Abwehrmaßnahmen

Diese Seiten beschreiben Funktionen der Webplattform, die Schutz gegen eine oder mehrere Sicherheitsangriffe bieten.

In der Regel besteht eine Viele-zu-Viele-Beziehung zwischen Angriffen und Abwehrmaßnahmen. In jedem unserer Angriffsleitfäden beschreiben wir die spezifischen Abwehrmaßnahmen gegen diesen Angriff. In den unten aufgeführten Abwehrseiten geben wir einen umfassenderen Überblick über diese Abwehrmaßnahmen und deren Funktionsweise.

Zertifikatstransparenz

Bietet ein öffentlich sichtbares Protokoll der ausgestellten TLS-Zertifikate, was es einfacher macht, bösartige oder fehlerhaft ausgestellte Zertifikate zu erkennen.

Blockierung gemischter Inhalte

Verhindert, dass ein über HTTPS geliefertes Dokument Subressourcen (wie Skripte, Bilder oder Schriftarten) über HTTP lädt.

Same-Origin-Policy

Beschränkt die Möglichkeiten, wie Inhalte, die von einem Ursprung geladen wurden, auf Inhalte zugreifen können, die von einem anderen Ursprung geladen wurden. Sie kontrolliert, in welchem Umfang Websites auf die Zustände anderer Websites zugreifen können.

Sichere Kontexte

Ein sicherer Kontext ist ein Window oder Worker, für den bestimmte Standards der Authentifizierung und Vertraulichkeit erfüllt sind. Das bedeutet üblicherweise, dass er über HTTPS geliefert wurde. Code, der in einem sicheren Kontext ausgeführt wird, kann leistungsstarke Web-APIs nutzen, die in unsicheren Kontexten nicht verfügbar sind.

Integrität von Subressourcen

Ermöglicht einer Website zu überprüfen, ob Skripte und Stylesheets, die von einer externen Quelle (wie einem CDN) geladen wurden, den erwarteten Inhalt haben und nicht verändert wurden.

Transport Layer Security (TLS)

Ermöglicht es einem Client, sicher mit einem Server über ein unzuverlässiges Netzwerk zu kommunizieren. Am auffälligsten wird es im Web verwendet, um HTTP-Verbindungen zu sichern: das resultierende Protokoll wird HTTPS genannt. HTTPS ist der einzige echte Schutz gegen Manipulator in der Mitte (MITM)-Angriffe.

Benutzeraktivierung

Um den Benutzer vor potenziell bösartigen Websites zu schützen, können bestimmte leistungsstarke APIs nur verwendet werden, wenn der Benutzer gerade mit der Webseite interagiert oder mindestens einmal mit ihr interagiert hat, seit sie geladen wurde.