• IT-Karriere:
  • Services:

Ich bin Du: Cookie-Klau für Webmail in WLANs

Neue Demos vom Security-Experten Dave Maynor

Auf der in der vergangenen Woche in Las Vegas abgehaltenen BlackHat-Konferenz hat der in der Security-Branche recht bekannte Dave Maynor zusammen mit Robert Graham, beide inzwischen Besitzer von "Errata Security", seine neuen Erkenntnisse ausgebreitet. Die beiden zeigten dabei, wie man mit einfachsten Mitteln an WLAN-Hotspots fremde Identitäten annehmen kann, beispielsweise den Zugang zu einem E-Mail-Konto eines Webmailers.

Artikel veröffentlicht am ,

Die Idee hinter dem als neue Sicherheitslücke vorgeführten Problem ist offenbar so simpel, dass bisher nur niemand auf die Idee kam, den Effekt breit angelegt auszunutzen. Wer sich an einem unverschlüsselten WLAN-Hotspots einloggt, überträgt seine Daten durch die Luft völlig ungesichert. Ein Angreifer kann ohne irgendwelche Hacks die gesamte Kommunikation mitschneiden - dabei lassen sich dann aber auch die Cookies des Browsers abfangen, die ein anderer Benutzer an einen Webserver schickt.

Stellenmarkt
  1. Stadt Korschenbroich, Korschenbroich
  2. NEXPLORE Technology GmbH, Essen, Darmstadt, München

Viele Anwender denken offenbar nicht daran, dass sie über Funktionen mit Namen wie "Eingeloggt bleiben" oder "Automatische Anmeldung" den Schlüssel zu einer digitalen Identität wie einem E-Mail-Konto oder dem Zugang zu einem Forum auf dem Notebook mit sich herumtragen. Für die Vorführungen auf den BlackHat-Briefings entwickelten Dave Maynor und Co. zur Behandlung von Cookies zwei kleine Programme namens "Ferret" und "Hamster", die sie demnächst veröffentlichten wollen. Das Frettchen (Ferret) sammelt Cookies ein, wenn der eigene Rechner im selben WLAN wie die anzugreifende Maschine eingeloggt ist. Die Browser-Kekse kann man dann bequem sichten und, sobald man auf etwas Interessantes stößt, mit dem Hamster in die Backentaschen des eigenen Browsers stopfen.

Nun muss der Angreifer nur noch wissen, für welche Webseiten die Cookies gedacht sind - hat der Zielrechner beispielsweise die Login-Seite eines E-Mail-Dienstes als Startseite des Browsers eingestellt, ist das besonders einfach. Dafür reicht auch schon Google, wenn man Google-Mail benutzt: Selbst bei einer einfachen Suchabfrage ist man dort über das Cookie angemeldet, wenn man die entsprechende Funktion nutzt. Mit theoretischen Beispielen über vermeintlich sichere Zugänge in Firmennetzwerke, die bisweilen auch per Browser ohne VPN möglich sind, schaffen Errata Security in ihrem Vortrag, der auch als Powerpoint-Datei vorliegt, weitere Bedrohungsszenarien. Dabei ist die Abhilfe aber ganz einfach: Man muss nur unter Verzicht auf den Komfort die Einlog-Automatiken abschalten, wenn man auf Reisen geht.

Den Security-Experten geht es mit der Vorführung des Identitätsklaus auch um ein nicht technisch lösbares Problem, das sie "Data Seepage" nennen, was sich mit "Durchsickern von Daten" übersetzen lässt und noch einen Schritt weiter als das bekannte Problem der "Data Leakage" geht. Das Verb "to leak" ist im Englischen für den gleichen Vorgang nicht so stark wie "to seep". Wenn Informationen nicht "leaken", sich also aus eigentlich vertraulichen Quellen verbreiten, sondern frei zugänglich sind, sieht Errata Security die "Seepage" gegeben. Was zunächst für harmlos gehalten wird, macht erst im Zusammenhang ein Sicherheitsproblem aus, wie beispielsweise die interne Firmen-Webseite, die nicht per Google gefunden werden kann. Über die Startseite eines Browsers und das Cookie kann man aber leicht Zugang dazu erhalten. In ihrer Präsentation bauen die BlackHat-Redner noch weitere Szenarien für Data Seepage, die aber eher mit "Social Engineering" und der Terrorangst der US-Regierung zu tun haben.

Dave Maynor, der neben Robert Graham für den Vortrag verantwortlich zeichnet, machte in den letzten Jahren mehrfach auf Sicherheitsprobleme aufmerksam, die aber weit technischer waren als der Cookie-Effekt. So entdeckte er eine Lücke in den WLAN-Treibern von Drahtlos-Adaptern von Drittherstellern für Apple-Rechner und in Toshibas Bluetooth-Stack.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Total War Promo (u. a. Total War: Three Kingdoms für 25,99€, Total War: Attila für 9...
  2. (u. a. Samsung GQ65Q700T 65 Zoll 8K für 1.199€, LG OLED65BX9LB 65 Zoll OLED für 1.555€)
  3. 654€ (mit Rabattcode "PLUSDEALS10" - Bestpreis)
  4. (u. a. Razer Blade Pro 17 (2020) 17,3'' Full HD 300Hz i7 RTX 2080 Super 16GB 512GB SSD Chroma RGB...

raccoon 07. Aug 2007

weil er nich(t) denk(t)

raccoon 07. Aug 2007

das is doch so offensichtlich das es keinem erst gesagt werden muss, oder? logst du dich...

Martin F. 07. Aug 2007

Er kommt auch an die benutzte Mailadresse. Die kann er nun mit Spam versorgen (lassen...

BWL ist toll 07. Aug 2007

Fahr mal durch Nürtingen ... alle 5 Meter ein ungesichertes WLAN Heimnetz... mehr sag...

smash 07. Aug 2007

oha, was wird das so hochgepuscht? es ist doch schon jaaaaahre lang bekannt, dass man im...


Folgen Sie uns
       


Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /