Abo
  • Services:
Anzeige
Content Security Policies sollen vor Cross-Site-Scripting schützen.
Content Security Policies sollen vor Cross-Site-Scripting schützen. (Bild: virtualforge.de/Screenshot: Golem.de)

Content Security Policy: Schutz vor Cross-Site-Scripting

Content Security Policies sollen vor Cross-Site-Scripting schützen.
Content Security Policies sollen vor Cross-Site-Scripting schützen. (Bild: virtualforge.de/Screenshot: Golem.de)

Mit der Version 23 soll Firefox offiziell Unterstützung für Content Security Policy erhalten. Die ermöglicht es Webentwicklern, Angriffe durch Cross-Site-Scripting (XSS) deutlich zu erschweren.

Sogenannte XSS- oder Cross-Site-Scripting-Angriffe gehören zu den größten Sicherheitsproblemen bei Webanwendungen. Gelingt es einem Angreifer, Javascript-Code in eine durch einen Login geschützte Webseite einzuschleusen, sind beliebige Angriffe möglich. Ein Angreifer kann die Session seines Opfers übernehmen, Daten löschen und verändern oder auch seinem Opfer fehlerhafte Seiteninhalte vorgaukeln.

Anzeige

Browserhersteller arbeiten seit einigen Jahren unter dem Dach des Standardisierungsgremiums W3C an einem System, welches derartige Angriffe deutlich erschweren soll. Mit Content Security Policy können die Entwickler einer Webanwendung detailliert festlegen, aus welchen Quellen Javascript-Code oder andere Inhalte wie etwa Bilder von einer Webseite genutzt werden können. Mit der übernächsten Version 23 soll das Konzept nun offiziell Einzug in den Firefox-Browser halten. Chrome unterstützt Content Security Policy bereits seit Version 25.

XSS-Angriffe häufiges Problem

Cross-Site-Scripting-Angriffe sind immer dann möglich, wenn eine Webseite externe Eingaben ungefiltert im HTML-Code ausgibt. Ein Beispiel wäre etwa eine Webseite, die dem User ein Suchformular anbietet, welches eine URL der Form http://beispiel.com/suche?suchbegriff=test ansteuert. Ein Angreifer kann nun durch den Aufruf etwa von

http://beispiel.com/suche?suchbegriff=<script>somecode()</script>

versuchen, dort Javascript-Code einzuschleusen.

Üblicherweise sollte daher jede Eingabe, die von einer möglicherweise nicht vertrauenswürdigen Quelle stammt, gefiltert werden. HTML-Sonderzeichen wie <, > und & müssen entweder entfernt oder entsprechend umgewandelt werden. Doch häufig vergessen Webentwickler dies und eine Cross-Site-Scripting-Lücke entsteht.

HTTP-Header verhindert Angriffe

Content Security Policy besteht im Kern aus einem HTTP-Header. Ein einfaches Beispiel wäre der Header Content-Security-Policy: script-src 'self'. In PHP könnte dieser etwa mit dem Befehl header("Content-Security-Policy: script-src 'self'") übertragen werden.

Zahlreiche Browserhersteller haben schon längere Zeit unfertige Implementierungen von Content Security Policy ausgeliefert. Diese wurden dann aber mit anderen Headernamen genutzt. Firefox etwa verwendete bisher x-Content-Security-Policy, Webkit-basierte Browser wie Chrome oder Safari dagegen X-Webkit-CSP. Seit Version 25 unterstützt Chrome den Standard-Header-Namen Content-Security-Policy, in Firefox wird dies mit der offiziellen Einführung in Version 23 passieren.

Das oben genannte Beispiel script-src 'self' bedeutet nun, dass Scripte ausschließlich vom eigenen Server nachgeladen werden können. So kann etwa im Header einer Seite Javascript-Code mit der HTML-Direktive

<script type="text/javascript" src="beispiel.js"></script>

eingefügt werden. Soll nun zusätzlich externer Javascript-Code ermöglicht werden, muss der Header entsprechend angepasst werden. Angenommen, der Javascript-Code für Google Ads soll verwendet werden. Der entsprechende HTML-Code lautet

<script type="text/javascript" src="http://pagead2.googlesyndication.com/pagead/show_ads.js"></script>

Damit wird zusätzlich die Domain pagead2.googlesyndication.com zugelassen. Der Inhalt des Content Security Policy-Headers muss dann noch in script-src 'self' pagead2.googlesyndication.com geändert werden. Die Sicherheitsrichtlinien können aber nicht nur für Code definiert werden.

