Skip to content

Drucksache: Windows Developer 2.17 - Websecurity 2016: Browser und Webclient

Im windows.developer 2.17 ist ein Artikel über neue Angriffe auf Webbrowser und Webclient erschienen.

Auf fast jeder Sicherheitskonferenz, auf der es thematisch passt, gibt es eigentlich jedes Mal Vorträge zu neuen und/oder verbesserten Angriffen auf Webclient, Webanwendung, Webserver oder Webbrowser. Was kein Wunder ist, denn alles, was ein „Web“ vorne stehen hat, hat zwei große Nachteile: Die Angreifer es können i.A. leicht erreichen, und es gibt dort sowohl Möglichkeiten zum Einschleusen von Code als auch interessante Informationen auszuspähen

Im Artikel gibt es eine ziemlich willkürliche Auswahl einiger Forschungsergebnisse, es gab auf den Sicherheitskonferenzen noch eine ganze Reihe weiterer Vorträge zu Schwachstellen in und Angriffen auf Webbrowser und Webclients. Da ich nicht alle vorstellen konnte, habe ich versucht, eine breit gestreute Mischung zu präsentieren.

„In the wild“ beschränken sich die Angriffe zum Glück weitgehend auf die Verbreitung von Schadsoftware durch Drive-by-Infektionen und Angriffe auf das Onlinebanking im Browser. Wozu es übrigens auch Vorträge gab, z.B. über das Austricksen der Virenscanner durch den Schadcode [14] oder um die Möglichkeiten der Scanner, Angriffe zu erkennen [15]. Sie sehen also: Da tut sich einiges.

Und nun stellen Sie sich mal vor, die Cyberkriminellen fangen an, im großen Stil Webanwendungen anzugreifen . Ein Angreifer, der Schadcode in den Client einschleusen kann, kann im Namen dessen Benutzer im Rahmen der Webanwendung agieren und alles tun, was der auch tun kann.

Möglich wäre so etwas schon lange, das Konzept eines „Rootkits im Webclient“ wurde schon 2011 von Artur Janc auf dem 28C3 vorgestellt [16], und seitdem sind die Webclients noch viel mächtiger geworden. Und die obigen Beispiele haben ja gezeigt, dass auch eigentlich als sicher betrachtete Daten ausgespäht werden können.

Was macht man denn da?

Als Benutzer können Sie nur System, Browser und PlugIns aktuell halten, um Angriffe über bekannte Schwachstellen darin zu verhindern.

Webentwickler sollten darauf achten, dass ihre Webanwendungen keine Schwachstellen enthalten.

Und Webadministratoren sollten alle verfügbaren Schutzmaßnahmen wie z.B. die CSP nutzen, auch wenn die wie oben zu lesen war nicht immer wirksam sind.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

www.ceilers-news.de am : PingBack

Die Anzeige des Inhaltes dieses Trackbacks ist leider nicht möglich.

Kommentare

Ansicht der Kommentare: Linear | Verschachtelt

Noch keine Kommentare

Kommentar schreiben

Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
BBCode-Formatierung erlaubt
Formular-Optionen

Kommentare werden erst nach redaktioneller Prüfung freigeschaltet!