Webdesignerin
Webdesignerin
Dipl. Wi. Infrom. Susanne Wollatz
MIME-Type-Sniffing
MIME-Type-Sniffing ist ein Verfahren, das von Webbrowsern verwendet wird, um den Inhalt von Dateien zu interpretieren, wenn der MIME-Typ (Multipurpose Internet Mail Extensions), eine Kennzeichnung, die die Art und das Format einer Datei im Internet beschreibt, nicht eindeutig angegeben ist. Wenn zum Beispiel eine Datei als Bild angegeben ist, aber der Browser sie als HTML-Seite interpretiert, könnte dies zu Sicherheitsrisiken führen.
Wenn ein Webbrowser eine Datei von einem Server lädt, teilt der Server ihm über den sogenannten MIME-Type mit, um welchen Inhaltstyp es sich handelt – zum Beispiel:
- text/html für HTML-Dateien
- image/png für Bilder
- application/javascript für JavaScript-Dateien
Ist der MIME-Type auf dem Server falsch angegeben oder fehlt ganz, versucht der Browser, den Typ selbst zu erkennen. Dieses automatische „Erraten“ nennt man MIME Type Sniffing.
Das Problem: Wenn der Browser dabei irrt, kann er zum Beispiel eine Textdatei als ausführbaren JavaScript-Code behandeln. Dadurch könnten Angreifer bösartigen Code in eine Website einschleusen – ein potenzielles Einfallstor für Cross-Site-Scripting-Angriffe (XSS).
Um sich davor zu schützen, sollte MIME Type Sniffing deaktiviert werden. Das geschieht über den HTTP-Header:
X-Content-Type-Options: nosniff
Dieser Header weist den Browser an, ausschließlich den vom Server angegebenen MIME-Type zu akzeptieren und keine eigenen Vermutungen anzustellen. Das erhöht die Sicherheit Ihrer Website deutlich.
