- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Mixed Content-Warnungen beheben


Chrome ändert Anzeige von Mixed Content-Ausgabe
Mixed Content liegt vor, wenn eine Webseite eine Kombination aus sicherem (HTTPS) und nicht sicherem (HTTP) Inhalt enthält und dieser über SSL an den Browser übergeben wird

(02.12.15) - Zusammen mit der Veröffentlichung von Chrome 46 hat das Chrome-Sicherheitsteam angekündigt, dass der Chrome-Browser Websites mit Mixed Content zukünftig anders anzeigt. HTTPS-Seiten mit Mixed Content werden Besuchern in Chrome genauso angezeigt wie reguläre nicht gesicherte HTTP-Seiten. Bei Website-Inhabern, die sich für ein SSL-Zertifikat entschieden haben um ihre Website zu sichern, wird das auf eher wenig Gegenliebe stoßen. Im aktuellen Chrome-Blog werden für diese Änderung zwei Gründe genannt: Zum einen soll der Sicherheitsstatus einer Seite in Bezug auf HTTP besser visuell angezeigt werden, zum anderen soll der Chrome-Nutzer sich nicht mit noch mehr unterschiedlichen Sicherheitszuständen vertraut machen müssen.

Es ist positiv zu werten, dass Chrome die Anzeige für SSL-Sicherheit vereinfacht. Man kann nicht erwarten, dass der Nutzer bei einer SSL-Verbindung zwischen eingebetteten, sicheren und nicht sicheren Elementen unterscheidet. Er sollte nur zwischen "sicher" und "nicht sicher" unterscheiden müssen. Die Nuancen eines bestimmten Zwischenzustands muss er an dieser Stelle nicht im Detail kennen. Das Endergebnis ist eine Benutzererfahrung, bei der man nicht zwingend die Prinzipien oder die Relevanz von Mixed Content verstehen muss.

Warum werden Mixed Content-Fehler angezeigt?
Mixed Content liegt vor, wenn eine Webseite eine Kombination aus sicherem (HTTPS) und nicht sicherem (HTTP) Inhalt enthält und dieser über SSL an den Browser übergeben wird. Nicht sicherer Inhalt kann theoretisch von Angreifern gelesen oder modifiziert werden, auch wenn die übergeordnete Seite über HTTPS angeboten wird. Mixed Content-Fehler sind ein aktuelles Thema, denn Websites werden immer dynamischer und sind aus vielen verschiedenen Live-Datenquellen oder Fremdelementen wie Social Media Feeds, Analytics-Code, Werbung usw. aufgebaut.

Am besten ist es natürlich sicherzustellen, dass diese Warnungen gar nicht erst angezeigt werden, weil eine Seite korrekt konfiguriert ist und nur sichere Inhalte anbietet.

Besucher von SSL-geschützten Websites erwarten, zu Recht, Sicherheit und entsprechenden Datenschutz. Schützt eine Website den Inhalt nicht vollständig, erscheint im Browser eine "Mixed Content"-Warnung. Mixed Content liegt vor, wenn eine Webseite eine Kombination aus sicherem (HTTPS) und nicht sicherem (HTTP) Inhalt enthält und dieser über SSL an den Browser übergeben wird. Ein potenzieller Angreifer kann den Inhalt kann theoretisch lesen oder modifizieren. Und das auch dann, wenn die übergeordnete Seite über HTTPS angeboten wird.

Wenn Besucher mit solchen Warnmeldungen konfrontiert werden, haben sie zwei Möglichkeiten: Entweder Sie surfen weiter und ignorieren die Warnungen sowie die damit verbundenen potenziellen Sicherheitsrisiken. Eine Vorgehensweise die nicht unbedingt zu empfehlen ist. Die zweite Möglichkeit ist die Warnung ernst zu nehmen und die betreffende Website wegen Sicherheitsbedenken nicht mehr zu besuchen. Aus der Sicht des Webseitenbetreibers ist diese Option noch schlimmer.

Am besten sollte man also sicherstellen, dass diese Warnungen gar nicht erst auftreten. Eine Mixed-Content-Warnung bedeutet, dass sowohl gesicherte als auch ungesicherte Elemente auf einer Seite vorgehalten werden, die eigentlich vollständig verschlüsselt sein sollte. Bei allen Seiten unter einer HTTPS-Adresse muss der gesamte Inhalt aus einer gesicherten Quelle stammen. Jede Seite, die auf eine HTTP-Ressource verlinkt, wird als unsicher gesehen und anschließend vom Browser als Sicherheitsrisiko gekennzeichnet.

Verschiedene Arten von Mixed Content
Es gibt faktisch zwei Arten Mixed Content. Die gefährlichere ist "Mixed Active Content" oder "Mixed Scripting". Diese liegt vor, wenn eine HTTPS-Website eine Skript-Datei über HTTP lädt. Das Laden eines Skripts über eine unsichere Verbindung macht den Sicherheitslevel der aktuellen Seite vollständig zunichte. Webbrowser blockieren diese Art von Mixed Content generell.

Die zweite und häufigere Art ist "Mixed Passive Content” oder "Mixed Display Content.” Dieser liegt vor, wenn eine HTTPS-Website beispielsweise ein Bild oder eine Audiodatei über eine HTTP-Verbindung lädt. Diese Art Content ist für eine Webseite ein geringeres Sicherheitsrisiko. Daher reagieren Webbrowser nicht so strikt wie bei "Active Mixed Content”. Allerdings gilt auch diese Art von Mixed Content gemeinhin als schlechte Sicherheitspraxis, die Probleme verursachen kann. Die wohl häufigste Ursache für alle Mixed-Content-Warnungen: Eine angeblich sichere Website ist so konfiguriert, dass sie Bilder aus einer ungesicherten Quelle verwendet.

Finden und Beheben von Mixed Content-Problemen
Der beste Weg, um Mixed Content-Probleme zu vermeiden ist es, alle Inhalte über HTTPS anstelle von HTTP anzubieten. Sie können ganz einfach nach Mixed Content suchen, indem Sie direkt über den Quellcode nach HTTP-Elementen suchen.

1.) Öffnen Sie den Quellcode einer Seite

2.) Suchen Sie mit einer Suchfunktion nach "src = http". Suchen Sie nach Ressourcen wie Bildern, JavaScript und Links, die über eine nicht sichere (HTTP) Verbindung aufgerufen werden.

Beheben von Mixed Content
Sobald Sie den betreffenden Content gefunden haben, der über HTTP statt HTTPS angeboten wird, ist das Problem ganz einfach durch Hinzufügen eines "s" zu den Links zu lösen - http:// wird zu https://.

Allerdings müssen Sie zunächst prüfen, ob die Ressource über eine HTTPS-Verbindung verfügbar ist. Dazu wird die HTTP-URL kopiert, in einen neuen Webbrowser eingefügt und HTTP zu HTTPS geändert. Wenn die Ressource (d.h. Bild, URL) über HTTPS verfügbar ist, kann man einfach im Quellcode HTTP zu HTTPS ändern.
(GMO GlobalSign: ra)

GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Cyberangriffspunkte aktueller Smart-Home-Geräte Passwörter: Tipps gegen das Vergessen