Uberblick Websecurity - Albert-Ludwigs-Universität Freiburg

4 Jennifer Nist
Authentifizierung und die Autorisierung rollenbasiert zu gestalten, um den Verwaltungsaufwand
möglichst klein zu halten. Eine mögliche Rollenverteilung wäre dabei zum Beispiel ”
Gast“(keine,
oder nur Leserechte), ”
registrierter Benutzer“(Lese- und Schreibrechte) und ”
Administratoren“(alle
Rechte: lesen, schreiben, löschen... usw.). Bei der Authentifizierung wird die Identität des Nutzers
festgestellt. Bei der Autorisation wird die Berechtigung für bestimmte Aktionen überprüft und
festgelegt. Abbildung 1 veranschaulicht die Beziehung zwischen Authentifikation und Autorisierung
in Anwendungen.
Abbildung 1. Beziehung zwischen Authentifikation und Autorisation in Anwendungen:
[8]
Eine Möglichkeit diesen Schutz zu implementieren wäre es, die Überprüfung serverseitig im Source-
Code jeder Datei zu definieren. So könnte der Entwickler der Anwendung zum Beispiel eine Funktion
check permissions() implementieren, die jeden Zugriff auf diese PHP-Datei zuerst auf Zugriffsberechtigung
überprüft:
[9] [10]
2.4 Cross-Site Scripting (XSS)
XSS-Angriffe sind nur in dynamischen Webanwendungen möglich. Eine Webanwendung ist dynamisch,
wenn diese auf Interaktion des Benutzers reagiert. Eine Schwachstelle entsteht, wenn die
Anwendung nicht vertrauenswürdige Daten vom Benutzer entgegen nimmt und ihm diese zurück
gibt, jedoch nicht ausreichend validiert, zum Beispiel nicht auf unerwünschte Eingaben überprüft.
Diese sind oft Metazeichen. Diese Metazeichen stehen innerhalb eines bestimmten Kontextes, zum
Beispiel in einem HTML-Quellcode, nicht für sich selbst, sondern haben eine besondere Bedeutung.
Sie könnten daher dazu führen, dass die (eventuell bösartige) Eingabe eines Benutzers nicht als
reiner Text interpretiert wird, sondern als aktiver Inhalt, der möglicherweise ausführbar ist.
Beispiel für Metazeichen:
Der Text ”
“besteht in der Zusammensetzung aus zwei spitzen
Klammern und Attributen. Jedoch steht die Zeichenfolge im Kontext einer HTML-Seite für den
Beginn eines ausführbaren Inhaltes der Sprache JavaScript. Der darauf folgende Text wird solange
als JavaScript interpretiert, bis der Abschnitt durch das Tag geschlossen wird. Wenn
die Benutzereingaben nicht auf solche Metazeichen hin überprüft werden, ist es für den Angreifer
möglich, nahezu beliebigen Schadcode auszuführen.