DE102004030263A1

DE102004030263A1 - Schutz von Webbrowsern gegen Visual Spoofing/Phishing

Info

Publication number: DE102004030263A1
Application number: DE102004030263A
Authority: DE
Inventors: Jörg Dr. Schwenk; Sebastian Gajek
Original assignee: Individual
Current assignee: Individual
Priority date: 2004-06-23
Filing date: 2004-06-23
Publication date: 2006-01-19

Abstract

In der vorliegenden Erfindung wird das Problem adressiert, dass mithilfe von HTML, Bilddateien und Javascript wichtige Bedienelemente eines WWW-Browsers nachgeahmt werden und der Nutzer so über den tatsächlichen Status seiner Internet-Verbindung getäuscht werden kann. DOLLAR A Dies kann erfindungsgemäß dadurch verhindert werden, dass individuell unterschiedliche, visuell sichtbare Informationen in die standardmäßig vorhandenen Bedienleisten eingefügt werden (vgl. Abbildung). DOLLAR A Bei einem Täuschungsversuch fehlen diese individuellen visuellen Informationen, und der Nutzer erkennt, dass ein Angriff vorliegt.

Description

Zusammenfassung
In der vorliegenden Erfindung wird das Problem adressiert, dass mit Hilfe von HTML, Bilddateien und Javascript wichtige Bedienelemente eines WWW-Browsers nachgeahmt werden und der Nutzer so über den tatsächlichen Status seiner Internet-Verbindung getäuscht werden kann.
Dies kann erfindungsgemäß dadurch verhindert werden, dass individuell unterschiedliche, visuell sichtbare Informationen in die standardmäßig vorhandenen Bedienleisten eingefügt werden (vgl. 4).
Bei einem Täuschungsversuch fehlen diese individuellen visuellen Informationen, und der Nutzer erkennt, dass ein Angriff vorliegt.

Die Sprache Javascript ist eine Scriptsprache, die in den HTML-Code einer Webseite eingebettet wird und die im Client-Browser ausgeführt wird.

Mit Hilfe von Javascript können Bestandteile des HTML-Codes verändert werden (dynamisches HTML), aber darüber hinaus können über das Top-Level-Objekt „Window" auch Browserfenster geschlossen und neue Fenster mit neuen Eigenschaften geöffnet werden. Zu den Eigenschaften zählen u. a. die Sichtbarkeit oder Unsichtbarkeit der Menüleiste („menuebar"), der Adresszeile („locationbar"), der Statuszeile („statusbar") und der Werkzeugleiste („toolbar"). (Quelle: selfhtml.teamone.de.) Javascript ist in seiner Funktionalität eingeschränkt und kann lediglich auf Browserfenster zugreifen und deren Aussehen verändern. Daher kann man mit Javascript keine klassische Schadsoftware wie Viren, Würmer oder Trojanische Pferde programmieren, und Javascript-Code wird aus diesem Grund weder von Firewalls gefiltert noch von Anti-Viren-Programmen untersucht. Dies wäre auch nicht möglich, da die gesamte Funktionalität von Javascript von Webdesignern bewusst und ganz legal zur Gestaltung von Browserfenstern genutzt wird.

Ein Sicherheitsrisiko stellt Javascript trotzdem dar, weil Sicherheitsmerkmale des Browsers nachgeahmt und der Nutzer über den tatsächlichen Status getäuscht werden kann. Da hier das visuelle Erscheinungsbild des Browsers gefälscht wird, wird dieser Angriff im Folgenden als „Visual Spoofing" bezeichnet. Erste Fälle wurden unter www.antiphishing.org dokumentiert. Auch die Dokumentation zum Service Pack 2 von Microsoft für Windows XP enthält deutliche Hinweise auf diese Art von Angriffen. Die hier vorgeschlagenen Gegenmaßnahmen sind aber in diesem Service Pack 2 nicht enthalten.

