Abwehrmaßnahmen

Diese Seiten beschreiben Funktionen der Webplattform, die Abwehrmaßnahmen gegen einen oder mehrere Sicherheitsangriffe bieten.

In der Regel besteht eine Viele-zu-Viele-Beziehung zwischen Angriffen und Abwehrmaßnahmen. In jedem unserer Angriffsleitfäden beschreiben wir die spezifischen Abwehrmaßnahmen gegen diesen Angriff. In den unten aufgeführten Abwehrseiten bieten wir einen breiteren Überblick über diese Abwehrmechanismen und wie sie funktionieren.

Zertifikatstransparenz

Bietet ein öffentlich sichtbares Protokoll der ausgestellten TLS-Zertifikate, wodurch es einfacher wird, jene zu erkennen, die bösartig oder fälschlicherweise ausgestellt wurden.

Eingabevalidierung

Überprüfung, dass die vom Benutzer bereitgestellten Eingaben den Erwartungen der Website entsprechen.

Verhinderung von mixed content

Verhindert, dass ein über HTTPS geliefertes Dokument Subressourcen (wie Skripte, Bilder oder Schriftarten) über HTTP lädt.

Betriebssicherheit

Sicherheitspraktiken, die sich mit den Prozessen zur Entwicklung, Erstellung, Bereitstellung und Aktualisierung eines Projekts befassen.

Sicherheitsrichtlinie der selben Herkunft

Beschränkt die Möglichkeiten, wie Inhalte, die von einem origin geladen wurden, auf Inhalte zugreifen können, die von einem anderen Ursprung geladen wurden. Sie steuert, in welchem Umfang Websites auf den Zustand anderer Websites zugreifen können.

Sichere Kontexte

Ein sicherer Kontext ist ein Window oder Worker, für den bestimmte Standards der Authentifizierung und Vertraulichkeit erfüllt sind. Dies bedeutet normalerweise, dass er über HTTPS geliefert wurde. Code, der in einem sicheren Kontext ausgeführt wird, kann leistungsfähige Web-APIs nutzen, die in unsicheren Kontexten nicht verfügbar sind.

Subressourcen-Integrität

Ermöglicht einer Website zu überprüfen, dass von einer externen Quelle (wie einem CDN) geladene Skripte und Stylesheets den erwarteten Inhalt haben und nicht verändert wurden.

Transport Layer Security (TLS)

Ermöglicht es einem Client, sicher mit einem Server über ein unzuverlässiges Netzwerk zu kommunizieren. Insbesondere im Web wird es genutzt, um HTTP-Verbindungen zu sichern: Das resultierende Protokoll wird HTTPS genannt. HTTPS ist der einzige wirkliche Schutz gegen Manipulator in der Mitte (MITM)-Angriffe.

Benutzeraktivierung

Um den Benutzer vor potenziell bösartigen Websites zu schützen, können bestimmte leistungsstarke APIs nur verwendet werden, wenn der Benutzer aktuell mit der Webseite interagiert oder mindestens einmal seit dem Laden der Seite interagiert hat.

Zugriff auf lokales Netzwerk

Die Technologie für lokalen Netzwerkzugriff beschränkt die Möglichkeit von Websites, Anfragen an das lokale Netzwerk des Benutzers zu stellen, und mindert so das Risiko von Angriffen wie Cross-Site-Request-Forgery. Dieser Artikel erklärt, wie der Zugriff auf das lokale Netzwerk funktioniert und was Webentwickler tun müssen, um damit zu interagieren.