Mit dem HTTP-Security-Header HTTP-Strict-Transport-Security (HSTS) können sogenannte SSL-Stripping bzw. MITM-Angriffe verhindert werden.

Dem Webbrowser wird mittels dem HSTS-Header mitgeteilt, dass dieser die aufgerufene Webseite zukünftig für einen frei zu definierenden Zeitraum nur noch über eine verschlüsselte HTTPS-Verbindung abrufen soll. Dieses soll verhindern, dass ein Angreifer den Datenverkehr umleitet und manipuliert, so dass die angefragte Webseite anstatt über eine verschlüsselte über eine unverschlüsselte Verbindung übertragen wird und der Angreifer somit alle Daten im Klartext mitlesen kann.

In diesem Beitrag erfahrt ihr, wie HSTS für die eigene Webseite eingesetzt werden kann.

Weiterlesen

Der HTTP-Security-Header Content-Security-Policy (CSP) dient zum Erkennen von sowie dem Schutz vor schädlichen Cross-Site-Scripting (XSS), Clickjacking und anderen Code-Injection-Angriffen. Hierfür wird dem Webbrowser mitgeteilt, welche Daten (JavaScript, Grafiken, CSS etc.) von welchen Quellen geladen und ausgeführt werden dürfen. Des Weiteren besteht die Möglichkeit unverschlüsselte und somit unsichere Verbindungen via HTTP auf verschlüsselte HTTPS-Verbindungen zu upgraden bzw. generell zu blocken.

Wie ihr die Content-Security-Policy auf eurer Website bzw. in eurer Webandwendung einsetzt, erfahrt ihr in diesem Beitrag.

Weiterlesen

In diesem Beitrag stelle ich euch den HTTP-Security-Header Referrer-Policy vor. Mit diesem Security-Header lässt sich steuern, wie viel bzw. welche Referrer-Informationen von eurer Website oder Webanwendung weitergegeben werden. Hierdurch lässt sich der häufig ungewollte Abfluss von Informationen, der ggf. mit Sicherheits- sowie Datenschutzrisiken einhergeht, vermeiden.

Weiterlesen

Eine einfache und schnell umsetzbare Möglichkeit die Sicherheit eurer Website oder eurer Webandwendung zu erhöhen, ist der Einsatz von sogenannten HTTP-Security-Headern. Anstatt serverseitig greifen diese bereits clientseitig im Webbrowser und stellen somit eine weitere Sicherheitsebene dar. Hierdurch kann das Ausnutzen von potenziellen Schwachstellen durch böswillige Angriffe z.B. auf Basis von Clickjacking und Cross-Site-Scripting (XSS) erschwert, im besten Fall sogar verhindert werden.

Im Rahmen dieser Beitragsserie stelle ich euch 8 HTTP-Security-Header detailliert vor. Dabei wird für jeden Header aufgezeigt, welchen Nutzen dieser hat, wie der Header zu aktivieren ist und welche Einstellungsmöglichkeiten sowie Best Practices es gibt.

Weiterlesen

Für die verzeichnis- bzw. dateibasierte Verschlüsselung von Daten gibt es diverse Tools, wie z.B. CryFS, gocryptfs und securefs. Mit Ausnahme von Cryptomator bieten diese Tools allerdings keine grafische Bedienoberfläche.

Abhilfe schafft hier der Einsatz von SiriKali. Dieses Tool stellt eine einfache und vor allem einheitliche grafische Bedienoberfläche (GUI) für die o.g. Verschlüsselungstools bereit.

Im folgenden Beitrag findet ihr eine kurze Einführung in die Verwendung von SiriKali.

Weiterlesen