HTML5 - Sandbox für mehr Sicherheit

Einsperren eingebetteter Inhalte wird noch kaum unterstützt

Das Sandbox-Attribut soll in HTML5 für mehr Sicherheit sorgen. Damit können Webseitenbetreiber per Iframe eingebundene Inhalte von Dritten in ihren Möglichkeiten einschränken.

Artikel veröffentlicht am ,

Um die eigenen Nutzer vor Angriffen durch eingebettete Werbung oder Widgets von Dritten besser zu schützen, sollen Websitebetreiber deren Möglichkeiten mittels Sandboxing einschränken können.

Stellenmarkt
  1. Scrum Master - Projektmanager (m/w/d)
    Pixida GmbH, München, Ingolstadt
  2. Systemadministrator Netzwerk (w/m/d)
    UNIORG Gruppe, Dortmund
Detailsuche

Iframes, die mit dem Attribut Sandbox versehen sind, erhalten keinen Zugriff auf das DOM der sie einbettenden Website, dürfen keine Scripte ausführen oder eigene Formulare einbetten beziehungsweise Formulare per Script manipulieren und auch nicht auf Cookies oder lokal beim Client gespeicherte Daten zugreifen. Ausnahmen sind allerdings möglich. So kann die einbettende Website einzelne dieser Beschränkungen gezielt aufheben.

Die Sicherheitsvorteile, die ein solches Sandboxing bietet, greifen allerdings nur in neuen Browsern, die diese Funktion explizit unterstützen. Für alte Browser ändert sich nichts. Das Einbetten fremder Inhalte birgt die gleichen Gefahren wie bisher.

Um Nutzer dennoch besser zu schützen, werden derzeit verschiedene Ansätze diskutiert. Einer davon sieht vor, einzubettende Inhalte mit dem Mimetype text/html-sandboxed auszuliefern. Browser, die das Sandboxing unterstützen, würden die Inhalte dann rendern, während alte Browser, die damit nichts anfangen können, die Inhalte zum Download anbieten, aber nicht darstellen. Das bietet zwar mehr Sicherheit für die Nutzer, ist aber aus Sicht der Usability keine gute Lösung.

Golem Karrierewelt
  1. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    26.-28.09.2022, Virtuell
  2. Advanced Python – Fortgeschrittene Programmierthemen: virtueller Drei-Tage-Workshop
    23.-25.01.2023, Virtuell
Weitere IT-Trainings

Ein anderer Ansatz besteht darin, die externen Inhalte in ein Attribut namens srcdoc zu packen. Alte Browser würden die Inhalte dann einfach ignorieren und nicht anzeigen, doch Markup in ein Attribut einzubetten, gilt nicht als guter Stil.

Derzeit wird Sandboxing nur in einfacher Form von aktuellen Entwicklerversionen von Google Chrome unterstützt. Wirklich nutzbar ist die Technik daher noch nicht und das wird wohl auch noch eine Weile so bleiben, schätzt Google-Mitarbeiter Mark Pilgrim in einem Eintrag im WHATWG-Blog.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Hollywood und das Internet
Sind wir schon drin?

Die neue Dokuserie Web of Make Believe taucht auf Netflix in die Untiefen des Internets ein. So realistisch hat Hollywood das Netz jahrzehntelang nicht thematisiert.
Von Peter Osteried

Hollywood und das Internet: Sind wir schon drin?
Artikel
  1. Obi-Wan Kenobi Episode 4 bis 6: Darth Vader und das Imperium der Schwachköpfe
    Obi-Wan Kenobi Episode 4 bis 6
    Darth Vader und das Imperium der Schwachköpfe

    Dämliche Stormtrooper sind in Obi-Wan Kenobi noch das geringste Problem. Zum Ende hin ist die Star-Wars-Serie vor allem eines: belanglos. Achtung, Spoiler!
    Eine Rezension von Oliver Nickel

  2. Mond: US-Sonde findet Einschlagstelle des unbekannten Raketenteils
    Mond
    US-Sonde findet Einschlagstelle des unbekannten Raketenteils

    Die Nasa hat die Stelle auf dem Mond gefunden, wo im März ein noch unidentifiziertes Raketenteil abgestürzt ist. Der Krater ist überraschend groß.

  3. Akkutechnik: CATLs Qilin-Batterie schlägt Teslas 4680-Akku deutlich
    Akkutechnik
    CATLs Qilin-Batterie schlägt Teslas 4680-Akku deutlich

    Der größte Akku-Hersteller der Welt hat seine Akkupacks weiter optimiert und stellt damit Teslas alte 4680-Technik in den Schatten.
    Eine Analyse von Frank Wunderlich-Pfeiffer

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung SSD (PS5-komp.) günstig wie nie: 109,24€ (1TB) / 234,45€ (2TB) • LG 31,5" UWQHD 165 Hz günstig wie nie: 327,72€ • PS5-Controller: 57,13€ • Xbox Elite Controller günstig wie nie: 126,04€ • 16.000 Artikel günstiger bei Media Markt • MindStar (Palit RTX 3070 Ti 679€) [Werbung]
    •  /