Abo
  • Services:
Anzeige
Der wohlmeinende Warnhinweis der neuen Chrome-Erweiterung von Google lässt sich leicht unterdrücken.
Der wohlmeinende Warnhinweis der neuen Chrome-Erweiterung von Google lässt sich leicht unterdrücken. (Bild: Google)

Unsicheres Plugin: Googles Passwort-Warnung lässt sich leicht aushebeln

Der wohlmeinende Warnhinweis der neuen Chrome-Erweiterung von Google lässt sich leicht unterdrücken.
Der wohlmeinende Warnhinweis der neuen Chrome-Erweiterung von Google lässt sich leicht unterdrücken. (Bild: Google)

Keine 24 Stunden, nachdem Google seine neue Chrome-Erweiterung zum Passwortschutz vorgestellt hat, haben IT-Sicherheitsforscher ihn bereits ausgehebelt. Kurz darauf veröffentlichte Google eine korrigierte Version des Plugins.

Anzeige

Eigentlich will Googles Chrome-Erweiterung mit dem Namen Passwort-Warnung Nutzer von der Eingabe des Google-Passworts auf fremden Webseiten abraten. Dadurch soll verhindert werden, dass Nutzer das gleiche Passwort auch auf anderen Webseiten benutzen und somit leichter Opfer von Phishing-Attacken werden. IT-Sicherheitsforscher haben jedoch mit wenigen Zeilen Javascript-Code den Warnhinweis des Plugins unterdrückt und so den Schutz effektiv ausgehebelt. Google hat bereits reagiert und eine korrigierte Fassung nachgereicht.

Passwort-Warnung funktioniert so: Das Google-Passwort eines Anwenders wird in einem verschlüsselten Hashwert auf seinem Rechner gespeichert. Will der Anwender das gleiche Passwort auf einer fremden Seite nutzen, erhält er einen Warnhinweis und wird aufgefordert, sein Google-Passwort zu ändern. Dabei unterscheidet die Erweiterung nicht, ob es sich tatsächlich um eine Phishing- oder eine legitime Webseite handelt. Die Google-Entwickler wollen Nutzer lediglich dafür sensibilisieren, nicht das gleiche Passwort mehrfach zu verwenden.

Der IT-Sicherheitsexperte Paul Moore vom Unternehmen Urity Group veröffentlichte wenig später ein Proof-of-Concept in Form von ein paar Zeilen Code, die den Warnhinweis unterdrücken, wenn sie in einer Phishing-Seite eingebettet werden:

if(document.getElementById("warning_banner"))
document.getElementById("warning_banner").remove();

Mit Version 1.4 soll diese Schwachstelle behoben sein. Wer die alte Version nutzt, sollte unter chrome://extensions/ im Entwicklermodus seine Erweiterungen aktualisieren. Die Webseite mit Paul Moores eingebettetem Javascript-Code kann zum Testen verwendet werden.


eye home zur Startseite
smonkey 04. Mai 2015

Also mir fällt jetzt kein plausibler Grund ein, warum das JavaScript von der Seite...

Tannenzapfen 04. Mai 2015

Ok, vielen Dank für den Tip :-)

caldeum 02. Mai 2015

1 einzigartiges Passwort für den Mailaccount, 1 einzigartiges für den Paypal-Account, 1...



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Raum Berlin (Home-Office möglich)
  2. Duisburger Versorgungs- und Verkehrsgesellschaft mbH, Duisburg
  3. Vorwerk & Co. KG, Wuppertal
  4. BfS Bundesamt für Strahlenschutz, Berlin-Karlshorst


Anzeige
Top-Angebote
  1. 198,00€
  2. 189,00€ + 4,99€ Versand (Vergleichspreis 224€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. OLG München

    Sharehoster Uploaded.net haftet nicht für Nutzerinhalte

  2. Linux

    Kernel-Maintainer brauchen ein Manifest zum Arbeiten

  3. Micro Machines Word Series

    Kleine Autos in Kampfarenen

  4. Docsis 3.1

    Unitymedia bereitet erste Gigabit-Stadt vor

  5. Donald Trump

    Ein unsicherer Deal für die IT-Branche

  6. Apsara

    Ein Papierflieger wird zu Einweg-Lieferdrohne

  7. Angebliche Backdoor

    Kryptographen kritisieren Whatsapp-Bericht des Guardian

  8. Hyperloop

    Nur der Beste kommt in die Röhre

  9. HPE

    Unternehmen weltweit verfehlen IT-Sicherheitsziele

  10. Youtube

    360-Grad-Videos über Playstation VR verfügbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Begnadigung: Danke, Chelsea Manning!
Begnadigung
Danke, Chelsea Manning!
  1. Nach Begnadigung Mannings Assange weiter zu Auslieferung in die USA bereit
  2. Statt Begnadigung Snowdens Aufenthalt in Russland verlängert
  3. Whistleblowerin Obama begnadigt Chelsea Manning

Shield TV (2017) im Test: Nvidias sonderbare Neuauflage
Shield TV (2017) im Test
Nvidias sonderbare Neuauflage
  1. Wayland Google erstellt Gamepad-Support für Android in Chrome OS
  2. Android Nougat Nvidia bringt Experience Upgrade 5.0 für Shield TV
  3. Nvidia Das Shield TV wird kleiner und kommt mit mehr Zubehör

Nintendo Switch im Hands on: Die Rückkehr der Fuchtel-Ritter
Nintendo Switch im Hands on
Die Rückkehr der Fuchtel-Ritter
  1. Nintendo Vorerst keine Videostreaming-Apps auf Switch
  2. Arms angespielt Besser boxen ohne echte Arme
  3. Nintendo Switch Eltern bekommen totale Kontrolle per App

  1. Re: Sich nicht von der Angst anstecken lassen!

    Mingfu | 17:01

  2. Re: !! ACHTUNG !! Reflexartiger Aufschrei erfolgt...

    jo-1 | 17:00

  3. Re: Und wenn das Ding GPS-gesteuert fliegt?

    HP-Jammer | 16:59

  4. Re: IMHO zu hohe anforderungen/verantwortung für...

    bjs | 16:55

  5. Re: das hat mit Fachkräftemangel

    bjs | 16:55


  1. 17:06

  2. 16:49

  3. 16:22

  4. 15:31

  5. 15:03

  6. 13:35

  7. 12:45

  8. 12:03


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel