Quelltext der Seite Cross-Site-Authentication-Attacke

Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].

Die Gefahr einer solchen Attacke besteht, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

Diese [[Computersicherheit|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.

Cross-Site-Authentication-Attacken werden durch Browser begünstigt, die im Passwort-Dialog den Namen der zur Passworteingabe auffordernden Website nicht deutlich genug anzeigen.

== Schutz ==
Gegen diese Art von Angriffen gibt es einige Schutzmöglichkeiten:

* Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von [[Cross-Site-Scripting]].
* Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die Authentifizierungsmechanismen zu unterbinden.
* Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.

== Weblinks ==
* [http://people.debian.org/~nomeata/xsa-sample.html Beispielseite] ('''Achtung''': keine echten Passwörter eingeben!)
* [https://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)
* [https://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)
* [https://www.linux-magazine.com/content/download/62644/485610/version/1/file/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)

[[Kategorie:World Wide Web]]
[[Kategorie:Sicherheitslücke]]