Quelltext der Seite Tabnabbing

'''Tabnabbing''' ist eine [[Phishing]]-Methode, bei der beim Verlassen eines [[Tabbed Browsing|Tabs]] mittels [[JavaScript]] der komplette Seiteninhalt sowie das [[Favicon]] und der Titel einer Webseite verändert werden, um den Benutzer zu täuschen. Der Benutzer soll denken, er hätte die Seite aufgerufen, weshalb er die [[URL]] nicht überprüft. Daraufhin gibt er im Glauben, er sei auf der echten Website, seine privaten Daten ein.

== Vorgehensweise ==
Der Benutzer öffnet eine normale Website, auf der ein solches JavaScript im Hintergrund ausgeführt wird. Sobald der aktuelle Tab im [[Webbrowser]] den Fokus für eine bestimmte Zeit verliert, werden das Favicon der Website, der Titel und der gesamte Inhalt der Seite verändert. Durch das nicht eintretende Neuladen wird der Benutzer getäuscht und denkt, er selbst habe die [[Website]] angesteuert. Er trägt möglicherweise in den neuen Inhalt der Seite, der in diesem Fall ein Phishing-Formular enthält, seine sensiblen Daten ein. Seine Daten werden abgespeichert und er wird anschließend auf die eigentliche [[Login (Benutzeranmeldung)|Login]]-Seite weitergeleitet.

== Erweiterbarkeit durch History Stealing ==
[[Datei:History Stealing.jpg|miniatur|History-Stealing-Verfahren]]

Beim History Stealing macht sich der Angreifer die Art und Weise zunutze, wie der [[Webbrowser]] speichert, ob ein Benutzer schon einmal einem Link gefolgt ist. Bereits angeklickte Links werden farblich anders dargestellt, als Links, denen man noch nicht gefolgt ist. Die Farbe wird durch eine Änderung im Stylesheet ([[Cascading Style Sheet|CSS]]) des [[HTML]]-Dokuments bewirkt, die der Webbrowser als Attribute in der History speichert. Beim History-Stealing-Verfahren wird die im Browser angelegte History durch ein JavaScript ausgelesen. Diese Daten können nun dazu verwendet werden, die meistbesuchte Seite mit Hilfe des Tabnabbing durch ein [[Phishing]]-Formular zu tauschen. Das kann die Erfolgsquote eines Angriffs erhöhen, weil das Opfer (Benutzer) nicht von einer unbekannten Login-Seite überrascht ist.

Diese Sicherheitslücke wurde von Web-Entwickler [[Aza Raskin]], dem Sohn des User-Interface-Designers [[Jef Raskin]], entdeckt und ist im Frühjahr des Jahres 2011 von den meisten Browserherstellern geschlossen worden.<ref>http://dbaron.org/mozilla/visited-privacy</ref>

== Einzelnachweise ==
<references />

== Weblinks ==
* [https://www.heise.de/security/meldung/Phishing-per-Browser-Tabs-1006281.html Heise.de – Phishing per Browser-Tabs]
* [http://www.azarask.in/blog/post/a-new-type-of-phishing-attack/ Azarask.in – Tabnabbing: A New Type of Phishing Attack] (englisch)
* [http://www.chip.de/news/TabNabbing-Fieser-Phishing-Angriff-per-Browser-Tab_43067912.html Chip.de – TabNabbing: Fieser Phishing-Angriff per Browser-Tab]
* [http://vimeo.com/12003099 Beispiel-Video von Aza Raskin] (englisch)
* [https://www.heise.de/newsticker/meldung/History-Stealing-2-0-Ich-weiss-wo-du-wohnst-1005016.html History Stealing 2.0: Ich weiß, wo du wohnst]
* [http://selfhtml.apsel-mv.de/verweise/verweise.html#history-stealing Testen Sie, ob in Ihrem Browser die Sicherheitslücke „History Stealing Hack“ geschlossen ist.]

[[Kategorie:Phishing]]