Dieser Leitfaden erklärt, wie Sie Ihre Website und deren Besucher vor der missbräuchlichen Nutzung des MIME-Type Sniffing schützen.

Vorwort

• Das MIME-Type Sniffing, oder die MIME-Typ-Erkennung, ist eine Technik, die von Webbrowsern verwendet wird, um den Inhaltstyp einer Ressource zu bestimmen, wenn der vom Server bereitgestellte MIME-Typ mehrdeutig, fehlend oder falsch ist.
• Obwohl dies manchmal die Benutzererfahrung verbessern kann, indem der Inhalt trotz Serverkonfigurationsfehlern zugänglich gemacht wird, führt diese Funktion auch erhebliche Sicherheitslücken ein:
  • Wenn ein Browser MIME-Type Sniffing durchführt, kann er eine Textdatei als ausführbares Skript interpretieren und so die Tür für Cross-Site-Scripting-Angriffe (XSS) öffnen.
  • Zum Beispiel könnte eine Datei, die als reiner Text verarbeitet werden sollte, als JavaScript interpretiert werden, wodurch ein Angreifer bösartigen Code im Browser des Benutzers ausführen kann.
• Durch das Deaktivieren des MIME-Type Sniffing schützen Sie die Besucher vor der unbefugten Ausführung bösartiger Skripte und stärken gleichzeitig die allgemeine Sicherheit Ihrer Website, indem Sie potenzielle Angriffspunkte reduzieren.

MIME-Type Sniffing deaktivieren

Um Benutzer und Webanwendungen vor dieser Art von Schwachstellen zu schützen, können Sie die automatische Erkennung des Ressourcentyps über die Datei .htaccess Ihrer Website deaktivieren, um dem Browser anzugeben, sich strikt auf den vom Server angegebenen MIME-Typ zu verlassen, ohne zu versuchen, ihn zu erraten.

Durch das Einfügen des folgenden Codes in Ihre Datei .htaccess stellen Sie sicher, dass das MIME-Type Sniffing deaktiviert ist, solange das Modul mod_headers (das das Hinzufügen des folgenden Headers ermöglicht) auf Ihrem Apache-Server aktiviert ist:

1. Öffnen Sie die Datei .htaccess der betreffenden Website über den FTP-Manager oder einen FTP-Client.

2. Fügen Sie den folgenden Code hinzu:

   <IfModule mod_headers.c>
       Header always set X-Content-Type-Options "nosniff"
   </IfModule>

3. Speichern Sie die Datei .htaccess.