Mega: Eine Sicherheitslücke - oder auch nicht

Ein Javascript-Bookmarklet ist in der Lage, den privaten Schlüssel zu einem Account des Filehosters Mega zu extrahieren. Die Frage ist: Ist das eine Sicherheitslücke?

Anzeige

Der Softwareentwickler Michael Koziarski hat das kleine Tool Bookmarklet MEGApwn entwickelt, mit dem sich der private RSA-Schlüssel zu einem Account beim Filehosting-Service Mega extrahieren lässt. Koziarski sieht darin ein gravierendes Sicherheitsproblem.

Dass sich der RSA-Schlüssel auf einem lokalen Rechner auslesen lässt, ist wenig überraschend. Mega weist in seinen FAQs auch darauf hin. Denn der von Kim Dotcom gegründete Filehoster legt per Javascript einen RSA-Key auf dem Rechner des Nutzers an und verschlüsselt damit Dateien, bevor sie hochgeladen werden. Für Michael Koziarski ist das jedoch eine bedeutende Sicherheitslücke in dem von Mega eingesetzten Verschlüsselungsverfahren. Denn nicht nur der Nutzer selbst, auch ein bösartiger Javascript-Code könnte den Key auslesen.

Aufgrund der sogenannten Same-Origin-Policy von Browsern kann Javascript-Code nur auf Objekte zugreifen, die von derselben Domain stammen. Ein solcher Javascript-Code könnte daher nur dann ausgeführt werden, wenn er entweder von Mega selbst ausgeliefert wurde oder über eine Cross-Site-Scripting-Lücke in die von Mega ausgelieferten Seiten eingefügt wird. Auch ein bösartiges Browser-Plugin könnte über Javascript Zugriff auf den privaten Schlüssel erlangen.

Mega hat Zugriff auf die Schlüssel

Mega tut vergleichsweise viel, um das Einschleusen von bösartigem Code durch Dritte zu verhindern. Die Seite ist nur über SSL erreichbar und verhindert mit der Technologie HSTS, dass einzelne Seitenaufrufe unverschlüsselt erfolgen. Außerdem nutzt die Seite den Content-Security-Policy-Header, um Cross-Site-Scripting-Angriffe zu erschweren. Das nützt aber alles nichts, wenn der Zugriff auf den Key von Mega selbst ausgeht.

Laut Koziarski wäre es vorstellbar, dass Mega aufgrund einer gerichtlichen Anordnung gezwungen wird, mittels Javascript den privaten Schlüssel eines Nutzers auszulesen und außerdem Mega zu verbieten, über die gerichtliche Anordnung zu sprechen. Ähnliches habe es bereits beim Vorgehen gegen Hushmail und Lavabit gegeben. Allerdings befanden sich diese beiden Mailhoster in den USA, ein mit den geheimen Fisa-Gerichten vergleichbares System gibt es in Neuseeland, dem Firmensitz von Mega, bislang nicht. Allerdings gehört Neuseeland auch zu der Gruppe der "Five Eyes", einem Zusammenschluss der Geheimdienste unter der Ägide der USA und Großbritannien.

Ein derartiges Einschleusen von Javascript-Code durch Mega könnte theoretisch durch den Nutzer entdeckt werden. In der Praxis wird aber kaum ein Nutzer die von einem Server ausgelieferten Javascript-Dateien regelmäßig auf Änderungen überprüfen.

Browser-Erweiterung gegen unberechtigten Schlüsselzugriff

Auf der Webseite Torrentfreak wurden Stellungnahmen von Koziarski und Mega-Pressesprecher Bram van der Kolk veröffentlicht. Van der Kolk verteidigt das Verschlüsselungssystem von Mega. Wer Angst habe, dass der Service bösartigen Javascript-Code ausliefert, könne stattdessen auf die Browsererweiterung von Mega zurückgreifen. Dann werde nur Code ausgeführt, der sich auf dem Rechner des Nutzers befindet und der von unabhängiger Seite überprüft werden kann.

Michael Koziarski hält die Nutzung von Kryptographie via Javascript generell für keine gute Idee. Besser sei es, wenn Nutzer ihre Daten vor dem Upload auf einen Cloud-Service mit einer clientseitigen Software wie GnuPG verschlüsseln. Dann sei es auch egal, ob man dem Cloud-Anbieter vertrauen kann.


