소개

구매자는 조직의 직원 웹사이트 내에 벤더 대시보드를 삽입하기를 원합니다. 공급업체는 프레임을 사용하여 대시보드를 시연하고, 구매자는 편리한 레이아웃에 만족합니다. 시연에서는 하나의 삽입 경로가 작동함을 보여줍니다. 하지만 다른 사이트에서도 동일한 포털을 프레임에 삽입할 수 있는지, 또는 누가 해당 정책을 관리하는지는 설명하지 않습니다. 이는 가상의 검토 시나리오이며, 실제로 발견된 WEIMI 취약점이 아닙니다.

내장형 대시보드는 합법적인 통합 방식이 될 수 있습니다. 조달 과정에서 중요한 질문은 어떤 소스에서 대시보드를 호스팅할 수 있는지, 그리고 어떤 페이지는 해당 호스팅 환경에서 제외되어야 하는지입니다. 조직이 특정 통합에 관심을 가졌다고 해서 모든 웹사이트가 운영 인터페이스를 감싸는 것을 묵묵히 허용해서는 안 됩니다.

그만큼 OWASP 클릭재킹 방어 치트 시트 2026년 10월 11일에 검토된 이 문서는 응답 헤더 프레임 제어 및 그 한계를 설명합니다. 이 가이드는 이러한 방어 원칙을 구매 브리핑에 적용합니다. 여기서는 자판기 서비스를 대상으로 iframe, 기만적인 오버레이 또는 실시간 보안 테스트를 생성하지 않습니다.

빠른 답변

제공되는 포털에 프레임이 필요한지 여부를 정의하십시오. OWASP는 특정 요구 사항이 확인되지 않는 한 프레임을 사용하지 않도록 정책을 수립할 것을 권장합니다. 비즈니스 통합이 필요한 경우 승인된 원본 범위를 기록하고 구현 담당자에게 해당 범위가 어떻게 적용되는지 문의하십시오.

CSP frame-ancestors는 페이지를 프레임에 포함할 수 있는 소스를 제어하는 ​​HTTP 응답 헤더 지시문입니다. 검토된 지침에서는 프레임 허용, 현재 출처 허용, 명시적으로 지정된 소스 허용을 구분합니다. 구매 문서에서 제공되고 검토된 정책 대신 도메인 이름을 사용하지 마십시오.

인용된 배포 경로 및 지원되는 브라우저 컨텍스트에서 실제 응답에 대한 증거를 요청하십시오. CMS 메타 태그는 명명된 헤더 제어를 제공하지 않습니다. SameSite 세션 쿠키는 인증된 교차 사이트 프레이밍 위험을 일부 줄일 수 있지만 페이지 프레이밍을 차단하지는 않으며 OWASP에서 설명하는 유일한 보호 수단은 아닙니다.

비교표

페이지 프레임, 세션 쿠키 동작 및 레코드 권한은 서로 구분해야 합니다. 한 범주에서 성공했다고 해서 다른 범주도 성공적이라는 것을 보장할 수는 없습니다.

이 제품은 누가 구매해야 할까요?

견적서에 다른 사이트에서 임베드하려는 운영자 웹 포털, 관리 대시보드 또는 지원 페이지가 포함된 경우 이 브리핑을 활용하세요. 이는 내부 직원 허브를 구축하거나 여러 서비스를 하나의 화면으로 통합하려는 조직에 유용합니다. 모든 클라우드 기능에 iframe 통합 기능이 있다고 가정하지 말고 실제로 제공되는 페이지와 경로를 확인하세요.

조직의 통합 담당자는 승인된 호스팅 출처와 필수 페이지를 식별해야 합니다. 소프트웨어 공급업체는 정책 시행 방식을 설명해야 합니다. 배포 담당자는 헤더가 브라우저에 도달하는 방식을 보여주어야 합니다. 구매자는 승인된 경로와 버전을 보관해야 합니다.

