Cross-Site-Authentication-Attacke

Als Cross-Site Authentication (kurz: XSA) bezeichnet man eine Computersicherheitslücke mit der ein Angreifer fremde Passwörter ausspionieren kann.

Diese Lücke kann ausgenutzt werden wenn ein Webforum, ein Weblog oder ähnliche Systeme das einbinden von Bildern durch nicht vertrauenswürde Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den Webserver geschützt ist. Ruft ein Benutzer den Beitrag auf fordert ihn sein Webbrowser auf eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

Cross-Site Authentication kann durch den Browser begünstigt werden, indem dieser im Passwort-Dialog nicht den Namen des zur Passwort-Eingabe auffordernden Webservers nicht, nicht deutlich genug oder sogar den Namen der Seite von der das Bild eingebunden ist anzeigt.

Schutz

Einen sicheren Schutz bietet nur das deaktivieren von Bildern aus externer Quelle. Durch deutlichere Dialoge oder Warnhinweise können die Browser das Problem aber eindämmen.

Weblinks

• Beispielseite (Achtung: keine echten Passwörter eingeben!)
• The Cross Site Auth (XSA) Attack