G 5.165 Unberechtigter Zugriff auf oder Manipulation von Daten bei Webanwendungen
Wenn ein Benutzer eine Webanwendung bedient, werden Daten übertragen und üblicherweise sowohl client- als auch serverseitig gespeichert ( z. B. in Protokolldateien, Browser- und Proxy-Cache). Wenn diese Daten bei der Übertragung und Speicherung nicht angemessen geschützt sind, können sie unbefugt durch Dritte eingesehen oder manipuliert werden.
Aufgrund der unterschiedlichen Übertragungswege und Speicherorte der Daten bei Webanwendungen ergeben sich besondere Gefährdungen, die anhand nachfolgender Beispiele erläutert werden:
- Zugangs- und Formulardaten, die ein Benutzer im Web-Browser eingibt, werden im Browser-Cache zwischengespeichert. Kann ein Angreifer auf den Rechner zugreifen, dann kann er den Browser-Cache und somit die schützenswerten Daten auslesen, da der Browser-Cache üblicherweise nicht gesondert geschützt ist (z. B. durch Verschlüsselung).
- Werden GET-Parameter in der URL übertragen, können diese auf dem Weg von der Webanwendung zum Client von den dazwischenliegenden IT Systemen (z. B. Proxy-Server) in deren Protokolldateien gespeichert werden. Proxy-Server protokollieren üblicherweise die aufrufende URL inklusive übertragener GET-Parameter. Personen mit Zugriff die Protokolle können daher die Daten in den GET-Parametern lesen. Werden von der Webanwendung schützenswerte Daten in GET-Parametern übermittelt, kann demzufolge der Schutz der Daten nicht gewährleistet werden. Darüber hinaus können vertrauliche Daten in GET-Parametern beim Versenden eines Links oder durch Einsicht der Browser-Historie offengelegt werden.
- Müssen Sitzungsdaten einer Webanwendung auf dem Client hinterlegt werden, geschieht dies häufig über eine Speicherung in Cookies. Hierbei kann es sich um schützenswerte Daten wie die SessionID handeln. Erlangt ein Angreifer Zugriff auf den Client (z. B. durch das clientseitige Ausführen von Schadcode), so ist es möglich, den Inhalt von Cookies unbefugt auszulesen oder zu verwenden und unbemerkt an den Angreifer zu versenden (siehe auch G 5.170 Cross-Site Scripting (XSS) ).