Abwehrmaßnahmen

Diese Seiten beschreiben Webplattform-Funktionen, die Abwehrmaßnahmen gegen eine oder mehrere Sicherheitsangriffe bieten.

In der Regel besteht eine Viele-zu-Viele-Beziehung zwischen Angriffen und Abwehrmaßnahmen. In jedem unserer Angriffsleitfäden beschreiben wir die spezifischen Abwehrmaßnahmen gegen diesen Angriff. In den unten aufgeführten Abwehrseiten bieten wir einen umfassenderen Überblick über diese Abwehrmaßnahmen und ihre Funktionsweise.

Zertifikatstransparenz

Bietet ein öffentlich sichtbares Protokoll der ausgestellten TLS-Zertifikate, was es einfacher macht, bösartige oder falsch ausgestellte Zertifikate zu erkennen.

Mixed-Content-Blockierung

Verhindert, dass ein über HTTPS geliefertes Dokument Subressourcen (wie Skripte, Bilder oder Schriftarten) über HTTP lädt.

Operative Sicherheit

Sicherheitspraktiken, die sich mit den Prozessen beim Entwickeln, Erstellen, Ausliefern und Aktualisieren eines Projekts befassen.

Same-Origin-Policy

Beschränkt die Möglichkeiten, wie Inhalte, die von einem Origin geladen werden, auf Inhalte zugreifen können, die von einem anderen Origin geladen werden. Sie steuert, in welchem Umfang Websites auf den Zustand anderer Websites zugreifen können.

Sichere Kontexte

Ein sicherer Kontext ist ein Window oder Worker, bei dem bestimmte Standards der Authentifizierung und Vertraulichkeit erfüllt sind. Das bedeutet in der Regel, dass es über HTTPS geliefert wurde. Code, der in einem sicheren Kontext läuft, kann mächtige Web-APIs nutzen, die in unsicheren Kontexten nicht verfügbar gemacht werden.

Subresource Integrity

Ermöglicht es einer Website zu überprüfen, ob Skripte und Stylesheets, die von einer externen Quelle (wie einem CDN) geladen werden, den erwarteten Inhalt haben und nicht geändert wurden.

Transport Layer Security (TLS)

Ermöglicht einem Client, sicher mit einem Server über ein unzuverlässiges Netzwerk zu kommunizieren. Besonders wichtig im Web wird es verwendet, um HTTP-Verbindungen zu sichern: Das resultierende Protokoll wird HTTPS genannt. HTTPS ist der einzige wirkliche Schutz gegen Man-in-the-Middle (MITM)-Angriffe.

Nutzeraktivierung

Um den Benutzer vor potenziell bösartigen Websites zu schützen, können bestimmte mächtige APIs nur verwendet werden, wenn der Benutzer tatsächlich mit der Webseite interagiert oder seit dem Laden der Seite zumindest einmal interagiert hat.

Lokaler Netzwerkzugriff

Die Technologie des lokalen Netzwerkzugriffs schränkt die Fähigkeit von Websites ein, Anfragen an das lokale Netzwerk des Benutzers zu senden, und mindert so das Risiko von Angriffen wie Cross-Site-Request-Forgery. Dieser Artikel erklärt, wie der lokale Netzwerkzugriff funktioniert und was Webentwickler tun müssen, um damit zu interagieren.