Google Chrome erhält Schutz vor Drive-by-Downloads

Google-Entwickler arbeiten derzeit an einer neuen Sicherheitsfunktion für Chrome sowie für die Open-Source-Version des Browsers Chromium. Sie soll Nutzer vor sogenannten Drive-by-Downloads schützen, also verhindern, dass nur durch den Aufruf einer Website im Hintergrund und ohne Wissen des Nutzers eine schädliche Datei heruntergeladen wird.

Die Funktion kann bereits in der aktuellen Canary-Version von Chrome ausprobiert werden, die sich aber nicht für den produktiven Einsatz eignet. Die erste stabile Version mit dem Schutz vor Drive-by-Downloads soll Chrome 73 sein und ist derzeit für März oder April geplant.

Allerdings gibt es auch Drive-by-Downloads, die nicht als schädlich angesehen werden, da einige URLs tatsächlich nur dafür gedacht sind, einen Dateidownload auszulösen. Bei Downloads, die von versteckten iFrames aus gestartet werden, ist indes fast immer von einer Gefahr auszugehen. Solche iFrames können durch Hacker zu einer legitimen Website hinzugefügt worden sein. Es ist aber auch möglich, dass iFrames Werbung anzeigen sollen, die wiederum Code für den Drive-by-Download enthält.

„Wir planen, Downloads von iFrames in einer Sandbox zu verhindern, denen eine Benutzergeste fehlt, und diese Einschränkung könnte über ein Schlüsselwort ‚allow-downloads-without-user-activation‘ aufgehoben werden, falls es in der Sandbox-Attributliste vorhanden ist“, heißt es in einem von Google veröffentlichten Dokument, das die Implementierung der Funktion beschreibt.

Die Schutzfunktion soll mit einer Ausnahme in alle Versionen von Google Chrome Einzug halten. Nutzer von Chrome für iOS müssen darauf verzichten, weil Apple unter iOS Drittanbietern die Nutzung einer eigenen Browserengine untersagt – Chrome für iOS basiert also nicht auf Chromium, sondern auf der Safari-Engine WebKit, der eine solche Schutzfunktion fehlt.

Ein Schutz vor Drive-by-Downloads an sich ist nicht neu. Internet Explorer und Firefox bieten dies ihren Nutzern schon länger, mindestens seit 2015. Es ist zudem davon auszugehen, dass andere, auf Chromium basierte Browser wie Opera, Vivaldi, Brave und bald auch Microsoft Edge die Funktionen übernehmen werden. Das dürfte künftig bestimmte Formen von Malvertising-Kampagnen deutlich erschweren. Laut Google lösen derzeit rund 0,002117 Prozent aller in Chrome geladenen Websites einen Drive-by-Download aus.

In einer Situation wird die neue Sicherheitsfunktion jedoch wirkungslos sein. Sobald Hacker die Kontrolle über eine Website haben, sind sie selbstverständlich auch in der Lage, deren Code anzupassen. In dem Fall könnten sie das von den Chrome-Entwicklern geplante „Schlüsselwort“ einfügen, also ein iFrame-Attribut, um den Browser anzuweisen, den Schutz vor Drive-by-Downloads für das Rendering eines bestimmten iFrame abzuschalten.