Der Webbrowser rückt ins Visier der Hackerszene

Pascal Kocher ist Senior Solution Architect bei United Security Providers in Gümligen bei Bern.

Moderne Attacken zielen auf den Webbrowser - die Opfer sind meist ahnungslose Surfer. Das Thema «Application Security» ist das derzeit am heissesten diskutierte Thema unter Hackern und IT-Sicherheitsexperten.

Dieser Trend offenbarte sich Anfang August auf den weltweite Beachtung findenden Konferenzen «Blackhat» und «Defcon» in Las Vegas. Dort treffen sich jedes Jahr IT-Security-Experten und Hacker aus aller Welt, um die neuesten Trends in Sachen IT-Security zu erörtern. Dabei wendet sich die Blackhat, die starken Ausbildungscharakter besitzt und 1800 Dollar Eintritt kostet, eher an die IT-Security-Verantwortlichen. Die Defcon hingegen ist den Hackern vorbehalten. Sie kostet entsprechend nur 100 Dollar Eintritt - welche vor Ort und in bar bezahlt werden müssen. Kreditkarten sind bei der auf Anonynität erpichten Klientel verpönt.

Und obwohl sich die Interessen der Teilnehmer beider Konferenzen häufig diametral entgegen stehen, geben doch beide Veranstaltungen Auskunft, wohin sich die Reise punkto IT-Security künftig geht.

Web 2.0 als Hacking-Enabler

Wichtigster ablesbarer Trend in diesem Jahr: Fehler, die aus dem Web 1.0 bekannt sind, im Web 2.0 aber nicht behoben wurden, werden ausgenutzt. Zwar machten Webseiten in den 15 Jahren ihres Bestehens eine rasante Entwicklung durch. Das Spektrum reicht heute von statischen über dynamische Inhalte aus Datenbanken bis hin zu interaktiven Applikationen, die sich kaum mehr von lokal installierten Tools unterscheiden. Wobei das Web 2.0 nicht nur Logik auf der Serverseite, sondern ebenfalls auf dem Client benötigt. Dabei wird aber auch klar, dass es in der IT Gang und Gäbe zu sein scheint, Fehler, aus denen man eigentlich gelernt haben sollte, noch einmal zu machen. So blühen Fehler, die in Web 1.0 auftraten - etwa, dass Daten aus Formularen nicht geprüft werden oder dass via versteckte Felder (Hidden Fields) Anweisungen für den Server versteckt werden - auch im Zeitalter von Ajax (Asynchronous JavaScript and Extensible Markup Language). Problematisch dabei ist, dass dies zu komplexen Sicherheitsproblemen führt, welche in den meisten Fällen vom Benutzer nicht erkannt und von der Firmen-Firewall kaum geblockt werden können.