Verteidigungen

Diese Seiten beschreiben Funktionen der Webplattform, die Schutzmaßnahmen gegen eine oder mehrere Sicherheitsangriffe bieten.

In der Regel besteht eine Viele-zu-Viele-Beziehung zwischen Angriffen und Verteidigungen. In jedem unserer Angriffsleitfäden beschreiben wir die spezifischen Verteidigungen gegen diesen Angriff. Auf den Verteidigungsseiten, die unten aufgeführt sind, bieten wir einen umfassenderen Überblick über diese Verteidigungen und deren Funktionsweise.

Zertifikattransparenz

Bietet ein öffentlich sichtbares Protokoll der ausgestellten TLS-Zertifikate, wodurch es einfacher wird, diejenigen zu erkennen, die böswillig oder fehlerhaft ausgestellt wurden.

Sperrung gemischter Inhalte

Verhindert, dass ein über HTTPS ausgeliefertes Dokument Subressourcen (wie Skripte, Bilder oder Schriften) über HTTP lädt.

Betriebsicherheit

Sicherheitspraktiken, die sich mit den Prozessen befassen, die bei der Entwicklung, dem Bau, dem Versand und der Aktualisierung eines Projekts befolgt werden müssen.

Same-Origin-Policy

Beschränkt die Möglichkeiten, wie Inhalte aus einem origin auf Inhalte zugreifen können, die von einem anderen Ursprung geladen werden. Es kontrolliert, in welchem Umfang Websites auf den Zustand anderer Websites zugreifen können.

Gesicherte Kontexte

Ein gesicherter Kontext ist ein Window oder Worker, für den bestimmte Standards der Authentifizierung und Vertraulichkeit erfüllt sind. Dies bedeutet in der Regel, dass er über HTTPS geliefert wurde. Code, der in einem gesicherten Kontext ausgeführt wird, kann leistungsstarke Web-APIs nutzen, die in unsicheren Kontexten nicht verfügbar sind.

Integrität von Subressourcen

Ermöglicht es einer Website zu überprüfen, dass Skripte und Stylesheets von einer externen Quelle (wie einem CDN) den erwarteten Inhalt haben und nicht verändert wurden.

Transport Layer Security (TLS)

Ermöglicht es einem Client, sicher mit einem Server über ein unzuverlässiges Netzwerk zu kommunizieren. Besonders im Web wird es genutzt, um HTTP-Verbindungen abzusichern: Das resultierende Protokoll wird HTTPS genannt. HTTPS ist der einzige echte Schutz gegen Manipulator-in-the-Middle (MITM)-Angriffe.

Benutzeraktivierung

Um den Benutzer vor potenziell böswilligen Websites zu schützen, können bestimmte leistungsstarke APIs nur verwendet werden, wenn der Benutzer derzeit mit der Webseite interagiert oder seit dem Laden der Seite mindestens einmal interagiert hat.