Mit Firefox 23 wird ein neues Feature standardmäßig aktiviert sein, welches die Sicherheit beim Surfen im Internet weiter verbessern soll. Ein Mixed Content Blocker soll aktiven HTTP-Content auf HTTPS-Seiten blockieren. Was dies meint und inwiefern der Nutzer hiervon profitiert, wird in diesem Artikel erklärt.
Was ist Mixed Content?
Der Vorteil von Verbindungen über HTTPS gegenüber HTTP ist, dass die Daten hierbei abhörsicher übertragen werden, was den Anwender vor Man-in-the-Middle-Attacken schützt. Allerdings bedeutet der Aufruf einer Webseite über HTTPS nicht automatisch, dass alle Ressourcen einer Webseite verschlüsselt übertragen werden, so können Bilder, Stylesheets, JavaScripts oder Frames auch auf einer über HTTPS aufgerufenen Webseite über HTTP angefragt und für Angriffe ausgenutzt werden. In einem solchen Fall spricht man von Mixed Content.
Der Mixed Content Blocker von Firefox blockiert bestimmte HTTP-Anfragen auf HTTPS-Webseiten, allerdings nicht alle. Um zu verstehen, was Firefox ab Version 23 standardmäßig blockiert, muss zunächst geklärt werden, welche zwei Arten von Mixed Content es gibt, nämlich Mixed Passive Content und Mixed Active Content.
Mixed Passive Content
Bei Mixed Passive Content handelt es sich um HTTP-Content auf einer HTTPS-Webseite, welcher nicht das Document Object Model (DOM) einer Webseite verändern kann, das können beispielsweise Bilder, Videos oder Audio sein. Ein Angreifer könnte diese austauschen, das hätte allerdings keinen größeren Einfluss auf den Rest der Webseite.
Nichtsdestominder kann auch Mixed Passive Content ein ernsthaftes Problem sein, da sich Rückschlüsse über die Aktivitäten eines Nutzers ziehen lassen könnten, indem zum Beispiel geschaut wird, welche Bilder an einen Nutzer geliefert werden. Da gewisse Bilder nur auf einer bestimmten Webseite erscheinen, könnte ein Angreifer so erfahren, welche Webseite ein Nutzer besucht. Darüberhinaus könnte der Angreifer die HTTP-Header, welche mit dem Bild gesendet werden, beobachten, inklusive User-Agent und sämtlichen Cookies, welche mit der Domain in Verbindung stehen, von welcher das Bild bezogen wird. Handelt es sich dabei um die selbe Domain wie die eigentliche Webseite, ist so der ganze Schutz durch HTTPS nutzlos, weil der Angreifer die Cookies des Benutzers aus den Headern der unverschlüsselt übertragenen Bilder auslesen kann.
Mixed Active Content
Mixed Active Content hat im Gegensatz dazu die Möglichkeit, das Verhalten einer HTTPS-Webseite zu verändern, und damit das Potential, sensible Nutzerdaten zu stehlen. Beispiele für Mixed Active Content sind über HTTP ausgelieferte Stylesheets, JavaScripts, Objekte, XHR-Requests, Fonts sowie iFrames. Bei letzterem gibt es Uneinigkeit zwischen den Browserherstellern, ob es sich dabei um Mixed Active Content oder Mixed Passive Content handelt, Mozilla geht hierbei im Gegensatz zu Google, welche dies als Mixed Passive Content einstufen, mit Microsoft mit und sieht dies als Mixed Active Content.
Ein Angreifer könnte die HTTP-Anfragen abfangen, die Antwort umschreiben und dabei schadhaften Code einschleusen. Dieser Code könnte dann sensible Nutzerdaten stehlen oder dazu genutzt werden, um Malware auf dem System des Nutzers zu installieren, indem man sich unsichere Plugins auf dem System des Nutzers zum Vorteil macht. In diesem Zusammenhang sei nochmals auf Mozillas Plugincheck hingewiesen, welcher die wichtigsten aktivierten Plugins auf Aktualität überprüft.
Mixed Content Blocker – was wird standardmäßig blockiert, was wird nicht blockiert?
Mozillas Mixed Content Blocker blockiert standardmäßig ab Firefox 23 sämtlichen Mixed Active Content. Mixed Passive Content hingegen wird nicht blockiert. Mixed Passive Content stellt auch ein reales Problem dar, allerdings sieht Mozilla hier derzeit noch das Problem, dass das Web noch nicht bereit dafür ist, Mixed Passive Content zu blockieren, zu viele Webseiten gingen dadurch kaputt, YouTube wird als Beispiel genannt. Infolgedessen würden die Nutzer außerdem zu häufig gewarnt werden, was die Wirkung der Warnung, wenn sie wirklich angebracht ist, reduziert. Außerdem sei das Blockieren von Mixed Passive Content ein Problem für Nutzer mit langsamen Internet-Verbindungen. Webseiten würden unter Umständen damit beginnen, sämtliche über HTTP angefragte Bilder und Videos ihrer HTTPS-Webseite über HTTPS einzubinden, um keine Warnung zu generieren. Dadurch, dass diese Verbindungen dann alle verschlüsselt würden, könnte sich dies spürbar auf die Geschwindigkeit der Webseite auswirken. Dieses Problem spielt für Mixed Active Content eine wesentlich geringere Rolle.
Wie kann ich auch Mixed Passive Content blockieren oder wie kann ich den Mixed Content Blocker komplett deaktivieren?
Der Mixed Content Blocker kann per Eingriff in about:config um einen Schutz vor Mixed Passive Content erweitert werden. Dazu muss lediglich der Schalter security.mixed_content.block_display_content gesucht und per Doppelklick auf true geschaltet werden.
Der Mixed Content Blocker lässt sich aber auch deaktivieren. Dazu muss ganz einfach der Schutz sowohl für Mixed Active Content als auch für Mixed Passive Content auf false stehen. Der Schalter für Mixed Active Content ist security.mixed_content.block_active_content.
Wie zeigt sich der Mixed Content Blocker?
Bei aktiviertem Mixed Content Blocker zeigt sich bei Besuch einer Webseite über HTTPS mit Mixed Content der Blocker in Form eines Icons in der Adressleiste. Per Klick auf dieses Icon hat der Nutzer die Möglichkeit, mehr darüber zu erfahren, den Mixed Content weiter zu blockieren oder den Schutz auf dieser Webseite aufzuheben.
Entschließt sich der Nutzer dafür, den Schutz aktiviert zu lassen, verschwindet das Icon aus der Adressleiste und der Mixed Content bleibt blockiert. Entschließt sich der Nutzer hingegen dafür, den Schutz für diese Webseite zu deaktivieren, dann wird der Mixed Content geladen und aus dem grauen Schloss-Symbol in der Adressleiste wird ein gelbes Warndreieck mit Ausrufezeichen.
Besucht der Nutzer eine HTTPS-Webseite mit Mixed Passive Content und hat nichts an den Einstellungen verändert, so wird dieser Mixed Passive Content zwar nicht blockiert, aus dem grauen Schloss-Symbol wird stattdessen allerdings eine graue Weltkugel, wie bei gewöhnlichen HTTP-Seiten auch.
Mozilla betont, dass der Mixed Content Blocker noch nicht immer perfekt arbeitet und man noch bestimmte Grenzfälle berücksichtigen müsse, wollte die Nutzer aber nicht länger auf diesen zusätzlichen Schutz warten lassen, weshalb dieser mit Firefox 23 standardmäßig aktiviert sein wird.