Cross-Origin Resource Sharing (CORS)

Cross-Origin Resource Sharing (CORS) Definition

Cross-Origin Resource Sharing (CORS) ist eine wichtige Sicherheitsfunktion, die von Web-Browsern implementiert wird, um den Zugriff auf Ressourcen zwischen verschiedenen Webanwendungen auf unterschiedlichen Domains zu kontrollieren. Es etabliert einen Mechanismus, mit dem der Browser bestimmen kann, ob eine Webanwendung Ressourcen von einem anderen Ursprung abrufen darf. Dieses Sicherheitskonzept zielt darauf ab, potenziell schädliche Interaktionen zwischen Ursprüngen zu verhindern, während legitime Cross-Origin-Anfragen ermöglicht werden.

Die Same-Origin Policy, eine grundlegende Sicherheitsmaßnahme, verhindert, dass Webseiten Anfragen an einen anderen Ursprung für sensible Daten stellen. Allerdings bietet CORS einen flexibleren Ansatz, indem festgelegt wird, welche Webanwendungen Zugriff auf Ressourcen über Domains hinweg erhalten dürfen. Es fügt eine zusätzliche Sicherheitsebene hinzu, um unbefugten Zugriff zu verhindern, während legitime Cross-Origin-Kommunikation erleichtert wird.

Wie CORS funktioniert

Wenn eine Webseite eine Anfrage für eine Ressource auf einer anderen Domain stellt, überprüft der Webbrowser, ob die Ziel-Domain entsprechende CORS-Richtlinien implementiert hat. Diese Richtlinien bestehen aus spezifischen HTTP-Headern, die angeben, welche Ursprünge auf die Ressourcen zugreifen dürfen. Diese Header sind in der Antwort vom Server an den Browser enthalten.

Wenn die Antwort die notwendigen CORS-Header enthält und die Richtlinie die Anfrage erlaubt, gestattet der Browser die Cross-Origin-Interaktion, und die Antwort wird an die anfragende Webseite zurückgegeben. Dies ermöglicht es der Webanwendung, die angeforderten Ressourcen von einem anderen Ursprung nahtlos abzurufen.

Andererseits, wenn die Antwort die erforderlichen CORS-Header nicht enthält oder die Richtlinie die Anfrage nicht erlaubt, blockiert der Browser die Interaktion. Dies verhindert unbefugten Zugriff auf Ressourcen und schützt vor potenziellen Sicherheitsrisiken.

Präventionstipps

Um einen sicheren und kontrollierten Austausch von Cross-Origin-Ressourcen zu gewährleisten, sollten Webentwickler die folgenden bewährten Praktiken befolgen:

• Implementierung geeigneter CORS-Richtlinien: Webentwickler sollten ihre Server so konfigurieren, dass die entsprechenden CORS-Header in der Antwort enthalten sind. Diese Header geben an, welche Ursprünge auf die Ressourcen zugreifen dürfen. Durch korrekte Einstellung der CORS-Richtlinien können Entwickler sicherstellen, dass nur autorisierte Webanwendungen Cross-Origin-Anfragen stellen dürfen.

• Zugriff beschränken: Es ist entscheidend, den Zugriff auf Ressourcen auf dem Server auf bestimmte Ursprünge zu beschränken. Durch den Zugriff nur von vertrauenswürdigen Ursprüngen können Webentwickler unbefugte Cross-Origin-Anfragen und unbefugten Zugriff auf sensible Informationen verhindern.

• Verwendung von Anmeldeinformationen sparsam einsetzen: Es ist ratsam, Anmeldeinformationen wie Cookies oder HTTP-Authentifizierungsinformationen bei Cross-Origin-Anfragen sparsam zu verwenden. Wenn die Webanwendung diese Anmeldeinformationen für die Anfrage nicht benötigt, ist es empfehlenswert, sie nicht einzuschließen. Dies verringert das Risiko, sensible Informationen unbefugten Entitäten preiszugeben.

Durch Befolgung dieser Präventionstipps können Webentwickler die sichere Implementierung von CORS sicherstellen und ihre Webanwendungen vor potenziellen Sicherheitsbedrohungen schützen.

Verwandte Begriffe

• Same-Origin Policy: Die Same-Origin Policy ist eine Sicherheitsmaßnahme, die verhindert, dass Webseiten Anfragen an einen anderen Ursprung für sensible Daten stellen. Sie erhöht die Sicherheit von Webanwendungen, indem sie den Austausch von Cross-Origin-Ressourcen einschränkt.

• Cross-Site Scripting (XSS): Cross-Site Scripting ist eine Art von Sicherheitsanfälligkeit, bei der Angreifer bösartige Skripte in Webseiten injizieren. Diese Skripte können in den Browsern anderer Benutzer ausgeführt werden, die die betroffenen Webseiten besuchen, und potenziell das Vertrauen, das eine Webanwendung gegenüber einem bestimmten Benutzer hat, ausnutzen.

• Cross-Site Request Forgery (CSRF): Cross-Site Request Forgery ist ein Angriff, bei dem eine bösartige Website den Browser eines Benutzers dazu bringt, unbefugte Anfragen an eine Webanwendung zu senden, bei der der Benutzer bereits authentifiziert ist. Dieser Angriff nutzt das Vertrauen und die Autorisierung des Benutzers mit der angegriffenen Webanwendung aus.