Problemstellung

Da menuebar, locationbar, statusbar und toolbar bei Browsern des gleichen Anbieters (Microsoft IE, Netscape Navigator) und der gleichen Versionsnummer gleich aussehen, und Typ und Version des Browsers beim http-Protokoll mit an den Server übermittelt werden, kann ein Angreifer mit Hilfe von Javascript ein neues Fenster öffnen, bei dem die genannten Bestandteile des Browserfensters unsichtbar gemacht und durch Nachahmungen ersetzt wurden.

Diese Nachahmungen bestehen in der Regel aus HTML-Code mit einem Hintergrundbild, das die Menü-, Adress-, Status- und Werkzeugleiste imitiert, und Javascript-Code, der die dynamischen Aspekte dieser Leisten mehr oder weniger komplett nachbildet.

So ist es z.B. möglich, die Adressleiste durch ein HTML-Formular ähnlichen Aussehens zu ersetzen, bei dem jede Anfrage nach einer eingetippten URL zunächst an den http-Server eines Angreifers gesendet wird, der dann entscheiden kann, ob die angeforderte Seite einen Angriff lohnt (z.B. Homebanking, Webmail-Login) oder ob die Seite in Proxy-Manier weitergeleitet wird.

Diese Art von Angriffen können nicht durch herkömmliche Methoden der Internetsicherheit abgefangen werden, da z.B. dem Nutzer auch leicht über die Statusleiste eine nicht-existente SSL-Verbindung vorgegaukelt werden kann, und sie verbreiten sich zur Zeit rasch im Internet.

Lösung
Der oben beschriebene Angriff auf die Benutzeroberfläche von Webbrowsern wie z.B. dem Internet-Explorer ist nur möglich, weil die Bedienelemente des Browsers in der Regel gleich aussehen.
Dies kann zwar in begrenztem Rahmen dadurch variiert werden, dass das Aussehen des Browsers durch von Dritten angebotene Veränderungen („Skins") der grafischen Nutzeroberfläche (GUI) verändert werden kann, oder dass die Reihenfolge der Menüleisten vom Nutzer manuell verändert wird. Dieses Konzept bewirkt aber nur eine Segmentierung der Browser in verschiedene GUI-Klassen, die jede für sich durch einen Visual Spoofing-Angriff bedroht werden können.
Das hier beschriebene Verfahren geht darüber hinaus, indem es die GUI individuell für jeden Nutzer modifiziert. Ein Angriff ist nicht mehr möglich.
Zu diesem Zweck wird das „normale" Aussehen des Browsers, also das Aussehen aller Bedienelemente, die der Nutzer normalerweise beim Surfen im Internet benutzt, lokal verändert. Informationen über diese lokalen, individuellen Änderungen werden nicht im Internet übermittelt. (Dies steht z.B. im Gegensatz zu der Tatsache, dass Typ und Version des verwendeten Internet-Browsers in der Regel genauestens an den Webserver übermittelt werden, damit dieser die Darstellung der Webseite an den Browser anpassen kann.) Dieser Veränderungen sollten so markant sein, dass der Nutzer auf ihr Fehlen auch dann aufmerksam wird, wenn er nicht bewusst darauf achtet.
Solche Veränderungen können z.B. dadurch erzielt werden, dass in

• die Menüleiste („menuebar")
• die Statusleiste („statusbar")
• die Adressleiste und/oder („addressbar")
• die Werkzeugleiste („toolbar")

