Same-Origin-Policy

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Die Same-Origin-Policy (SOP) ist ein Sicherheitskonzept, das clientseitigen Skriptsprachen wie JavaScript und ActionScript, aber auch Cascading Style Sheets untersagt, auf Objekte (zum Beispiel Grafiken) zuzugreifen, die von einer anderen Webseite stammen oder deren Speicherort nicht der Origin entspricht. Sie stellt ein wesentliches Sicherheitselement in allen modernen Browsern und Webanwendungen zum Schutz vor Angriffen dar.

Geschichte[Bearbeiten]

Die Same-Origin-Policy wurde 1996 von Netscape mit JavaScript in Netscape Navigator 2.0 eingeführt.[1] Sie wurde von anderen Herstellern in deren JavaScript-Implementierungen bzw. proprietären Skriptsprachen, etwa JScript, übernommen.

Hintergrund[Bearbeiten]

Den Hintergrund für die große Bedeutung der SOP bildet im Wesentlichen die Kombination aus zwei Tatsachen:

  • Skriptsprachen im Browser haben über das Document Object Model (DOM) direkten Zugriff auf die gesamte Kommunikation zwischen Browser und Web-Server. Dies beinhaltet sowohl das Auslesen als auch die Manipulation von Daten und betrifft neben dem Empfangen auch das Senden von Daten.
  • Das Vertrauensverhältnis zwischen Browser (bzw. Anwender) und verschiedenen Webseiten kann extrem unterschiedlich sein.

Daraus ergibt sich die Anforderung, dass keine Informationen aus einem Kontext (zum Beispiel der Verbindung des Browsers zu der Seite einer Bank) von einem Skript aus einem anderen Kontext zugreifbar oder manipulierbar sein darf. Um dies zu erreichen, wird beim Zugriff eines Skriptes auf ein Objekt einer Webseite die Herkunft (origin) von beiden verglichen.

Vergleich der Herkunft (origin)[Bearbeiten]

Als Herkunft wird dabei die Kombination aus Protokoll (zum Beispiel http oder https), Domain und Port in der URL definiert. Nur wenn alle drei gleich sind, gilt die SOP als erfüllt und der Skript-Zugriff ist möglich.

Beispiele[Bearbeiten]

Ein in der Datei http://www.example.com/dir/page.html eingebettetes Skript versucht, auf ein Element in den folgenden Seiten zuzugreifen:

angesprochene URL Ergebnis Grund
http://www.example.com/dir/page2.html ✔ Ja selbes Protokoll und Host
http://www.example.com/dir2/other.html ✔ Ja selbes Protokoll und Host
http://www.example.com:81/dir/other.html ✘ Nein selbes Protokoll und Host, aber anderer Port
https://www.example.com/dir/other.html ✘ Nein anderes Protokoll
http://en.example.com/dir/other.html ✘ Nein anderer Host
http://example.com/dir/other.html ✘ Nein anderer Host (genaue Übereinstimmung benötigt)
http://v2.www.example.com/dir/other.html ✘ Nein anderer Host (genaue Übereinstimmung benötigt)
http://www.example.com:80/dir/other.html N/A Port eindeutig. Hängt von der Implementierung des Browsers ab.

Eine Ausnahme bilden Subdomains: Über eine spezielle DOM-Eigenschaft kann zum Beispiel ein Skript aus der Domain www.example.com den Kontext auf eine übergeordnete Domain wie zum Beispiel example.com setzen und damit auf Objekte dieser Domain zugreifen.[2]

Grenzen und Probleme[Bearbeiten]

Die Grenzen der Same-Origin-Policy sind in zweierlei Hinsicht von Bedeutung:

  • Die SOP ist als Sicherheitsmechanismus nicht ausreichend wirksam. Viele aktuelle Angriffsmethoden wie DNS Rebinding und Cross-Site Request Forgery zielen erfolgreich darauf ab, die SOP zu umgehen.
  • Andererseits sind die von der SOP gezogenen Grenzen in vielen Fällen unerwünscht. Insbesondere mit dem Aufkommen von Ajax-basierenden Anwendungen und Mashups gibt es legitimerweise den Wunsch, die Grenzen der SOP zu überschreiten. Eine Möglichkeit bietet das Cross-Origin Resource Sharing, dies wird allerdings nicht von allen Webbrowsern unterstützt.

Einzelnachweise[Bearbeiten]

  1. Netscape Browser Archive. Abgerufen am 12. Oktober 2008.
  2. Mozilla: Same origin policy for JavaScript. Abgerufen am 12. Oktober 2008.

Quellen[Bearbeiten]