Firefox will endlich alte Sicherheitslücke schließen

Nach über zehn Jahren soll die bekannte CSS-Sicherheitslücke der großen Browser bei Firefox nun endlich geschlossen werden.

Die Firefox-Entwickler erklärten gerade, sie seien kurz davor, eine Sicherheitslücke zu schließen, die jeden populären Browser seit mindestens zehn Jahren plagt.

Durch das Abzapfen der History von Cascading Style Sheets (CSS) können massenhaft Informationen über Gewohnheiten und Interessen der Anwender bezogen werden. Dabei wird eine Technologie ausgenutzt, die in jedem Browser steckt, der angeklickte Links in einer anderen Farbe darstellt. Mozilla ist diese Schwachstelle mindestens seit dem Jahr 2002 bekannt.

Warum ist eine Lücke, die bereits so lange schon bekannt ist nie geschlossen worden? Bislang ist es Entwicklern nicht gelungen, das Problem zu beheben, ohne die Funktionalität des Browsers erheblich zu beeinträchtigen. Viele vorgeschlagende Lösungen hätten es unmöglich gemacht, besuchte Links von nicht besuchten zu unterscheiden. Für die großen Browserhersteller wie Mozilla oder Microsoft war eine solcher Funktionsverlust ihrer Produkte inakzeptabel.

Sid Stamm, Mitglied des Mozilla Sicherheitsteams, gab nun an, das Problem werde beim Firefox bald behoben sein, ohne die Usability der Applikation einzuschränken. Die angestrebte Problemlösung sehe technische Veränderungen vor, die darauf abzielen, die drei häufigsten Angriffe auf Seitenlayout, Timing und besuchte Links zu verhindern. Stamm erklärte dazu: "Einige Webseiten mögen ein wenig anders aussehen, doch besuchte Links werden weiterhin in einer anderen Farbe erscheinen. [...] Einige Seiten die mehr als nur Farbe verwenden, um besuchte Links zu markieren, könnten etwas beschädigt wirken, während sie sich den Veränderungen anpassen, doch wir denken, dass dies ein guter Kompromiss ist, wenn es darum geht, die Sicherheit unserer Anwender zu schützen."

Dazu äußert sich der Sicherheitsexperte Rober "RSnake" Hansen in einem Blogpost jedoch kritisch. Er meint, Mozillas Ansatz mache es zwar schwieriger, die Sicherheitslücke auszunutzen, schließe sie aber nicht.

Tatsächlich lassen sich solche CSS-Attacken dadurch verhindern, dass der Anwender Javascript für seinen Browser einfach abschaltet, wie es das Firefox Add-on NoScript ermöglicht. Allerdings wird es zunehmend schwieriger, ohne Javascript im Internet zu surfen und Dienste in Anspruch zu nehmen.

Selbst wenn Mozilla das Problem in nächster Zeit nicht vollständig lösen kann, könnte dies trotzdem ein Schritt in die richtige Richtung sein. Daher ruft Stamm auch andere Browserhersteller dazu auf, ihrem Beispiel zu folgen und an diesem Problem zu arbeiten.

Quelle: theregister.co.uk
Bild: Keng Susumpow unter CC-BY-SA

Julia Klein am Montag, 05.04.2010 22:44 Uhr

tags Tags: firefox sicherheitslücke mozilla firefox

Weitere interessante News

20 Reaktionen zu dieser Nachricht

flo8464 am 07.04.2010 15:42:00

Ich kürzlich auf xvideos, die Seite weiß mehr über mich als ich selbst :p ...
Cayenne am 07.04.2010 14:54:43

JS bietet ja AFAIK nix, was in die Richtung gehen könnte...Korrekt, habe nochmal nachgeschaut. Habe mich damit bislang nie großartig beschäftigt, da ich es nie gebraucht habe. Hachja, manchmal liiiebe ich ein bisschen ordentliches Halbwissen. ;) [QUOTE=LoL-O_Mat ...
LoL-O_Mat am 06.04.2010 22:44:34

Ich hätte auf das gute, alte JavaScript getippt - das ist ja für so etwas immer zu haben. ;) JS bietet ja AFAIK nix, was in die Richtung gehen könnte... Aber nett, dass ihr das hier: "Achja, sinnvoller Beitrag, sorry ... " auch über 9 Stu ...
Cayenne am 06.04.2010 18:43:08

Und wie wird wohl die History ausgelesen?Ich hätte auf das gute, alte JavaScript getippt - das ist ja für so etwas immer zu haben. ;) Aber nett, dass ihr das hier: "Achja, sinnvoller Beitrag, sorry ... " auch über 9 Stunden nach Hinzufügen wunderbar ignoriert, ...
LoL-O_Mat am 06.04.2010 12:13:41

Die Seite dürfte wohl eher schlicht die Browser History auslesen, als einen Konzeptfehler in CSS ausnutzen ... ;) Und wie wird wohl die History ausgelesen? ...

weitere Kommentare lesen Nachricht kommentieren

Fotostrecke

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...