Inhalt. 1 Sicherheit in einer Welt der Webanwendungen 1. Teil I: Anatomie des Web. 2 Am Anfang war die URL 29

Transkript

1 ix 1 Sicherheit in einer Welt der Webanwendungen Informationssicherheit kurz und bündig Liebäugeln mit formalen Lösungen Risikomanagement und IT-Sicherheit Erleuchtung durch Taxonomie Auf dem Weg zu praktischen Ansätzen Eine kurze Geschichte des Web Geschichten aus der Steinzeit: 1945 bis Die ersten Browserkriege: 1995 bis Das Zeitalter der Langeweile: 2000 bis Web 2.0 und die zweiten Browserkriege: 2004 und später Die Entwicklung einer Bedrohung Der Benutzer als Sicherheitslücke Die Cloud oder die Freuden gemeinschaftlichen Lebens Unvereinbare Vorstellungen Browserübergreifende Interaktion: Synergie des Versagens Die Aufhebung der Grenze zwischen Client und Server Teil I: Anatomie des Web 2 Am Anfang war die URL Struktur einer URL Schema und Protokoll Kennzeichen hierarchischer URLs Anmeldeinformationen Die Serveradresse Der Serverport Hierarchische Dateipfade Der Query-String Der Fragment-Identifier Die URL im Ganzen

2 x 2.2 Reservierte Zeichen und URL-Codierung Umgang mit Text jenseits der ASCII-Welt Übliche URL-Schemas und ihre Funktion Vom Browser unterstützte Protokolle für den Dokumentabruf Protokolle für Drittanbieteranwendungen und Plug-ins Nicht kapselnde Pseudoprotokolle Kapselnde Pseudoprotokolle Ein letztes Wort zur Schemaerkennung Auflösung relativer URLs HTTP Die grundlegende Syntax von HTTP Konsequenzen aus der Unterstützung von HTTP/ Besonderheiten bei der Verarbeitung von Zeilenwechseln Proxy-Requests Auflösung von doppelten und widersprüchlichen Headern Durch Semikolons getrennte Header-Werte Zeichensatz und Codierungsschema für Header Verhalten von Referer-Headern HTTP-Requesttypen GET POST HEAD OPTIONS PUT DELETE TRACE CONNECT Weitere HTTP-Methoden HTTP-Statuscodes : Erfolg : Umleitung und andere Statusmeldungen : Clientseitige Fehler : Serverseitige Fehler Konsistente Verwendung der HTTP-Codes Keepalive-Sessions Portionsweise Datenübertragung Caching-Verhalten Semantik von HTTP-Cookies HTTP-Authentifizierung

3 xi 3.9 Verschlüsselung auf Protokollebene und Clientzertifikate Extended Validation SSL Regeln zur Fehlerbehandlung HTML Grundprinzipien von HTML-Dokumenten Dokumentenparser-Modi Der Kampf um die Semantik Das Verhalten von HTML-Parsern Wechselwirkungen zwischen mehreren Tags Explizite und implizite Bedingungen Überlebensstrategien für die HTML-Analyse Entity Encoding Die Verzahnung von HTTP und HTML Hyperlinks und Einbindung externer e Einfache Links Formulare und durch Formulare ausgelöste Requests Frames Typspezifisches Einbinden von en Ein Hinweis zum Thema CSRF CSS Grundlagen der CSS-Syntax Eigenschaften definieren und XBL-Bindings Wechselwirkungen mit HTML Risiken der Parser-Resynchronisierung Zeichencodierung JavaScript im Browser Grundmerkmale von JavaScript Die Skriptverarbeitung Steuerung der Ausführungsreihenfolge Möglichkeiten zum Inspizieren von Code und Objekten Die Laufzeitumgebung anpassen JSON und andere Arten der Datenserialisierung E4X und andere Syntaxerweiterungen Standard-Objekthierarchie Das DOM Zugriff auf andere Dokumente Zeichencodierung im Skript

4 xii 6.4 Möglichkeiten zum Einbinden von Code und Verschachtelungsrisiken Totgesagte leben länger: Visual Basic Script Nicht-HTML-Dokumente Klartextdateien Bitmap-Bilder Audio und Video XML-Dokumente Allgemeine XML-Darstellung SVG MathML XUL WAP und WML RSS- und Atom-Feeds Ein Hinweis zu nicht darstellbaren Dateitypen e mit Browser-Plug-ins darstellen Plug-ins aufrufen Die Gefahren bei der Verarbeitung von stypen für Plug-ins Helfer für die Dokumentdarstellung Plug-in-basierte Anwendungsframeworks Adobe Flash Microsoft Silverlight Sun Java XBAP ActiveX-Steuerelemente Mit anderen Plug-ins leben Teil II: Sicherheitsfeatures von Browsern 9 e isolieren SOP für das DOM document.domain postmessage(...) Wechselwirkung mit sensiblen Browserdaten SOP für XMLHttpRequest SOP für Web Storage

