Eine Seite enthält gemischte Inhalte, wenn ihr anfängliches HTML über eine sichere HTTPS Verbindung geladen wird, andere Ressourcen (z. B. Bilder, Videos, Stylesheets und Skripts) jedoch über eine unsichere HTTP Verbindung. Der Name bezieht sich auf die Mischung aus HTTP- und HTTPS-Inhalten auf einer einzelnen Seite.
Wenn Unterressourcen über das unsichere HTTP-Protokoll angefordert werden, wird die Sicherheit der Seite geschwächt, da diese Anfragen anfällig für On-Path-Angriffe sind. Bei diesen Angriffen belauscht ein Angreifer eine Netzwerkverbindung und sieht oder ändert die Kommunikation zwischen zwei Parteien. Mithilfe dieser Ressourcen können Angreifer Nutzer verfolgen und Inhalte auf einer Website ersetzen. Bei aktiven gemischten Inhalten können sie die vollständige Kontrolle über die Seite übernehmen, nicht nur über die unsicheren Ressourcen.
Viele Browser zeigen zwar Warnungen zu gemischten Inhalten an, aber oft ist es zu spät: Die unsicheren Anfragen wurden bereits ausgeführt und die Sicherheit der Seite ist gefährdet.
Die meisten Browser blockieren gemischte Inhalte aus Sicherheitsgründen. Ändern Sie unsichere Inhaltsanfragen in sichere Inhaltsanfragen, damit Ihre Seite weiterhin korrekt geladen wird.
Die beiden Arten von gemischten Inhalten
Es gibt zwei Arten von gemischten Inhalten: aktive und passive.
Passive gemischte Inhalte wie Bilder, Videos und Audio interagieren nicht mit dem Rest der Seite. Ein Man-in-the-Middle-Angriff ist daher in seinen Möglichkeiten eingeschränkt, wenn er diese Inhalte abfängt oder ändert.
Aktive gemischte Inhalte interagieren mit der gesamten Seite. Dazu gehören Skripts, Stylesheets, iFrames und anderer Code, den der Browser herunterladen und ausführen kann. Bei Angriffen auf aktive gemischte Inhalte kann ein Angreifer fast alles mit der Seite tun.
Passive gemischte Inhalte
Passive gemischte Inhalte stellen ein geringeres Risiko dar als aktive gemischte Inhalte, aber das Risiko ist dennoch vorhanden. Ein Angreifer kann beispielsweise Folgendes tun:
- HTTP-Anfragen für Bilder auf Ihrer Website abfangen und diese Bilder austauschen oder ersetzen.
- Die Bilder auf Schaltflächen ersetzen, damit Nutzer sie verwechseln und beispielsweise Inhalte löschen, die sie speichern wollten.
- Ihre Website verunfigen, indem er Ihre Bilder durch pornografische Inhalte ersetzt.
- Ihre Produktbilder durch Anzeigen für etwas anderes ersetzen.
Auch wenn der Angreifer die Inhalte Ihrer Website nicht ändert, kann er Nutzer über Anfragen zu gemischten Inhalten verfolgen. Er kann auch anhand von Bildern oder anderen Ressourcen, die der Browser lädt, erkennen, welche Seiten ein Nutzer besucht und welche Produkte er sich ansieht.
Wenn passive gemischte Inhalte vorhanden sind, zeigen die meisten Browser in der Adressleiste an, dass die Seite nicht sicher ist, auch wenn die Seite selbst über HTTPS geladen wird.
Bis vor Kurzem wurden passive gemischte Inhalte in allen Browsern geladen, da das Blockieren viele Websites beschädigt hätte. Das ändert sich jetzt. Daher ist es wichtig, alle Instanzen von gemischten Inhalten auf Ihrer Website zu aktualisieren.
In einigen Fällen aktualisiert Chrome passive gemischte Inhalte automatisch. Wenn ein Asset also als HTTP hartcodiert wurde, aber über HTTPS verfügbar ist, lädt der Browser die HTTPS-Version. Wenn keine sichere Version vorhanden ist, wird das Asset nicht geladen.
Wenn Chrome gemischte Inhalte erkennt oder passive gemischte Inhalte automatisch aktualisiert, werden detaillierte Meldungen auf dem Tab Probleme in den Entwicklertools protokolliert, um Sie bei der Behebung des Problems zu unterstützen.
Aktive gemischte Inhalte
Aktive gemischte Inhalte stellen eine größere Bedrohung dar als passive gemischte Inhalte. Ein Angreifer kann aktive Inhalte abfangen und neu schreiben, um die vollständige Kontrolle über Ihre Seite oder sogar Ihre gesamte Website zu übernehmen. So kann er jeden Aspekt der Seite ändern, einschließlich der Anzeige anderer Inhalte, des Diebstahls von Nutzerpasswörtern oder anderen Anmeldedaten, des Diebstahls von Nutzersitzungscookies oder der Weiterleitung des Nutzers zu einer ganz anderen Website.
Da die Risiken aktiver gemischter Inhalte so hoch sind, blockieren die meisten Browser diese Art von Inhalten standardmäßig, um Nutzer zu schützen. Das Verhalten variiert jedoch je nach Browseranbieter und ‑version. In Chrome können Sie blockierte Inhalte auf dem Tab Probleme in den Entwicklertools ansehen.
Die Spezifikation für gemischte Inhalte
Browser folgen der Spezifikation für gemischte Inhalte, in der die Kategorien optional blockierbare Inhalte und blockierbare Inhalte definiert sind.
Eine Ressource gilt als optional blockierbarer Inhalt, „wenn das Risiko, ihre Verwendung als gemischter Inhalt zuzulassen, geringer ist als das Risiko, dass dadurch erhebliche Teile des Webs beschädigt werden“. Dies ist eine Teilmenge der passiven gemischten Inhalte.
Alle gemischten Inhalte, die nicht optional blockierbar sind, gelten als blockierbar, und sollten vom Browser blockiert werden.
In den letzten Jahren hat die Verwendung von HTTPS erheblich zugenommen, und ist zum klaren Standard im Web geworden. Daher ist es für Browser jetzt einfacher, alle gemischten Inhalte zu blockieren, auch die Unterressourcentypen, die in der Spezifikation für gemischte Inhalte als optional blockierbar definiert sind.
Ältere Browser
Einige Besucher verwenden möglicherweise ältere Browser. Verschiedene Browserversionen von verschiedenen Anbietern behandeln gemischte Inhalte unterschiedlich. Im schlimmsten Fall blockieren ältere Browser und Versionen überhaupt keine gemischten Inhalte, was für den Nutzer unsicher ist.
Wenn Sie alle Ihre Ressourcen sicher laden und Probleme mit gemischten Inhalten beheben, sorgen Sie dafür, dass Ihre Inhalte sichtbar sind, und schützen Nutzer vor gefährlichen Inhalten, die von älteren Browsern möglicherweise nicht blockiert werden.