Cross-Site Authentication

Als Cross-Site Authentication (kurz: XSA) bezeichnet man einen Angriff gegen eine Webanwendung durch die aufgrund einer Computersicherheitslücke ein Angreifer fremde Passwörter ausspionieren kann. Hierbei handelt es sich um eine Form der Cross-Site Request Forgery.

Diese Lücke kann ausgenutzt werden, wenn ein Webforum, ein Weblog oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den Webserver durch HTTP Auth geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein Webbrowser auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

Diese Sicherheitslücke lässt sich jedoch nur ausnutzen, wenn der Benutzer überhaupt ein Passwort eingibt. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist das schon unwahrscheinlich. Dazu muss der Benutzer auch noch einen Benutzernamen eingeben. Der Angreifer hat also im besten Fall eine Kombination aus Benutzername und Passwort, weiß aber erstmal nicht, wofür diese Kombination überhaupt gilt. Zudem erscheint die Passwortabfrage nicht als HTML-Formular, wie es wohl die meisten Webbenutzer gewohnt sind, sondern in einem eigenen Fenster, und ist somit auffällig.

Cross-Site Authentication kann durch den Browser begünstigt werden, indem dieser im Passwort-Dialog den Namen des zur Passwort-Eingabe auffordernden Webservers nicht deutlich genug anzeigt.

Schutz

Gegen diese Art von Angriffen gibt es viele Schutzmöglichkeiten:

• Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von Cross-Site Scripting.
• Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die Authentikations-Mechanismen zu unterbinden.
• Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.

Weblinks

• Beispielseite (Achtung: keine echten Passwörter eingeben!)
• The Cross Site Auth (XSA) Attack (Initialer Blog-Eintrag)
• Linux-Magazin-Artikel (Deutsch)
• Linux-Magazine-Artikel (Englisch; PDF-Datei; 151 kB)