Julius Csar 17. Sep 2013

Warum nicht ohne Browserextension verschlüsseln? Stichwort: AESload.de

Citrixx 07. Sep 2013

Der Haken bei der Kommunikation mit PGP ist, dass die Betreffzeile unverschlüsselt...

Citrixx 05. Sep 2013

Und wenn du Zugriff auf die Server von Mozilla bekommst, kannst du mit einer bösartigen...

tundracomp 05. Sep 2013

Bookmarklet werden im Context der aktuellen Seite ausgeführt und können ebenfalls keine...

Citrixx 05. Sep 2013

Schließlich könnten ja auch die Macher von GnuPG per Anweisung von ganz oben dazu...

Kommentieren



Anzeige

  1. Senior System Architect (m/w)
    PAYBACK GmbH, Munich
  2. Ingenieur (m/w) Materialflusssimulation / Intralogistiksysteme
    BEUMER Maschinenfabrik GmbH & Co. KG, Beckum (Raum Münster, Dortmund, Bielefeld)
  3. Trainee IT (m/w) Schwerpunkt: SAP Applikation
    Unternehmensgruppe Theo Müller, Aretsried
  4. Senior Softwareentwickler (m/w) Java EE
    Faktor Zehn AG, München und Köln

 

Detailsuche


Folgen Sie uns
       


  1. AMD-Vize Lisa Su

    Geringe Chancen für 20-Nanometer-GPUs von AMD für 2014

  2. Bärbel Höhn

    Smartphone-Hersteller zu Diebstahl-Sperre zwingen

  3. Taxi-App

    Uber will trotz Verbot in weitere deutsche Städte

  4. First-Person-Walker

    Wie viel Gameplay braucht ein Spiel?

  5. Finanzierungsrunde

    Startup Airbnb ist zehn Milliarden US-Dollar wert

  6. Spähaffäre

    Snowden erklärt seine Frage an Putin

  7. CSA-Verträge

    Microsoft senkt Preise für Support von Windows XP

  8. Test Wyse Cloud Connect

    Dells mobiles Büro

  9. Globalfoundries-Kooperation mit Samsung

    AMDs Konsolengeschäft kompensiert schwache CPU-Sparte

  10. Verband

    "Uber-Verbot ruiniert Ruf der Startup-Stadt Berlin"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Scaler: Xbox, streck das Bild!
Scaler
Xbox, streck das Bild!

Die Xbox One berechnet viele Spiele nicht nativ in 1080p. Stattdessen vergrößern ein Hardware-Scaler oder einige Softwareschritte niedrigere Auflösungen. Beide Lösungen bieten Vor- und Nachteile, welche die Bildqualität oder Bildrate beeinflussen.

  1. Xbox One Upgedated und preisgesenkt
  2. Xbox One Microsoft denkt über Xbox-360-Emulation nach
  3. Xbox One Inoffizielle PC-Treiber für Controller erhältlich

Facebook und Oculus Rift: Vier Prognosen zu Faceboculus
Facebook und Oculus Rift
Vier Prognosen zu Faceboculus

Der erste Shitstorm hat sich gelegt. Und Oculus gehört immer noch Facebook. Was ändert das jetzt? Und was bedeutet das für die Zukunft? Wer sich mit Entwicklern und Experten unterhält, der kann einige erste Schlüsse ziehen.

  1. Oculus Rift 25.000 Exemplare der neuen Dev-Kit-Version verkauft
  2. Developer Center Sicherheitslücke bei Oculus VR
  3. Oculus VR "Wir haben nicht so viele Morddrohungen erwartet"

Windows XP ade: Linux ist nicht nur ein Lückenfüller
Windows XP ade
Linux ist nicht nur ein Lückenfüller

Wenn der Support für Windows XP ausläuft, wird es dringend Zeit, nach einer sicheren und vor allem kostenlosen Alternative zu suchen. Linux ist dafür bestens geeignet. Bleibt nur noch die Qual der Wahl.

  1. Open Source Linux 3.15 startet in die Testphase
  2. Linux-Kernel LTO-Patch entfacht Diskussion
  3. Linux-Distribution Opensuse baut um und verschiebt Version 13.2

    •  / 
    Zum Artikel