scheible.it - Tobias Scheible
Apache Webserver Konfiguration
Mittwoch, 22. Juli 2015
0 Kommentare

Content-Type-Options – Webbrowser bändigen

Von welchem Typ eine Datei ist, kann per HTML definiert werden. Die Definition des Dateityps wird als MIME-Type bezeichnet. Ist diese nicht angegeben oder passt die Dateiendung nicht zu der Angabe, versucht der Webbrowser den Dateityp zu „erraten“. Dies kann bei einer falschen Interpretation zu Sicherheitsproblemen führen. Mit dem Header-Eintrag X-Content-Type-Options kann dies unterbunden werden.

Bei den sogenannten X-Header Einträgen handelt es sich um Anweisungen für Webbrowser, um bestimmte Funktionalitäten einzuschränken. Damit wird die Sicherheit einer Website erhöht. Der HTTP-Header X-Content-Type-Options ist ein Eintrag, der vom Server übermittelt wird und der den Webbrowser anweist, die in den Content-Type-Headern angegebene MIME-Typen nicht zu ändern. Dies ermöglicht es, das „Erraten“ (engl. sniff) vom MIME-Typ zu unterbinden. Als Parameter dafür wird nosniff verwendet.

Dieser Header wurde von Microsoft mit dem Internet Explorer 8 eingeführt, das „Erraten“ von Inhalten zu blockieren und nicht ausführbare MIME-Typen in ausführbare MIME-Typen umzuwandeln. Seitdem haben es andere Browser eingeführt, auch wenn ihre MIME-Sniffing-Algorithmen weniger aggressiv sind.

Mit dem folgenden Befehl in der .htaccess-Datei wird der Apache Webserver angewiesen, den Content-Type-Options Header an den Browser zu senden:

Header always append X-Content-Type-Options nosniff

Über Tobias Scheible

Tobias Scheible

Ich arbeite als wissenschaftlicher Mitarbeiter an der Hochschule Albstadt-Sigmaringen. Dort bin ich in den Bereichen IT-Sicherheit und IT-Forensik tätig. Darüber hinaus beschäftige ich mich seit 2001 mit der Planung und Umsetzung von individuellen Web-Anwendungen. Mein Wissen teile ich gerne hier in meinem Blog, bei Vorträgen und auf Workshops.

Alle Blog-Artikel Über mich Facebook Twitter Xing

Kommentare

Es wurde noch kein Kommentar abgegeben.

Schreibe einen Kommentar!

Hilfe zum Kommentieren

Um kommentieren zu können, geben sie bitte mindestens ihren Namen und ihre E-Mail-Adresse an. Bitte nutzen Sie die Kommentarfunktion nicht dazu, andere zu beleidigen oder Spam zu verbreiten. Trolle und Spammer sind hier unerwünscht! Unangemessene Kommentare, die zum Beispiel gegen geltendes Recht verstoßen oder eine Gefährdung anderer Besucher darstellen, werden gelöscht oder angepasst.

Name: Ihr Name, der oberhalb des Kommentars steht, gerne auch Ihren echten Namen, das erleichtert die Kommunikation für alle. Sollte ein Spam-Keyword als Name verwendet werden, kann dieses entfernt oder korrigiert werden.

E-Mail: Ihre E-Mail Adresse dient zur Identifizierung weiterer Kommentare und sie haben die Möglichkeit, ein Avatar-Bild zu verwenden. Dazu müssen Sie mit Ihrer E-Mail Adresse bei Gravatar angemeldet sein. Die E-Mail Adresse wird natürlich nicht veröffentlicht und nicht weitergegeben.

Website: Hier können Sie ihren eigenen Blog bzw. ihre eigene Website eintragen, dadurch wird Ihr Name und Ihr Avatar-Bild verlinkt. Werden rein kommerzielle Angebote offensichtlich beworben, setze ich den Link auf nofollow und unangemessene werden einfach entfernt.

Erlaubte HTML-Tags: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong> <hr> <big> <small> <sub> <sup> <u>

Ihre E-Mailadresse wird nicht veröffentlicht. Mit dem Absenden anerkennen Sie die Datenschutzerklärung des Blogs.

nach oben