Auch Sicherheitssoftware ist unsicher

Anbieter zum Thema

FTAPI Software GmbH

softScheck GmbH

Cross-Site-Request-Forgery

Beim Cross-Site-Request-Forgery (CSRF) wird einem Dritten ohne sein Wissen ein http-Request untergeschoben, womit eine Aktion auf der Webanwendung durchgeführt wird. Dies funktioniert im Regelfall nur dann, wenn der Dritte bei der Webanwendung angemeldet ist. Der Grund für diese Sicherheitslücke ist die Statuslosigkeit des http-Protokolls.

Es gibt verschiedene Möglichkeiten, dem Betroffenen die manipulierte URL unterzuschieben. So kann auf eine andere Sicherheitslücke (wie etwa XSS) zurückgegriffen werden, auf eine andere Webseite, auf der der Betroffene einen Button anklickt, oder auch auf eine E-Mail. Auch die Verbreitung über soziale Netzwerke oder Blogs ist möglich.

Um zu verhindern, dass die URL direkt als Risiko bewertet wird, kann sie etwa durch einen Kurz-URL-Dienst verschleiert werden.

Ein harmloses Beispiel ist, wenn ein Anwender bei Wikipedia eingeloggt ist und diesen Link nun anklickt:

Damit würde der Anwender nun bei Wikipedia ausloggt. Gefährlicher wäre es beim Online Banking oder anderen Transaktionen übers Internet. Hier besteht zum Beispiel das Risiko, dass ungewollt Geld von einem Konto auf ein anderes überwiesen wird.

Um hiergegen etwas zu unternehmen, empfiehlt es sich, Page-Token zu verwenden. Das heißt, dass zusätzlich zu jeder Sitzung jede aufgerufene Seite ihre eigene einzigartige und zufällige ID bekommt und somit die Benutzung des Opferlinks nicht mehr möglich ist.

Eine URL mit Page Token würde zum Beispiel so aussehen:

Die Web Application Firewall ModSecurity

Eine bekannte WAF ist ModSecurity, die als Plug-In direkt auf dem Webserver installiert wird. ModSecurity unterstützt Apache, IIS und Nginx und ist ein Open-Source-Produkt. Sie arbeitet mit Black- und White-Listen, die durch Regeln genau konfiguriert werden. Die Regeln bedienen sich der regulären Ausdrücke.

ModSecurity besitzt nach der anfänglichen Installation nur eine geringe Anzahl an Regeln. Jedoch wird auf der Webseite auf zwei verschiedene Regelpakete hingewiesen, welche zusätzlich installiert werden müssen: Ein Open Source Regelpaket von OWASP und eine kommerzielle Variante von Trustwave Spiderlabs.

Laut ModSecurity könnten aber auch beide Regelpakete gleichzeitig verwendet werden. Weitere Informationen zu ModSecurity befinden sich auf der Projekt-Homepage www.modsecurity.org.

(ID:42524255)