Abwehrmechanismen

Diese Seiten beschreiben Web-Plattform-Features, die Abwehrmechanismen gegen eine oder mehrere Sicherheitsattacken bieten.

In der Regel gibt es eine viele-zu-viele-Beziehung zwischen Angriffen und Abwehrmechanismen. In jedem unserer Angriffsleitfäden beschreiben wir die spezifischen Abwehrmechanismen gegen diesen Angriff. Auf den unten aufgeführten Abwehrmechanismen-Seiten bieten wir einen umfassenderen Überblick über diese Abwehrmechanismen und deren Funktionsweise.

Zertifikattransparenz

Bietet ein öffentlich sichtbares Protokoll der ausgestellten TLS-Zertifikate, was es einfacher macht, solche zu erkennen, die böswillig oder fälschlicherweise ausgestellt wurden.

Mixed-Content-Blockierung

Verhindert, dass ein über HTTPS geliefertes Dokument Subressourcen (wie Skripte, Bilder oder Schriftarten) über HTTP lädt.

Same-Origin-Policy

Beschränkt die Möglichkeiten, wie Inhalte, die von einem Ursprung geladen wurden, auf Inhalte zugreifen können, die von einem anderen Ursprung geladen wurden. Sie kontrolliert das Ausmaß, in dem Websites auf den Zustand anderer Websites zugreifen können.

Sichere Kontexte

Ein sicherer Kontext ist ein Window oder Worker, für den bestimmte Standards der Authentifizierung und Vertraulichkeit erfüllt sind. Dies bedeutet in der Regel, dass er über HTTPS geliefert wurde. Code, der in einem sicheren Kontext läuft, kann leistungsstarke Web-APIs nutzen, die in unsicheren Kontexten nicht verfügbar sind.

Sub-Resource Integrity

Ermöglicht es einer Website zu überprüfen, ob Skripte und Stylesheets, die von einer externen Quelle (wie einem CDN) geladen wurden, den erwarteten Inhalt haben und nicht verändert wurden.

Transport Layer Security (TLS)

Ermöglicht es einem Client, sicher mit einem Server über ein unzuverlässiges Netzwerk zu kommunizieren. Am bemerkenswertesten ist, dass es im Web verwendet wird, um HTTP-Verbindungen zu sichern: das resultierende Protokoll wird HTTPS genannt. HTTPS ist der einzige echte Schutz gegen Manipulator in the Middle (MITM)-Angriffe.

Nutzeraktivierung

Um den Benutzer vor potenziell bösartigen Websites zu schützen, können bestimmte leistungsstarke APIs nur verwendet werden, wenn der Benutzer derzeit mit der Webseite interagiert oder mindestens einmal mit der Seite interagiert hat, seit sie geladen wurde.