Deze handleiding legt uit hoe u uw website en de bezoekers ervan kunt beschermen tegen kwaadwillig misbruik van MIME-type sniffing.

Inleiding

• MIME-type sniffing, ofwel het detecteren van het MIME-type, is een techniek die door webbrowsers wordt gebruikt om het type inhoud van een bron te bepalen wanneer het door de server verstrekte MIME-type ambigu, ontbreekt of onjuist is.
• Hoewel dit soms de gebruikerservaring kan verbeteren door de inhoud toegankelijk te maken, zelfs bij serverconfiguratiefouten, introduceert deze functie ook belangrijke beveiligingsrisico's:
  • Wanneer een browser een MIME-type detectie uitvoert, kan deze een tekstbestand interpreteren als een uitvoerbaar script, waardoor de deur wordt geopend voor cross-site scripting (XSS)-aanvallen.
  • Een bestand dat bedoeld is om als platte tekst te worden verwerkt, kan bijvoorbeeld worden geïnterpreteerd als JavaScript, waardoor een aanvaller kwaadaardige code op de browser van de gebruiker kan uitvoeren.
• Door MIME-type sniffing uit te schakelen, beschermt u bezoekers tegen de onbedoelde uitvoering van kwaadaardige scripts en verbetert u tegelijkertijd de algemene beveiliging van uw website door potentiële aanvalsvectoren te verminderen.

MIME-type sniffing uitschakelen

Om gebruikers en webapplicaties te beschermen tegen dit soort kwetsbaarheden, kunt u de automatische detectie van het type bronnen uitschakelen via het .htaccess-bestand van uw websites. Zo geeft u de browser de opdracht om zich strikt te houden aan het MIME-type dat door de server wordt opgegeven, zonder te proberen dit zelf te achterhalen.

Door de onderstaande code in uw .htaccess-bestand te plaatsen, zorgt u ervoor dat MIME-type sniffing is uitgeschakeld, zolang de module mod_headers (die het toevoegen van de onderstaande header mogelijk maakt) is ingeschakeld op uw Apache-server:

1. Open het .htaccess-bestand van de betreffende website met een FTP-programma of via de Web FTP.

2. Voeg de volgende code toe:

   <IfModule mod_headers.c>
       Header always set X-Content-Type-Options "nosniff"
   </IfModule>

3. Sla het bestand .htaccess op.