{"id":2887,"date":"2023-05-23T08:43:02","date_gmt":"2023-05-23T06:43:02","guid":{"rendered":"https:\/\/artif.com\/blog\/?p=2887"},"modified":"2023-05-23T08:43:06","modified_gmt":"2023-05-23T06:43:06","slug":"wie-loescht-man-hsts-einstellungen-in-chrome-und-firefox","status":"publish","type":"post","link":"https:\/\/artif.com\/blog\/wie-loescht-man-hsts-einstellungen-in-chrome-und-firefox.html","title":{"rendered":"Wie l\u00f6scht man HSTS<\/abbr>-Einstellungen in Chrome und Firefox?"},"content":{"rendered":"\n

Was ist HSTS<\/abbr><\/h2>\n\n\n\n

HSTS<\/abbr> steht f\u00fcr HTTP<\/abbr> Strict Transport Security und ist ein Sicherheitsmechanismus, der Browser dazu bring, Websites f\u00fcr eine bestimmte Zeit, nur \u00fcber eine gesicherte Verbindung (HTTPS<\/abbr>) zu \u00f6ffnen. HSTS<\/abbr> sch\u00fctzt gegen Downgrade-Angriffe, bei denen ein Angreifer eine sichere Verbindung zwischen einem Benutzer und einer Website auf eine unsichere Verbindung downgraded. Durch die Verwendung von HSTS<\/abbr> kann ein Angreifer keine unsicheren Verbindungen mehr herstellen, was das Risiko von Man-in-the-Middle-Angriffen und Cookie-Entf\u00fchrungen verringert.<\/p>\n\n\n\n

HSTS<\/abbr> wurde als Reaktion auf eine Schwachstelle im SSL<\/abbr>-Protokoll entwickelt, die Moxie Marlinspike in einem BlackHat Federal-Vortrag von 2009 mit dem Titel „New Tricks for Defeating SSL<\/abbr> in Practice“ demonstriert hatte. Marlinspike hatte ein Tool namens SSLStrip vorgestellt, das es Angreifern erm\u00f6glichte, HTTPS<\/abbr>-Verbindungen in ungesicherte HTTP<\/abbr>-Verbindungen umzuwandeln, um so auf vertrauliche Informationen zuzugreifen. Um diese Schwachstelle im SSL<\/abbr>-Protokoll zu beheben, wurde HSTS<\/abbr> als Mechanismus entwickelt, um sicherzustellen, dass ein Webbrowser immer eine sichere HTTPS<\/abbr>-Verbindung zu einer Website verwendet. HSTS<\/abbr> ist seit 2012 ein Standard der Internet Engineering Task Force (IETF) und wird von vielen modernen Webbrowsern unterst\u00fctzt.<\/p>\n\n\n\n

Wie funktioniert HSTS<\/abbr>?<\/h2>\n\n\n\n

HSTS<\/abbr> weist den Webbrowser an, eine sichere HTTPS<\/abbr>-Verbindung zu einer Website herzustellen und aufrechtzuerhalten. Wenn ein Benutzer zum ersten Mal eine Website besucht, die HSTS<\/abbr> verwendet, sendet die Website dem Browser eine spezielle Header-Datei zur\u00fcck, die angibt, dass die Website nur \u00fcber eine sichere Verbindung aufgerufen werden sollte. Der Browser speichert diese Information dann in einem HSTS<\/abbr>-Cache. Bei zuk\u00fcnftigen Besuchen der Website \u00fcberpr\u00fcft der Browser zuerst den HSTS<\/abbr>-Cache, bevor er eine Verbindung zur Website herstellt. Wenn die Website in der HSTS<\/abbr>-Liste des Browsers aufgef\u00fchrt ist, wird automatisch eine sichere HTTPS<\/abbr>-Verbindung aufgebaut, auch wenn der Benutzer die Website \u00fcber eine ungesicherte HTTP<\/abbr>-Verbindung aufzurufen versucht.<\/p>\n\n\n\n

HSTS<\/abbr> erh\u00f6ht somit die Sicherheit von Webanwendungen und sch\u00fctzt die Vertraulichkeit und Integrit\u00e4t von Daten, die zwischen einem Benutzer und einer Website ausgetauscht werden.<\/p>\n\n\n\n

HSTS<\/abbr> kann auch dazu beitragen, dass cookiebasierte Login-Anmeldeinformationen nicht von g\u00e4ngigen Tools wie Firesheep gestohlen werden.<\/p>\n\n\n\n

Leider k\u00f6nnen einige HSTS<\/abbr>-Einstellungen versehentlich Browserfehler verursachen. Wenn Sie beispielsweise Chrome verwenden, k\u00f6nnen Sie auf folgendes Problem sto\u00dfen:<\/p>\n\n\n\n

„DIES IST KEINE SICHERE VERBINDUNG<\/em>“ <\/p>\n\n\n\n

Sollten Sie dieselbe Website in einem anderen Browser problemlos \u00f6ffnen k\u00f6nnen, k\u00f6nnte es ein Problem mit den HSTS<\/abbr>-Einstellungen geben, die Ihren urspr\u00fcnglichen Browser beeinflusst haben. In diesem Fall m\u00fcssen Sie die Einstellungen l\u00f6schen.<\/p>\n\n\n\n