Bilder, Fonts und andere 

eye home zur Startseite
slashwalker 19. Nov 2014

Hatte CSP auch schon ausprobiert und mir ging es ähnlich wie dir. Dazu kommt noch das man...

Bibabuzzelmann 14. Jun 2013

Hm...ich mein es hat mal Alarm geschlagen, als ich auf ner verseuchten Seite unterwegs...

Anonymer Nutzer 14. Jun 2013

Danke, dass hat mich zu einer Lösung gebracht, es hat gerade mal eine Zeile gefehlt...

Missingno. 14. Jun 2013

Die verwenden doch jetzt Chrome.

Max-M 13. Jun 2013

Tatsache, die Tags stehen so im ausgegeben Quelltext ... *hust*



Anzeige

Stellenmarkt
  1. afb Application Services AG, München
  2. Robert Bosch GmbH, Bühl
  3. ASC Automotive Solution Center AG, Düsseldorf
  4. ITG Isotope Technologies Garching GmbH, Garching Raum München


Anzeige
Hardware-Angebote
  1. 59,90€
  2. 1.499,00€
  3. täglich neue Deals

Folgen Sie uns
       


  1. Fake News

    Murdoch fordert von Facebook Sendegebühr für Medien

  2. Diewithme

    Zusammen im Chat den Akkutod sterben

  3. Soziales Netzwerk

    Facebook sorgt sich um seine Auswirkungen auf die Demokratie

  4. Telefónica

    5G-Test für TV-Übertragung im Bayerischen Oberland

  5. Omega Timing

    Kamera mit 2.000 x 1 Pixeln sucht Sieger

  6. Autonomes Fahren

    Waymo testet in Atlanta

  7. Newsletter-Dienst

    Mailchimp verrät E-Mail-Adressen von Newsletter-Abonnenten

  8. Gegen FCC

    US-Bundesstaat Montana verlangt Netzneutralität für Behörden

  9. Digital Rights Management

    Denuvo von Sicherheitsanbieter Irdeto gekauft

  10. Android 8.1

    Oreo erkennt Qualität von WLAN-Netzwerk vor Verbindung



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Microsoft: Großer Widerstand gegen US-Zugriff auf weltweite Cloud-Daten
Microsoft
Großer Widerstand gegen US-Zugriff auf weltweite Cloud-Daten
  1. Marktforschung Viele Android-Apps kollidieren mit kommendem EU-Datenschutz
  2. Loki App zeigt Inhalte je nach Stimmung des Nutzers an
  3. EOS Schweiz Daten von Zehntausenden Inkassokunden kompromittiert

Updates: Wie man Spectre und Meltdown loswird
Updates
Wie man Spectre und Meltdown loswird
  1. Hacker One Nur 20 Prozent der Bounty-Jäger hacken in Vollzeit
  2. Wallet Programmierbare Kreditkarte mit ePaper, Akku und Mobilfunk
  3. Fehlalarm Falsche Raketenwarnung verunsichert Hawaii

Ein Jahr Trump: Der Cheerleader der deregulierten Wirtschaft
Ein Jahr Trump
Der Cheerleader der deregulierten Wirtschaft
  1. US-Wahl 2016 Twitter findet weitere russische Manipulationskonten
  2. F-52 Trump verkauft Kampfjets aus Call of Duty
  3. Raumfahrtpolitik Amerika will wieder zum Mond - und noch viel weiter

  1. Re: Gefahr von weiterer Zerlegung?

    M.P. | 14:53

  2. Re: Inkonsistente technische Daten

    ichbinsmalwieder | 14:52

  3. Re: Der Basispreis war doch bloss PR

    Dwalinn | 14:51

  4. Re: Für mich als möglicher Käufer ...

    AmigaFreak | 14:51

  5. Re: Kleinerer Akku?

    dEEkAy | 14:49


  1. 14:55

  2. 14:13

  3. 13:27

  4. 13:18

  5. 12:07

  6. 12:06

  7. 11:46

  8. 11:31


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel