Google bringt experimentelles Sicherheitstool für Chrome

Google hat ein Open-Source-Werkzeug namens DOM Snitch veröffentlicht, das Software auf Websites daraufhin untersucht, ob die Ausführung im Browser gefährlich ist. Vorläufig handelt es sich um eine experimentelle Chrome-Erweiterung.

Das Tool ist nach der HTML- und XML-Schnittstelle Document Object Model und dem englischen Wort für Spitzel benannt. Es untersucht, ob Code Cross-Site Scripting oder andere Angriffe nutzen könnte, um Schadsoftware auf den Rechner des Anwenders zu schmuggeln.

„Einwickler und Tester können damit unsichere Praktiken in clientseitigem Code entdecken“, schreibt Radoslav Vasilev, ein Spezialist für Sicherheitstests bei Google in Zürich, in einem Blogeintrag. „Dazu haben wir eine Reihe von Verfahren eingebaut, um Javascript-Aufrufe wichtiger und potenziell gefährlicher Browser-Bestandteile abzufangen – etwa document.write oder HTMLElement.innerHTML. Fängt es einen solchen Aufruf ab, zeichnet DOM Snitch die URL des Dokuments und den kompletten Stacktrace auf. Damit lässt sich einschätzen, ob der Aufruf zu Cross-Site-Scripting, gemischten Inhalten, unsicheren Änderungen der Richtlinien für DOM-Zugriffe oder anderen clientseitigen Problemen führen kann.“

DOM Snitch ist nur einer von vielen Schritten Googles in jüngster Zeit, um die Sicherheit im Web zu verbessern. Natürlich nicht ohne Eigennutz – das Unternehmen glaubt an das Web als Applikationsplattform der Zukunft und hat seine komplette Strategie darauf ausgerichtet. Besonders bemerkenswert ist der jüngst gestartete Versuch, Chrome auf Basis von Native Client neu und sicherer als vorher aufzubauen. Zu Googles Sicherheitswerkzeugen zählen außerdem etwa Skipfish and Ratproxy, mit denen sich die Sicherheit von Webanwendungen prüfen lässt.

• Download: DOM Snitch