Omc Logo
Was sind Cookies?

Was sind Cookies?

Öffentlich
Es sind noch 0 von None Plätzen verfügbar.

Der Status des „Eingeloggt-seins“ bedeutet, dass ein Nutzer sich mit seinem Zugangsnamen und seinem Passwort gegenüber einer Anwendung, wie z. B. Amazon, als realer, einzig wahrer und zu Accountveränderungen berechtigter Nutzer ausweist. Sich also authentifiziert, d. h. gegenüber Amazon beglaubigt, dass er, er selbst ist.

Die Webseite oder Anwendung prüft durch Zugangsdaten, d. h. Benutzernamen und zugehöriges Passwort, ob es sich beim Nutzer um einen autorisierten Zugang handelt. Stimmen Name und Passwort überein, wird dem Nutzer der Zugang gewährt.

Die Anwendung Amazon erstellt bei der Anmeldung (Log-in) einen Session Cookie. Mit Hilfe dieses Session Cookies kann Amazon die Sitzung eines Nutzers, wie z. B. dessen Einkauf, über mehrere Webseiten hinweg eindeutig ihm zuordnen (z. B. wenn dieser seinen Warenkorb befüllt, obwohl er dazu mehrere Tabs der Anwendung Amazon geöffnet hat).

Hat der Nutzer gegenüber Amazon zugestimmt, Cookies einsetzen zu dürfen (hier informiert und fragt fast jede Webseite nach!), ist er also über verschiedene Webseiten hinweg wiedererkennbar. Das ist nur möglich, weil der Browser des Nutzers ein Cookie vom Webserver erhält und der Browser das Cookie speichert. Der Webserver verteilt Cookies, damit er das Cookie des Nutzers wieder abrufen kann, wenn dieser später dieselbe Webseite noch einmal besucht.

Um dem Nutzer ein höheres Flow-Erlebnis beim Internetsurfen bzw. Anwendungsnutzen zu garantieren, erspart ihm das gespeicherte Cookie im Browser eine erneute Authentifizierung gegenüber der Anwendung.

Googelt nun eben jener bei Amazon eingeloggte und damit authentifizierte Nutzer nebenbei etwas Anderes, kann es passieren, dass er dabei auf einer vermeintlich harmlosen, aber von einem Hacker manipulierten Webseite landet. Nehme man an, dem Hacker ist eine CSRF (Cross-Site-Request-Forgery, dt. Webseitenübergreifende Anfragenfälschung) -Schwachstelle bei Amazon bekannt. Er möchte diese ausnutzen, weshalb er vielleicht seine bösartige Webseite so präpariert hat, dass ein bestimmtes Skript abläuft, sobald sich ein bei Amazon-eingeloggter Nutzer auf ihr befindet. Dieses Skript veranlasst nun den Browser, des bei Amazon-eingeloggten Nutzers, falsche Anfragen an das CSRF-unsichere Amazon zu senden. Es handelt sich deshalb um falsche bzw. gefälschte Anfragen, weil nicht der reale Nutzer selbst Anfragen an Amazon stellt, sondern der Hacker im Namen eines eingeloggten Nutzers. Dies geschieht aufgrund der im Browser gespeicherten Nutzer-Cookies und des „Nicht-Ausgeloggt-seins“ des Nutzers.

Watch-Party

Session wird geladen ...

Viewer: 0