Categories: BrowserWorkspace

Google Chrome erhält Schutz vor Drive-by-Downloads

Google-Entwickler arbeiten derzeit an einer neuen Sicherheitsfunktion für Chrome sowie für die Open-Source-Version des Browsers Chromium. Sie soll Nutzer vor sogenannten Drive-by-Downloads schützen, also verhindern, dass nur durch den Aufruf einer Website im Hintergrund und ohne Wissen des Nutzers eine schädliche Datei heruntergeladen wird.

Die Funktion kann bereits in der aktuellen Canary-Version von Chrome ausprobiert werden, die sich aber nicht für den produktiven Einsatz eignet. Die erste stabile Version mit dem Schutz vor Drive-by-Downloads soll Chrome 73 sein und ist derzeit für März oder April geplant.

Allerdings gibt es auch Drive-by-Downloads, die nicht als schädlich angesehen werden, da einige URLs tatsächlich nur dafür gedacht sind, einen Dateidownload auszulösen. Bei Downloads, die von versteckten iFrames aus gestartet werden, ist indes fast immer von einer Gefahr auszugehen. Solche iFrames können durch Hacker zu einer legitimen Website hinzugefügt worden sein. Es ist aber auch möglich, dass iFrames Werbung anzeigen sollen, die wiederum Code für den Drive-by-Download enthält.

„Wir planen, Downloads von iFrames in einer Sandbox zu verhindern, denen eine Benutzergeste fehlt, und diese Einschränkung könnte über ein Schlüsselwort ‚allow-downloads-without-user-activation‘ aufgehoben werden, falls es in der Sandbox-Attributliste vorhanden ist“, heißt es in einem von Google veröffentlichten Dokument, das die Implementierung der Funktion beschreibt.

Die Schutzfunktion soll mit einer Ausnahme in alle Versionen von Google Chrome Einzug halten. Nutzer von Chrome für iOS müssen darauf verzichten, weil Apple unter iOS Drittanbietern die Nutzung einer eigenen Browserengine untersagt – Chrome für iOS basiert also nicht auf Chromium, sondern auf der Safari-Engine WebKit, der eine solche Schutzfunktion fehlt.

Ein Schutz vor Drive-by-Downloads an sich ist nicht neu. Internet Explorer und Firefox bieten dies ihren Nutzern schon länger, mindestens seit 2015. Es ist zudem davon auszugehen, dass andere, auf Chromium basierte Browser wie Opera, Vivaldi, Brave und bald auch Microsoft Edge die Funktionen übernehmen werden. Das dürfte künftig bestimmte Formen von Malvertising-Kampagnen deutlich erschweren. Laut Google lösen derzeit rund 0,002117 Prozent aller in Chrome geladenen Websites einen Drive-by-Download aus.

In einer Situation wird die neue Sicherheitsfunktion jedoch wirkungslos sein. Sobald Hacker die Kontrolle über eine Website haben, sind sie selbstverständlich auch in der Lage, deren Code anzupassen. In dem Fall könnten sie das von den Chrome-Entwicklern geplante „Schlüsselwort“ einfügen, also ein iFrame-Attribut, um den Browser anzuweisen, den Schutz vor Drive-by-Downloads für das Rendering eines bestimmten iFrame abzuschalten.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Knöllchen-Schock per SMS

In den USA häufen sich Fälle von Phishing-Angriffen, bei denen Betrüger gefälschte SMS im Namen…

12 Minuten ago

Streit mit Google: US-Regierung beharrt auf Verkauf von Chrome

Das Justizministerium wirft Google Monopolpraktiken im Bereich Suche und Online-Werbung vor. Ein Verkauf von Chrome…

3 Stunden ago

Digitale Souveränität: Provider entwickeln API-Standard

Lösung soll den Aufbau des EuroStacks unterstützen, der Europas souveräne digitale Infrastruktur werden soll.

7 Stunden ago

FlexiSpot als eine der „The Major German Brands 2025“ ausgezeichnet

Auszeichnung unterstreicht das Engagement von FlexiSpot für nachhaltiges und ergonomisches Design sowie seinen Beitrag zur…

2 Tagen ago

Test: Ergonomischer Bürostuhl Doro C300 von SIHOO punktet durch Tracking der Bewegungen

Der Büro- und Gamerstuhl erkennt Gewicht der Nutzer und unterstützt Lendenwirbel und Nacken in jeder…

4 Tagen ago

Bericht: Faltbares iPhone kommt frühestens 2026

Der Analyst Ming-Chi Kuo geht von einem Preis zwischen 2000 und 2500 Dollar aus. Trotzdem…

4 Tagen ago