlés par l’attaquant.

Overlay

Superposition visuelle (fenêtre/faux cadre) qui masque l’interface réelle et peut tromper l’utilisateur sur l’origine d’une action.

Exfiltration

Extraction non autorisée de données sensibles hors du dispositif ciblé (identifiants, TOTP, passkeys, clés privées).

Phishable

Qualifie un mécanisme (ex. passkeys synchronisées) susceptible d’être compromis par usurpation d’interface ou overlay — donc sujet au phishing.

Content-Security-Policy (CSP)

Politique web contrôlant ressources et origines ; utile mais insuffisante seule contre variantes avancées de clickjacking.

X-Frame-Options / frame-ancestors

En-têtes HTTP / directives CSP destinées à limiter l’inclusion en iframe ; contournables dans certains scénarios d’attaque avancés.

Keylogging

Capture malveillante des frappes clavier ; contournée par les injections HID sécurisées (pas de clavier logiciel ni de presse-papier).

Remarque : ce glossaire vise à uniformiser le vocabulaire technique employé dans la chronique. Pour les définitions normatives et les références standardisées, consultez OWASP, NIST et les RFC/standards FIDO/WebAuthn.

🔥 En bref : les patchs cloud aident, mais le hardware et les architectures Zero-DOM préviennent les défaillances de classe.

⮞ Remarque — Ce que cette chronique ne couvre pas :

Cet article ne fournit ni PoC exploitables, ni tutoriels pour reproduire des attaques DOM clickjacking ou passkey phishing. Il n’analyse pas non plus l’économie des cryptomonnaies ni des cas juridiques spécifiques hors UE. Objectif : expliquer les failles structurelles, quantifier les risques systémiques et proposer les contre-mesures matérielles Zero-DOM robustes. Pour détails d’implémentation, voir §Contre-mesures souveraines et sections produit.

Transparence & affiliation — Freemindtronic est l’éditeur des solutions PassCypher et SeedNFC recommandées dans cette chronique. Nous les citons car elles répondent précisément au risque décrit : Zero-DOM (secrets hors DOM/processus navigateur), contrôle physique de l’utilisateur (NFC/HSM), et injection sécurisée (HID/BLE) limitant l’exfiltration par RCE, redressing UI ou BITB. Cette mention n’altère pas notre analyse, sourcée sur des bulletins officiels.
Objectif : permettre au lecteur d’évaluer en toute connaissance de cause d’éventuels conflits d’intérêts.