Neugierige oder bösartige Webseiten könnten über Adressen wie "http://localhost..." oder "http://192.168.1.1..." auf lokale Dienste auf dem eigenen Rechner, auf den Router oder auf andere Dienste im lokalen Netzwerk (LAN) zugreifen:
- Auf der [TAILS-Dev] Mailingliste (#008607) wurde darauf hingewiesen, dass ein Angreifer oder Trackingdienst Javascript Code in eine Webseite einbetten könnte, der das interne LAN nach Servern scannt oder lokale Dienste wie den Druckerservice CUPS unter der Adresse http://localhost:631 kontaktiert. Diese Informationen können z.B. zum Fingerprinting genutzt werden.
- Bösartiger Javascript Code könnte lokale Dienste wie CUPS oder andere Rechner im LAN angreifen. Im Mai 2015 wurde ein Exploit-Kit entdeckt, der als Javascript auf Webseiten platziert wird und beim Aufruf der Webseite den Router angreift, um die DNS Einstellungen zu ändern und damit den Internetzugriff beliebig zu manipulieren.
- Die Firma ThreadMetrix hat 2015 für die Webseiten von Banken einen Sicherheitsmechanismus entwickelt, der unter anderem via Javascript bestimmte Ports auf dem lokalen Rechner scannt, die für einige Viren, Fernwartungssoftware und Remote Desktops wie VNC typisch sind. Seit Mai 2020 ist ein ähnliches Feature auch bei eBay aktiv, wenn eBay vermutet, dass der Anwender Windows nutzt. Dabei handelt sich um ein Sicherheitsfeature und keinen Angriff oder Tracking, aber trotzdem...
uBlock Origin Filterliste
Nachdem eBay im Mai 2020 begonnen hatte, die lokalen Ports zu scannen, hat das uBlock Team reagiert und eine Filterliste erstellt. Diese Filterliste blockiert für Webseiten aus dem Internet den Zugriff auf lokale URLs, Adressen im LAN sowie häufige Router Adressen.
Zukünftig wird die LAN-Block-Filterliste (wahrscheinlich) in die Standardlisten von uBlock Origin aufgenommen werden aber bei Installation standardmäßig deaktiviert sein.
Aktuell muss man die LAN-Block-Filterliste von gwarser noch selbst auf dem Reiter "Filterlisten" hinzufügen, indem man die Liste von folgender Adresse lädt: https://raw.githubusercontent.com/gwarser/filter-lists/master/lan-block.txt
Lizenz: Public Domain