Eine andere Möglichkeit besteht darin, eine weitere persönlich zusammengestellte Leiste zu den Standardleisten des Browsers hinzuzufügen, die wichtige Informationen zum Sicherheitsstatus der Seite gezielt zusammenfasst.
Bei diesen Lösungen bleiben die grafischen Möglichkeiten und das Objektmodell von Javascript unangetastet. Die vier genannten Elemente können weiterhin ausgeblendet werden. Allerdings wird der Nutzer sofort erkennen, falls diese Elemente durch Nachahmungen ersetzt wurden, da diese ein völlig anderes Aussehen haben. - zusätzliche Funktionalität
Prototypische Realisierung
Beide vorgeschlagenen Konzepte wurden prototypisch realisiert. Diese Realisierung wurde in einer adaptiven Leiste zusammengefasst (SSL Bar). Sie wird als COM Komponente an den Internet Explorer gebunden, so dass beim Aufruf jeder einzelnen Internet Explorer Instanz automatisch die SSL Bar (im Hintergrund) ausgeführt und durch einen Button oder eine Tastenkombination aktiviert werden kann. Letzteres hat den Vorteil, dass die SSL Bar auch bei Pop Up Fenstern, d.h. Fenstern, die über keine Kontrollstrukturen verfügen, ausgeführt werden kann.
Sie fasst primär den Status des Explorers zusammen (Konzept 1):

• Auflistung der eingeschalteten Leisten auf mit der Option der Aktivierung
• Aktuelle Web Domäne
• Aktuell verwendendes Protokoll
• Zusammenfassung aller downgeloadeten Dateien (Links Button), die notwendig für den Aufbau des Dokumentes mit Angabe der Referenz und des Protokolls waren
• Zusammenfassung der SSL Zertifikatinformationen (SSL Button)

Die aufgelisteten Merkmale sollen direkt aus den Paketinformationen ausgelesen werden, um ein Maximum an Echtheit zu garantieren. Divergieren die aus den Paketen gewonnen Informationen und die in den drei relevanten Leisten präsentierten Angaben, so ist dies ein Hinweis auf einen Visual Spoofing Angriff.
Unter Customize wird ein Dialogfenster geöffnet, das Möglichkeiten zur Personalisierung (Konzept 2) bietet. 6 zeigt das Ergebnis eines individualisierten Browsers. Die drei Leisten werden durch ein Hintergrundmotiv authentifiziert. Es ist ein frei wählbares Bitmap. Auflösung und Größe sind irrelevant, weil das Bild automatisch kaskadiert wird. Das Internet Logo in der Menüleiste wird durch ein 22 × 22 Pixel großes Logo ersetzt. Im Gegensatz zum Hintergrundmotiv ist es bei jeder Fenstergröße vollständig zu sehen. Der persönlich festgelegte Text in der Statuszeile ist immer dann sichtbar, wenn über das Dokument gescrollt wird. Dadurch werden aber die Hyperlinks eines Dokumentes überblendet.
Der Pop Up Blocker wird durch den Button Block PopUps aktiviert bzw. deaktiviert. Beim Versuch ein Pop Up zu öffnen, erfolgt ein Ton. Das Pop Up wird nicht geöffnet.

Claims

Verfahren zur Personalisierung eines Browsers oder anderes Webinterfaces, dadurch gekennzeichnet, dass in die Bedien- und Anzeigeelemente ein oder mehrere individuelle textuelle oder grafische Informationen mit eingefügt werden, oder dass zusätzliche (individuelle) Bedien- oder Anzeigeelemente eingefügt werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass diese Informationen nur lokal auf dem Rechner des Nutzers vorliegen und nicht von einem Server aus abgefragt werden können.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass diese Information in die Menüleiste („menuebar"), die Adresszeile („locationbar"), die Statuszeile („statusbar") oder die Werkzeugleiste („toolbar") eines Browsers eingefügt werden.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass diese Information in das Webinterface eines Identity Management-Systems (WS Federation, Microsoft Passport, ...) eingefügt werden.
Verfahren nach einem der oben genannten Ansprüche, dadurch gekennzeichnet, dass die Auswahl der einzufügenden Informationen durch einen interaktiven Dialog mit dem Nutzer geschieht.
Verfahren nach einem der oben genannten Ansprüche, dadurch gekennzeichnet, dass die eingefügte Information mit zusätzlicher Funktionalität hinterlegt wird.