5 xiii 9.4 Sicherheitsrichtlinie für Cookies Der Einfluss von Cookies auf die SOP Probleme mit Domäneneinschränkungen Die ungewöhnliche Gefahr von»localhost« Cookies und»legitimes«dns-hijacking Sicherheitsregeln für Plug-ins Adobe Flash Microsoft Silverlight Java Umgang mit unklaren oder unerwarteten Ursprungsangaben IP-Adressen Hostnamen mit zusätzlichen Punkten Nicht vollständig qualifizierte Hostnamen Lokale Dateien Pseudo-URLs Browsererweiterungen und Benutzerschnittstelle Andere Verwendungen für Origin-Angaben Ursprungsvererbung Ursprungsvererbung für about:blank Ursprungsvererbung für data:-urls Ursprungsvererbung für javascript:- und vbscript:-urls Ein Hinweis zu eingeschränkten Pseudo-URLs Die Welt außerhalb von SOPs Fenster- und Frame-Interaktionen Navigationsziele vorhandener Dokumente ändern Unerwünschtes Framing Domänenübergreifendes Einbinden von en Ein Hinweis zu ursprungsübergreifenden Unterressourcen Datenschutzrelevante Seitenkanäle Weitere SOP-Lücken und ihre Anwendungsfälle Sonstige Schlupflöcher Navigation in sensiblen Schemas Zugriff auf interne Netzwerke Verbotene Ports Einschränkungen für Third-Party-Cookies

6 xiv 13 Mechanismen zur serkennung Dokumenttypen erkennen Nicht wohlgeformte MIME-Typen Besondere Werte für den styp Nicht erkannte stypen Defensive Verwendung des Content-Disposition-Headers sdirektiven für Unterressourcen Downloads und andere Nicht-HTTP-e Zeichensätze erkennen BOM: Kennzeichnung der Bytereihenfolge Vererbung und Überschreiben von Zeichensätzen Markup-gesteuerte Zeichensätze für Unterressourcen Nicht-HTTP-Dateien erkennen Umgang mit schädlichen Skripten Denial-of-Service-Angriffe Einschränkungen für Ausführungszeit und Speichernutzung Verbindungseinschränkungen Pop-up-Filter Einschränkung der Verwendung von Dialogen Probleme bei Positionierung und Darstellung von Fenstern Timing-Attacken auf Benutzerschnittstellen Webseiten mit speziellen Berechtigungen Vom Browser und von Plug-ins gesteuerte Zugriffsrechte Hart codierte Domänen Formulargestützte Passwortmanager Das Zonenmodell des Internet Explorer »Mark of the Web«und Zone.Identifier Teil III: Ein Blick in die Zukunft 16 Neue und zukünftige Sicherheitsfunktionen Frameworks zur Erweiterung des Sicherheitsmodells Domänenübergreifende Requests XDomainRequest Andere Verwendungen des Origin-Headers

7 xv 16.2 Frameworks zur Einschränkung des Sicherheitsmodells Content Security Policy Sandbox-Frames Strict Transport Security Private Browsing Andere Entwicklungen Browserinterne HTML-Filterung XSS-Filter Weitere wichtige Browsermechanismen Vorschläge für URLs und Protokolle Funktionen auf sebene I/O-Schnittstellen Allgemeine Schwachstellen im Web Spezifische Schwachstellen von Webanwendungen Cross-Site Request Forgery (CSRF, XSRF oder»sea-surf«) Cross-Site Script Inclusion (XSSI) Cross-Site-Scripting (XSS) Header Injection/Response Splitting Mixed Content Open Redirection Referrer-Leaks (Referrer Leaking) Probleme beim Design von Webanwendungen Cache Poisoning Clickjacking Content-Sniffing/Charset-Sniffing Cookie Forcing/Cookie Injection DoS-Angriffe (Denial of Service) Frame Busting HTTP-Downgrades Network Fenceposts Häufige Probleme bei serverseitigem Code Buffer Overflow Command-Injection (SQL, Shell, PHP usw.) Directory/Path Traversal File Inclusion Format-String-Schwachstellen Integer Overflow Schwachstellen in der Pointer-Arithmetik Epilog 337