캐비닛만 구매하는 경우, 이는 범위에 포함되지 않을 수 있습니다. 타사 플랫폼에서 포털을 제공하는 경우 해당 업체에 요구 사항을 전달하십시오. 물리적 스테이션, 고객 터치스크린 및 관리 웹사이트는 서로 다른 소유자가 있는 별도의 구성 요소일 수 있습니다. 기기 모델에 소프트웨어 제어를 할당하기 전에 각 구성 요소의 경계를 기록해 두십시오.

스마트 자동판매기 평가 방법

최종 후보 목록은 실제 공개된 제조업체 목록 3개를 기반으로 작성되었습니다. 당사는 해당 업체들의 포털을 분석하거나, 응답 헤더를 검토하거나, 보안을 독립적으로 테스트하지 않았습니다. 다음은 별도로 승인된 환경 내에서 제안된 공급업체 증거 확보 계획입니다.

먼저 통합 등록부를 작성하십시오. 프레임에 표시할 페이지, 의도된 호스팅 원본, 상위 경로 및 조직에서 지원하는 브라우저 컨텍스트를 식별하십시오. 프레임 표시가 불필요한 경우, 편의를 위해 예외를 만드는 대신 해당 요구 사항이 더 간단하다는 점을 문서화하십시오.

서비스 제공업체에게 일반적인 최상위 수준 사용, 필요한 경우 허용된 임베딩, 그리고 무해한 검토 페이지를 사용하여 합의된 승인되지 않은 출처로부터의 차단 등을 시연해 줄 것을 요청하십시오. 시연에는 기만적인 제어, 고객 계정 또는 실제 운영 변경 사항이 포함되어서는 안 됩니다. 서비스 제공업체의 전문가가 안전한 사례와 범위를 정의해야 합니다.

관련 응답 헤더 증거와 관찰된 브라우저 결과를 모두 보관하십시오. 명시된 구성은 배포 경로를 통해 도착하는 응답과 다를 수 있습니다. 인용된 지침에 따르면 프록시는 헤더를 추가하거나 제거할 수 있으므로 구매자는 관련 전달 경계에서 증거를 요청해야 합니다.

경로, 구성 및 브라우저 지원 범위를 기록하십시오. 하나의 승인된 페이지가 모든 HTML 응답이나 향후 통합을 대표해서는 안 됩니다. 이 계획을 포괄적인 보안 평가로 간주하지 마십시오. 프레임 기반 클릭재킹이 정의된 주제이며, 기타 민감한 작업 제어는 별도로 검토해야 합니다.

주요 구매 요인

프레임을 지정해야 하는 타당한 이유가 있습니다. 해당 자료에서는 특별한 필요성이 없는 한 프레임 지정을 거부할 것을 권장합니다. 임베디드 뷰가 필요한 비즈니스 작업이 무엇인지, 그리고 어떤 페이지에서 이를 지원하는지 문의하십시오. 최상위 포털이면 충분할 수 있지만, 필수적인 통합의 경우 담당자 이름과 명확한 범위가 지정되어야 합니다.

출처 정책. CSP 프레임 상위 클래스는 의미 체계에 따라 소스를 승인할 수 있습니다. 구현 담당자에게 비즈니스 호스트 목록을 실제 정책으로 변환하도록 요청하십시오. 서브도메인에 대한 와일드카드는 반드시 기본 호스트를 포함하는 것은 아닙니다. 인용된 지침은 이러한 차이점을 명확히 합니다. 유사하게 보이는 모든 이름이 포함된다고 가정하기보다는 의도된 범위를 검토하십시오.

HTTP 전송. OWASP에 따르면 X-Frame-Options 및 frame-ancestors는 이러한 목적을 위해 HTTP 응답 헤더를 통해 적용되어야 합니다. 메타 태그는 이러한 보호 기능을 제공하지 않습니다. 구매 증빙 자료에는 페이지 편집기에 입력된 텍스트뿐만 아니라 해당 경로에 대해 전송된 응답이 포함되어야 합니다.

현재 사용 가능한 적절한 메커니즘을 제시하십시오. 해당 자료는 X-Frame-Options DENY 및 SAMEORIGIN에 대해 설명하고 ALLOW-FROM이 더 이상 사용되지 않으며 지원되지 않는 경우 오류가 발생한다고 경고합니다. 오래된 다중 도메인 예제를 현재 구현 권장 사항으로 승인하지 마십시오. 제공업체에서 지원되는 브라우저에 대한 메커니즘을 설명하도록 하십시오.

쿠키 제한. SameSite Strict 또는 Lax 쿠키는 소스에서 설명한 컨텍스트 내에서 교차 사이트 iframe 요청에 대해 차단됩니다. 이는 프레임을 차단하거나 동일 사이트 요청에서 쿠키를 차단하는 것은 아닙니다. 동일 사이트와 동일 출처는 서로 다른 경계이며, 형제 서브도메인이 관련된 경우에도 마찬가지입니다.

독립적인 제어. 프레임 정책, 쿠키 동작 및 권한 부여는 문제의 각기 다른 부분을 해결합니다. 허용된 출처라고 해서 사용자가 자동으로 캐비닛 기록에 접근할 수 있는 권한을 부여받아서는 안 됩니다. 로그인한 사용자가 임의적인 프레임 설정을 허용해서는 안 됩니다. 모든 증거를 하나의 보안 체크박스로 통합하기보다는 각각의 증거를 유지해야 합니다.

프로덕션 범위. 어떤 페이지와 응답이 보험 증권을 받는지, 그리고 전달 중간자가 이를 보존하는지 여부를 확인하십시오. 증거 범위에 필수 통합 및 일반적인 사용 사례를 포함하십시오. 로그인 페이지의 응답 헤더만으로는 제공되는 워크플로의 나머지 부분이 동일한 보험 적용을 받는다는 것을 입증할 수 없습니다.

정직한 범위 제한. 검토된 지침에 따르면 별도 창을 이용한 더블클릭재킹에는 추가적인 안전장치가 필요합니다. 프레임 정책이 모든 기만적인 상호작용을 방지한다고 주장하지 마십시오. 민감한 작업 및 거래 승인은 이 좁은 구매 범위 밖에서 별도의 요구 사항으로 남아 있습니다.

최고의 스마트 자동판매기

이 공개 목록은 하드웨어 후보 목록을 지원합니다. "최적"이란 제시된 제품 및 형식에 적합한 것으로 추정되며, 최종 확인이 필요합니다. OWASP는 이러한 제품을 보증하지 않으며, 여기에 나열된 프레임 기능은 독립적으로 검증되지 않았습니다.

기능 비교

공개 기능을 장비 기준으로 사용하고 마지막 열을 검증되지 않은 소프트웨어 범위 요청으로 사용하십시오.

비용 및 투자수익률 분석

제시된 자료에는 검증된 하드웨어 가격, 통합 검토 비용 또는 보안 성과에 대한 정보가 없습니다. 다음은 가상의 인력 계획일 뿐이며, 공급업체 수수료, 측정된 사고 절감 효과 또는 보장된 투자 수익률(ROI)이 아닙니다.

통합 담당자가 필요한 출처와 페이지를 문서화하는 데 20분을 소요한다고 가정해 보겠습니다. 허용된 임베딩 결과와 승인되지 않은 임베딩 결과를 검토하는 데 40분, 응답 증거 및 소유권을 보관하는 데 30분을 할애한다고 가정하면 총 소요 시간은 90분입니다. 시간당 인건비를 42달러로 가정할 때, 예시 비용은 63달러입니다.

향후 별도의 변경 사항을 가정해 보겠습니다. 새로운 호스팅 출처를 검토하는 데 25분이 소요된다고 가정하면, 동일한 요율로 계산할 경우 비용은 미화 17.50달러가 됩니다. 하지만 이는 실제 구현 시간을 산정한 것이 아니며, 모든 비즈니스 요청에 대해 기존 정책을 변경해야 한다는 것을 입증하는 것도 아닙니다.

관련 플랫폼에 대한 실제 엔지니어링 및 검토 견적을 확보하십시오. 이 작업 예시를 바탕으로 추측성 클릭재킹 손실이나 전환율 증가를 계산하지 마십시오. 실질적인 결과물은 지정된 정책 소유자가 포함된 승인된 통합 범위입니다.

