Windows Media Player beschert Browsern "Super-Cookie" (Upd.)

JavaScript-Befehle machen ID des Windows Media Player zum "Super-Cookie"

Wie der Sicherheitsexperte Richard M. Smith in der Mailingliste Bugtraq mitteilte, stellt der Windows Media Player (WMP) ein Sicherheitsrisiko dar, durch das Angreifer über eine Webseite mit einfachen JavaScript-Befehlen die Kennung eines installierten Windows Media Player abfragen können und so eine Art "Super-Cookie" erhalten. Mit diesem speziellen Cookie erhalten Site-Betreiber die Möglichkeit, das User-Verhalten unbemerkt zu beobachten.

Artikel veröffentlicht am 16. Januar 2002, 15:38 Uhr, Ingo Pakalski

Mit diesem Sicherheitsrisiko lassen sich auch die P3P-Spezifikationen umgehen, die Microsoft im Internet Explorer 6.0 integriert hat. Mit diesem W3C-Standard sollen Anwender eigentlich das Auslesen ihrer Daten von Site-Betreibern besser kontrollieren können. Dieses Vorhaben wird mit diesen beschriebenen Möglichkeiten natürlich zur Farce. Das Sicherheitsrisiko steckt in allen Versionen des Internet Explorer für Windows-Systeme, auf denen der Windows Media Player installiert ist. Aber auch die alternativen Browser Netscape und Opera sind von dem Problem betroffen, wenn das Plug-In für den Windows Media Player installiert und aktiviert ist.

Gegen das Anlegen derartiger Cookies kann man sich schützen, indem man den Windows Media Player deinstalliert oder die Ausführung von JavaScript im Browser deaktiviert. Der Windows Media Player lässt sich zudem so konfigurieren, dass keine allgemeine ID angelegt wird. Dazu muss man in den Player-Optionen den Punkt "Identifikation Ihres Windows Media Players durch Internetsites zulassen" deaktivieren. Da der "Super-Cookie" keine regulären Cookies zum User-Tracking verwendet, bleiben Cookie-Filter natürlich unwirksam.

Wie Richard M. Smith berichtet, wurde Microsoft bereits im März 2001 über dieses potenzielle Problem informiert. Bislang reagierte der Hersteller des Windows Media Player nicht darauf.