Unnötige Features machen Browser unsicher

Web-Browser haben zwar viele Features, doch kaum einer benötigt diese. Das zeigt eine Studie der University of Illinois in Chicago (UIC). [...]

Aktuelle Browser sind sehr komplex, unter anderem weil sie für Web-Entwickler über 1.000 JavaScript-Funktionen bereitstellen. Doch mehr als die Hälfte davon sind effektiv sinnlos, weil sie in der Praxis niemand nutzt. Das hat eine Analyse der laut Alexa-Ranking 10.000 beliebtesten Webseiten ergeben. Dazu kommt dem UIC-Team zufolge, dass rund zehn Prozent der Funktionen ohnehin fast immer in irgendeiner Form geblockt werden. Ist ein Werbe-Blocker aktiv, „werden über 83 Prozent der verfügbaren Features von weniger als einem Prozent der 10.000 beliebtesten Webseiten ausgeführt“.

Der „Encodings“-Standard, mit dem JavaScript Text zwischen verschiedenen Codierungs-Standards konvertieren kann, beispielsweise wird von genau einer Top-10.000-Webseite genutzt. Bei Entwicklern relativ beliebt sind hingegen iFrames, beispielsweise für Pop-up-Werbung. Eben das ist ein wesentlicher Grund, weshalb iFrames den UIC-Informatikern zufolge in 77 Prozent aller Fälle blockiert werden. Dazu kommt schon seit Jahren der fade Beigeschmack des Sicherheitsrisikos. Denn Hacker setzen oft auf eingeschleuste iFrames, um Malware über legitime Webseiten zu verbreiten.

Die Forscher zeigen in ihrer Studie „Browser Feature Usage on the Modern Web“ auf, dass mit Blick auf die Sicherheit manche Features fragwürdig erscheinen. Sie verweisen auf die Web Audio API, die von weniger als zwei Prozent der beliebtesten Seiten genutzt wird. Doch gab es in den vergangenen drei Jahren mindestens zehn gemeldete Sicherheitslücken nach CVE-Standard für den als Referenz herangezogenen Browser Firefox. Auch Skalierbare Vektorgrafiken (SVGs) sind problematisch. Zwar nutzen diese mittlerweile rund 15,5 Prozent der Seiten, doch werden die Grafiken zu 87 Prozent geblockt. Indes gab es in drei Jahren sogar mindestens 14 CVEs für Firefox. (pte)