시나리오별 최적의 선택

독립형 포털을 활용한 포장 음료 시범 운영을 고려해 보세요. 제품 구성에 맞춰 인식 및 처리가 가능한 AI 비전 냉장고를 생각해 볼 수 있습니다. 최상위 포털 사용이 요구 사항을 충족하는 경우, 해당 범위를 문서화하고 공급업체에 프레임워크 제약 조건에 대한 설명을 요청하세요. 내장형 대시보드가 ​​필수적이라고 가정하지 마세요.

조직 내 직원 허브에 혼합된 환경이 조성되어 있습니다. 실제 팩 및 견적 메커니즘에는 WM22를 고려하십시오. 내장 관리 보기가 필요한 경우 정확한 호스트 및 페이지 범위를 유지하고 허용된 통합 및 승인되지 않은 출처에 대한 증거를 모두 요청하십시오.

플랫폼 파트너를 사용하는 스테이션입니다. 상품 진열 요구 사항에 맞춰 이중 캐비닛 형식을 고려하십시오. 대시보드 배포 및 대응 정책 유지 관리 주체를 확인하십시오. 하드웨어 공급업체는 제공된 경로에 대한 증거 없이는 플랫폼 파트너의 프레임 제어에 대한 책임을 져서는 안 됩니다.

응용 프로그램

직원 웹사이트의 경우, 자판기 화면이 공개 정보 콘텐츠인지 운영 대시보드인지 여부를 문서화해야 합니다. 실제 페이지와 사용자 권한에 따라 관련 검토 사항이 결정됩니다. 승인된 호스트라는 사실만으로는 사용자가 사용할 수 있는 기능이 정의되지 않습니다.

다중 사이트 관리의 경우, 조직에서 의도한 임베딩 원본과 변경 담당자를 유지해야 합니다. 향후 지점 웹사이트는 광범위한 와일드카드 예외를 자동으로 상속받는 대신, 합의된 검토 프로세스를 거쳐야 합니다. 구현 담당자에게 실제 소스 일치 방식을 설명해 달라고 요청하십시오.

지원 페이지의 경우, 일반 외부 링크와 프레임 서비스 링크를 구분해야 합니다. 여기서 논의하는 정책은 다른 페이지에 제공된 콘텐츠가 포함될 수 있는지 여부에 관한 것입니다. 리디렉션 대상 유효성 검사 및 도움말 링크 관련성은 별개의 문제입니다.

배포 인계 시, 실제 경로를 통해 전달된 관련 정책을 검증하십시오. 업스트림에서 구성된 헤더는 브라우저가 수신하는 헤더와 다를 수 있습니다. 단일 스냅샷이 모든 페이지 또는 향후 중간 페이지의 유효성을 검증한다고 주장하지 않고 관찰 범위를 유지하십시오.

자주 묻는 질문

최종 권고

임베딩의 비즈니스 이유와 허용되는 출처를 정의하십시오. 제공된 경로에 대한 실제 HTTP 응답 증거와 제어된 브라우저 결과를 요청하십시오. 쿠키 동작, 사용자 인증 및 민감한 작업 보호 조치는 별도의 요구 사항으로 유지하십시오.

재고 및 현장에 맞는 하드웨어를 선택한 다음 제공된 포털과 정책 소유자를 확인하십시오. 세 가지 목록 모두 프레임 제어를 설정하지 않습니다. 허용되는 결과는 플랫폼을 오용할 수 없다는 일반적인 주장보다는 특정 버전으로 제한된 통합 범위여야 합니다.

CTA

제품에 필요한 범위, 장비 형식 및 직원 웹사이트 통합 정보를 공유하십시오. WEIMI에 관리 소프트웨어 범위와 정책 수립 담당자를 파악해 줄 것을 요청하십시오. 통합을 승인하기 전에 필요한 통합 방식에 대한 합의된 시연을 요청하십시오.

맞춤 견적 받기