Warum HSTS<\/abbr>-Einstellungen l\u00f6schen?<\/h2>\n\n\n\n

Wenn Ihr Browser HSTS<\/abbr>-Einstellungen f\u00fcr eine Domain gespeichert hat und Sie sp\u00e4ter \u00fcber HTTP<\/abbr> oder eine fehlerhafte HTTPS<\/abbr>-Verbindung (z.B. nicht \u00fcbereinstimmender Hostname oder ein abgelaufenes Zertifikat etc.<\/abbr>) versuchen eine Verbindung herzustellen, bekommen Sie eine Fehlermeldung. Anders als bei HTTP<\/abbr>-Fehlern k\u00f6nnen HSTS<\/abbr>-bezogene Fehler nicht umgangen werden. Das liegt daran, dass der Browser die Anweisung erhalten hat, nur eine sichere Verbindung zuzulassen.<\/p>\n\n\n\n

Die HSTS<\/abbr>-Einstellungen beinhalten eine Zeitangabe-Option, die sogenannte \u201amax-age\u2018 , die dem Browser mitteilt, wie lange er die Einstellung zwischenspeichern soll, bevor er erneut \u00fcberpr\u00fcft. Um also die Fehlermeldung zu umgehen, m\u00fcssen Sie die lokalen HSTS<\/abbr>-Einstellungen Ihres Browsers f\u00fcr diese Domain l\u00f6schen. Eine Anleitung dazu finden Sie weiter unten.<\/p>\n\n\n\n

Die Einstellungen m\u00fcssen in jedem Browser gel\u00f6scht werden. Als Entwickler k\u00f6nnen Sie, wenn Sie HSTS<\/abbr>-Konfigurationen testen, auf diesen Fehler sto\u00dfen. In Chrom z. B. k\u00f6nnen Sie diesen Fehler auf localhost erhalten. Wenn auf einer Live-Site mit viel Traffic HSTS<\/abbr>-Fehler auftreten, kann es f\u00fcr den Betreiber schwierig sein, diese Fehler f\u00fcr alle Benutzer zu beheben. Das L\u00f6schen der lokalen HSTS<\/abbr>-Einstellungen f\u00fcr jeden Benutzer, ist ein zeitaufw\u00e4ndiger Prozess, und es kann sein, dass nicht alle Benutzer wissen, wie man die Einstellungen l\u00f6scht oder dass sie \u00fcberhaupt vorhanden sind. Zudem kann es sein, dass einige Benutzer die Site nicht mehr besuchen, wenn sie aufgrund von HSTS<\/abbr>-Fehlern keinen Zugriff auf die Site haben. In diesem Fall kann der Traffic auf der Site sinken, was f\u00fcr den Betreiber nachteilig ist. Aus diesem Grund kann es f\u00fcr den Betreiber sinnvoller sein, die HSTS<\/abbr>-Einstellungen so anzupassen, dass sie f\u00fcr die meisten Benutzer funktionieren, anstatt zu versuchen, die Einstellungen f\u00fcr jeden Benutzer individuell anzupassen.<\/p>\n\n\n\n

L\u00f6schen von HSTS<\/abbr>-Einstellungen in Chrome und Firefox<\/h2>\n\n\n\n

Diese Anweisungen sind haupts\u00e4chlich f\u00fcr Entwickler, die HSTS<\/abbr> getestet haben und die Einstellungen jetzt l\u00f6schen m\u00fcssen. F\u00fcr eine Website, die Sie nicht betreiben, hilft das L\u00f6schen der lokalen HSTS<\/abbr>-Einstellungen Ihres Browsers nicht, wenn die Website weiterhin einen HSTS<\/abbr>-Header ausliefert, da Ihr Browser die Einstellungen bei jedem Besuch einfach erneut speichern wird.<\/p>\n\n\n\n

HSTS<\/abbr> Fehlermeldung in Google CHROME<\/h3>\n\n\n\n

In Chrome kann folgender Fehler angezeigt werden: \u201eNET::ERR_CERT_COMMON_NAME_INVALID\u201c<\/p>\n\n\n\n

Wenn Sie auf \u201aErweitert\u2018 klicken, wird die Fehlermeldung folgende Information enthalten:<\/p>\n\n\n\n

\u201eSie k\u00f6nnen domainname.com<\/em> derzeit nicht besuchen, da die Website HSTS<\/abbr> verwendet\u201c<\/p>\n\n\n\n

Auf localhost kann folgende Fehlermeldung angezeigt werden:<\/p>\n\n\n\n

\u201eDiese Seite kann keine sichere Verbindung bereitstellen\u201c<\/p>\n\n\n\n

HSTS<\/abbr> Fehlermeldung in Mozilla FIREFOX<\/h3>\n\n\n\n

In Firefox lautet die Fehlermeldung der Zwischenseite:<\/p>\n\n\n\n

\u201eDiese Seite verwendet HTTP<\/abbr> Strict Transport Security (HSTS<\/abbr>), um anzugeben, dass Firefox nur eine sichere Verbindung herstellen kann. Es ist daher nicht m\u00f6glich, eine Ausnahme f\u00fcr dieses Zertifikat hinzuzuf\u00fcgen.<\/p>\n\n\n\n

Wenn Sie festgestellt haben, dass der Fehler auf zwischengespeicherte HSTS<\/abbr>-Einstellungen zur\u00fcckzuf\u00fchren ist, befolgen Sie die folgenden Anweisungen, um den Fehler zu beheben.<\/p>\n\n\n\n

HSTS<\/abbr>-Einstellungen l\u00f6schen in Google Chrome<\/h3>\n\n\n\n