Was ist Cookie Poisoning?
Cookie Poisoning – auch als Session Hijacking bezeichnet – ist eine Angriffsstrategie, bei der ein Angreifer ein eigentlich gültiges Cookie, das an einen Server zurückgesendet wird, manipuliert, fälscht, übernimmt oder anderweitig „vergiftet“, um Daten zu stehlen, Sicherheitsmaßnahmen zu umgehen oder beides.
Was ist Cookie Poisoning?
In der Informatik ist ein Cookie ein Datensatz, der einer bestimmten Website und Benutzersitzung zugeordnet ist und unter anderem Informationen zu den Interessen oder zur Identität des Benutzers enthält. Er wird im Browser des Benutzers erstellt und gespeichert. Websites und Server können Cookies verwenden, um Nutzungstrends zu verfolgen, etwa welche Seiten der Website am häufigsten aufgerufen werden, sowie um das Benutzererlebnis individuell anzupassen und zu optimieren. Dazu können Inhalte auf Grundlage früherer Besuche des Benutzers priorisiert, Artikel in einem Online-Warenkorb nachverfolgt oder personenbezogene Daten automatisch ausgefüllt werden.
Angreifer können Cookies abfangen, bevor sie an den Server zurückgesendet werden, um daraus Informationen auszulesen oder sie zu verändern. Gefälschte Cookies können auch von Grund auf neu erstellt werden, um sich als ein Benutzer auszugeben und auf weitere Benutzerdaten zuzugreifen. Der Begriff „Cookie Poisoning“ ist daher irreführend, da er häufig nicht nur für veränderte („vergiftete“) Cookies verwendet wird, sondern auch für verschiedene Methoden, mit denen Daten aus gültigen Cookies gestohlen oder diese anderweitig missbräuchlich verwendet werden.
Warum ist Cookie-Poisoning wichtig?
Cookies werden häufig zur Authentifizierung und zur Erfassung des Anmeldestatus eines Benutzers verwendet. Das bedeutet, dass sie Informationen enthalten, die für unbefugte Zugriffe genutzt werden können. Sie können auch andere vertrauliche Daten enthalten, die von einem Benutzer eingegeben wurden, darunter Finanzinformationen. Cookie-Poisoning ist für Angreifer relativ einfach. Sie können ein manipuliertes Cookie verwenden, um Benutzeridentitäten für Betrugszwecke zu stehlen oder sich unbefugten Zugriff auf den Webserver zu verschaffen und weitere Angriffe durchzuführen.
Wie funktioniert Cookie-Poisoning?
Cookies (oder andere Sitzungstoken), die nicht sicher generiert oder übertragen werden, sind anfällig für Übernahmen oder Manipulationen. Cross-Site-Scripting (XSS) ist eine gängige Methode zum Stehlen von Cookies. Es gibt jedoch noch weitere Methoden, mit denen sich unbefugter Zugriff auf Cookies erlangen lässt, darunter Packet-Sniffing und Brute-Force-Angriffe. Da Cookie Poisoning ein Sammelbegriff für zahlreiche böswillige Aktivitäten im Zusammenhang mit Cookies ist, lässt sich ein Cookie-Poisoning-Exploit unter anderem auch als Man-in-the-Middle-Angriff oder als Sitzungsübernahme, Sitzungsfixierung oder Sitzungsfälschung bezeichnen.
Wie verhindert F5 Cookie-Poisoning?
Eine durchdachte Anwendungsentwicklung kann zwar die in Cookies gespeicherten sensiblen Daten begrenzen oder Angreifern deren Extraktion erschweren, doch Cookies dienen dazu, Benutzer, Verhaltensweisen oder beides zu identifizieren. Daher werden Anwendungen sie auch weiterhin verwenden. Eine angemessene Sicherheit von Webanwendungen und Sitzungsverwaltung, die durch eine Web Application Firewall (WAF), bereitgestellt werden können, tragen dazu bei, identifizierende Daten zu schützen und Cookie-Poisoning abzuwehren.
Die F5 Advanced WAF nutzt Dateninspektion über einen vollständigen Proxy, Verhaltensanalysen und maschinelles Lernen, um ein hohes Maß an Anwendungssicherheit zu gewährleisten, einschließlich eines ausgefeilten Sitzungsmanagements und der SSL/TLS-Verschlüsselung von Cookies. Indem sie den gesamten Datenverkehr zum und vom Webserver abfängt, kann sie diesen entschlüsseln und mit den vom Server gesendeten Informationen abgleichen. So wird verhindert, dass manipulierte Cookies den Server oder eine Anwendung erreichen.
