Schwere Sicherheitslücke in Microsofts Passport-Dienst (Upd)
Teildienst vorläufig von Microsoft deaktiviert
Ein pakistanischer Sicherheitsexperte fand heraus, dass Microsofts Passport-System ein empfindliches Sicherheitsleck aufweist. So ist es ohne großen Aufwand möglich, das Kennwort eines Passport-Zugangs zu ändern, sofern man den Benutzernamen kennt, um anschließend Zugang auf Passport-Daten zu erlangen. Microsoft reagierte darauf mit der Abschaltung dieses Teildienstes und will mittlerweile sogar Abhilfe geschafft haben.
Laut dem pakistanischen Sicherheitsexperten Muhammad Faisal Rauf Danka genügt es, eine speziell formatierte URL aufzurufen, die den Benutzername des zu verändernden Passport-Zugangs sowie eine eigene E-Mail-Adresse enthält. An diese E-Mail-Adresse verschickt der Microsoft-Dienst dann eine E-Mail mit einer URL, die das Zugangskennwort von Passport zurücksetzt und mit einem eigenen Wert belegt werden kann. Dabei muss das bisherige Kennwort nicht eingetragen werden. Damit will Microsoft Passport-Nutzern helfen, wenn diese das eigene Kennwort vergessen haben, um dann mit einer erneuten Kennwort-Zuweisung wieder Zugang zu ihren Daten erlangen zu können.
Nach Angaben des Entdeckers dieser Sicherheitslücke reagierte Microsoft erst nach zehn E-Mails auf das Problem. Derzeit ist dieser Teildienst von Passport deaktiviert; Microsoft arbeitet an einer langfristigen Lösung des Problems. Passport wird unter anderem bei der Nutzung der Hotmail-Konten verwendet.
Update vom 9. Mai, 10:15 Uhr:
Mittlerweile will Microsoft das Sicherheitsleck gestopft haben und nun ein sichereres Verfahren gewählt haben, falls das eigene Kennwort vergessen wurde, um weiterhin auf den Passport-Zugang zugreifen zu können. Details nannte der Hersteller jedoch nicht.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Nein nicht doch! die groeste Sicherheitsluecke ist wohl Mikrosoft selber. Das einzige...
it's not a Bug.... it's a Feature ! ;-) mfg Pesche
Ein pakistanischer Sicherheitsexperte, soso. Da hören die in Redmont wahrscheinlich...
hehe. Ich frag mich wirklich wie MS mit dem TCPA noch behaupten kann das sie auf...