Sicherheitsheader sind eine Teilmenge von HTTP-Antwortheadern, die von einem Webserver festgelegt werden können, die jeweils eine Sicherheitskontrolle in Browsern anwenden. HTTP-Header sind eine Form von Metadaten, die mit Webanforderungen und -antworten gesendet werden. Der Sicherheitsheader „X-Content-Type-Options“ verhindert, dass Browser MIME-Sniffing durchführen.
Hinweis: HTTP-Header sind nicht exklusiv für HTTP und werden auch in HTTPS verwendet.
Was ist MIME-Sniffing?
Wenn Daten über das Web gesendet werden, ist eines der enthaltenen Metadaten ein MIME-Typ. Multipurpose Internet Mail Extensions oder MIME-Typen sind ein Standard, der verwendet wird, um den Datentyp zu definieren, den eine Datei enthält, der angibt, wie die Datei behandelt werden soll. Normalerweise besteht der MIME-Typ aus einem Typ und einem Untertyp mit einem optionalen Parameter und Wert. Eine UTF-8-Textdatei hätte beispielsweise den MIME-Typ „text/plain;charset=UTF-8“. In diesem Beispiel ist der Typ „text“, der Untertyp ist „plain“, der Parameter ist „charset“ und der Wert ist „UTF-8“.
Um die falsche Bezeichnung und Handhabung von Dateien zu verhindern, führen Webserver normalerweise MIME-Sniffing durch. Dies ist ein Vorgang, bei dem der explizit angegebene MIME-Typ ignoriert und stattdessen der Dateianfang analysiert wird. Die meisten Dateitypen enthalten Header-Sequenzen, die angeben, um welchen Dateityp es sich handelt. Meistens sind die MIME-Typen korrekt und das Sniffen der Datei macht keinen Unterschied. Wenn es jedoch einen Unterschied gibt, verwenden Webserver den gesnifften Dateityp, um zu bestimmen, wie die Datei zu behandeln ist, und nicht den deklarierten MIME-Typ.
Das Problem tritt auf, wenn es einem Angreifer gelingt, eine Datei wie ein PNG-Bild hochzuladen, die Datei jedoch in Wirklichkeit etwas anderes wie JavaScript-Code ist. Bei ähnlichen Dateitypen, wie z. B. zwei Texttypen, kann dies kein allzu großes Problem darstellen. Ernsthaft wird es jedoch, wenn stattdessen eine vollkommen harmlose Datei ausgeführt werden kann.
Was macht X-Content-Type-Optionen?
Der X-Content-Type-Options-Header hat nur einen möglichen Wert „X-Content-Type-Options: nosniff“. Durch die Aktivierung wird der Browser des Benutzers darüber informiert, dass er kein MIME-Typ-Sniffing durchführen darf und sich stattdessen auf den explizit deklarierten Wert verlässt. Ohne diese Einstellung würde die JavaScript-Datei ausgeführt, wenn eine bösartige JavaScript-Datei als Bild wie PNG getarnt wurde. Wenn X-Content-Type-Optionen aktiviert sind, wird die Datei als Bild behandelt, das nicht geladen werden kann, da die Datei kein gültiges Bildformat hat.
X-Content-Type-Options ist auf einer Website, die ausschließlich Ressourcen von Erstanbietern verwendet, nicht unbedingt erforderlich, da keine Möglichkeit besteht, dass eine bösartige Datei versehentlich bereitgestellt wird. Wenn eine Website Inhalte von Drittanbietern wie externe oder von Benutzern eingereichte Ressourcen verwendet, bietet X-Content-Type-Options Schutz vor dieser Art von Angriff.
Chrome zeigt Ihnen standardmäßig nicht die vollständige URL an. Dieses Detail interessiert Sie vielleicht nicht so sehr, aber wenn Sie aus irgendeinem Grund die Anzeige der vollständigen URL benötigen, finden Sie hier detaillierte Anweisungen, wie Sie Google Chrome dazu bringen, die vollständige URL in der Adressleiste anzuzeigen.
Reddit hat im Januar 2024 sein Design erneut geändert. Das neue Design ist für Benutzer von Desktop-Browsern sichtbar und schränkt den Haupt-Feed ein, während gleichzeitig Links bereitgestellt werden
Das Eingeben Ihres Lieblingszitats aus Ihrem Buch auf Facebook ist zeitaufwändig und voller Fehler. Erfahren Sie, wie Sie mit Google Lens Text aus Büchern auf Ihre Geräte kopieren.
Wenn Sie mit Chrome arbeiten, können Sie manchmal nicht auf bestimmte Websites zugreifen und erhalten die Fehlermeldung „Server-DNS-Adresse konnte in Chrome nicht gefunden werden“. Hier erfahren Sie, wie Sie das Problem beheben können.
Erinnerungen waren schon immer das größte Highlight von Google Home. Sie machen unser Leben sicherlich einfacher. Lassen Sie uns einen kurzen Überblick darüber geben, wie Sie Erinnerungen auf Google Home erstellen, damit Sie wichtige Besorgungen nie verpassen.
So ändern Sie Ihr Passwort für den Streaming-Videodienst Netflix mit Ihrem bevorzugten Browser oder Ihrer Android-App.
Erhalten Sie die Meldung „Etwas ist schiefgelaufen?“ Beim Zugriff auf Twitter in Google Chrome auf Ihrem Computer tritt die Fehlermeldung „Versuchen Sie es neu zu laden“ auf.
Beim Versuch, sich bei Ihrem Snapchat-Konto anzumelden, werden Sie mit einer Fehlermeldung und einem C14A-Code begrüßt. Möglicherweise sind die Server der Plattform ausgefallen, was überall zu Anmeldeproblemen führen kann.
Die Idee, Videospiele zu entwickeln, gefällt vielen. Der eigentliche Prozess ist jedoch entmutigend, insbesondere wenn man ein Programmieranfänger ist.
Vielleicht möchten Sie Ihre YouTube-Videos auf Instagram teilen, um Ihre Marke auszubauen und Engagement zu generieren. Aber wie teilen Sie YouTube-Videos in Ihrer Instagram-Story? Es gibt keine Möglichkeit, ein YouTube-Video direkt in Ihrer Instagram-Story zu teilen, aber es gibt eine Möglichkeit, dies zu umgehen.
