HSTS: Webseitensicherheit durch HSTS

InformatikPraxis

DIE ultimative Praxislösung für IT-Entscheider!

ab CHF 168.00

HSTS Header

Dieses Problem lässt sich durch ein recht einfaches Konstrukt lösen. Wenn eine Webseite per HTTP angesprochen wird, könnte ein Webserver, statt wie üblich mit einer Rückmeldung "Fehlernummer 301 - Seite ist umgezogen nach https: //weka.ch" zu antworten, schlicht den Aufruf der Seite per (unverschlüsseltem) HTTP verweigern. Dies wird per so genanntem HSTS Header Ihrem Browser zurückgegeben, wenn dieser versucht, Ihre Anfrage nach http: //weka. ch aufzulösen. Ihr Browser wird nun nur noch https: //weka. ch aufrufen - ganz gleich, mit welcher Hartnäckigkeit Sie http: //weka.ch in die Adresszeile eingeben. Mit anderen Worten: Sie sind bezogen auf die URL entmündigt, aber es dient eben Ihrem und dem Interesse der Sicherheit des gesamten Internets.

Dass das ganze nicht für die sprichwörtliche Katz ist, zeigen die andauernden erfolgreichen Angriffe auf IT-Systeme über das Einfallstor «Internetauftritt». Das ist auch nachvollziehbar, denn eine Webseite ist nun einmal an prominenter Stelle in einem Netzwerk verortet, steht also mit den entsprechenden Ports 80 und 443 ungeschützt im weltweiten Netz. Zwar lassen sich Application Level Gateways und ähnliche Mechanismen vorschalten, die sich zwischen Internet und Webserver legen und den Inhalt der Datenströme zu analysieren und schützen versuchen, aber das ist einerseits aufwendig und somit ausserhalb der Möglichkeiten der üblichen KMU-Webseitenbetreiber, und andererseits bietet eben auch das keine absolute Sicherheit.

Am sichersten wären natürlich eine Webseite und der darunter liegende Webserver, wenn diese aus dem Internet heraus überhaupt nicht erreichbar wären - kein Witz, schliesslich funktionieren ja viele Intranetseiten, interne webgestützte Dokumentations-Systeme und so weiter nur innerhalb eines lokalen Netzwerks. Sobald Sie aber den namensgebenden Teil Ihres Internetauftritts ernst nehmen, sollten Sie sich auch um die Sicherheit Ihrer Webseite kümmern. Sollte es nämlich einem Angreifer gelingen, über eine Sicherheitslücke Zugriff auf das System zu erlangen, ist oftmals nicht nur Ihre eigene Webseite betroffen, sondern alles weitere an Webseiten auf diesem Server. Eventuell wird sogar der die Webseiten beherbergende (hostende) Server betroffen, indem Schadcode in Datenbanken, PHP- oder andere Code oder sonstige Stellen des Betriebssystems gelangt.

Unterschiedlichste Webseiten werden auf ein und demselben Webserver betrieben

Heutzutage ist es nämlich üblich, viele unterschiedlichste Webseiten auf ein und demselben Webserver zu betreiben - ob es sich bei letzterem nun um den Internet Information Server (IIS) von Microsoft handelt oder um einen der Platzhirsche Apache und Nginx (letztere beiden vorrangig auf Linuxservern). Ein häufig auftretendes Problem sind auch Mailsysteme, die missbraucht werden - beispielsweise über massenhaften Spamversand aus dem Kontaktformular einer Webseite heraus. Der eigentlich stabil und sicher laufende Webserver nimmt die Mails an - schliesslich kommen sie ja aus einer lokalen, also prinzipiell vertrauenswürdigen Quelle -, schickt sie in die Weltgeschichte hinaus und landet dadurch auf schwarzen Listen anderer Mailserverbetreiber. Fortan ist kein regulärer Mailversand von diesem System aus mehr möglich, der Hoster hat den Schaden und der Kunde das Nachsehen. Wenn es ganz dumm für Sie läuft, sperrt der Webserverbetreiber Ihnen sogar den Zugang, um weiteren Schaden vom Gesamtsystem abzuwenden. Aber auch, wenn Sie die Server- und Netzstruktur selbst betreiben, könnte Ihnen eine Einschränkung Ihres Internetzugangs durch den Internetprovider drohen. Dieser wird nämlich von Organisationen wie beispielsweise dem CERT von dem Schadsoftware-Vorkommnis aus dem Ihnen zugedachten Adressbereich informiert und wird schnell darauf reagieren.