Abo
  • Services:
Anzeige
Zugangsdaten in Gefahr: Browser-Erweiterungen nicht blind vertrauen

Zugangsdaten in Gefahr

Browser-Erweiterungen nicht blind vertrauen

Auch wenn Google Chrome als sehr sicherer Browser gelten mag - es ist dennoch Vorsicht angebracht. Der Entwickler Andreas Grech hat demonstriert, wie sich mit einer Google-Chrome-Extension in Webseiten eingegebene Zugangsdaten ausspähen lassen.

Der auf Malta lebende Andreas Grech zeigt mit Beispielcode, dass es auch bei Google Chrome über Extensions möglich ist, unter anderem Benutzernamen und Passwörter auszulesen. Die Schadsoftware könnte sie dann etwa über E-Mail verschicken. Grech hat das mit seinen privaten Login-Daten bei Gmail, Facebook, Twitter und anderen bekannten Webseiten erfolgreich ausprobiert - im Google-Chrome-Repository ist seine Test-Extension nicht gelandet.

Anzeige

Das Auslesen von in Formulare eingegebenen Daten ist für die in Javascript und HTML geschriebenen Chrome-Extensions möglich, weil sie Zugriff auf das Document Object Model (DOM) erhalten. Immer wenn ein Nutzer ein Formular absendet, versucht Grechs einfache Erweiterung Username und Passwort abzufangen. Über einen Ajax-Aufruf werden sie dann inklusive einer E-Mail an Grech geschickt, danach wird dann das Formular ordnungsgemäß übermittelt, damit dem Benutzer nichts auffällt.

Grech will mit seinem Proof-of-Concept-Code vor allem den sorglosen Mitmenschen zeigen, dass das Thema Browsersicherheit nicht unterschätzt werden darf. Nur sehr wenige würden darüber nachdenken, was in einem Script vor sicht geht. Anderen Browser könnten ebenso anfällig für diesen Angriff sein, so Grech im eigenen Blog - wo auch der Beispielcode zu finden ist. Er habe sich aber für eine Demonstration mit Google Chrome entschieden, weil der Browser als der derzeit "sicherste Browser" gelte. Das will Grech nicht abstreiten, aber mahnt dazu, dennoch nicht blind fremder Software zu vertrauen, die in den Browser installiert wird.


eye home zur Startseite
Clint Westwood 15. Jul 2010

Wayne interessierts?

lxg 13. Jul 2010

Uff, kann ich gerade nicht genau sagen. Ich vermute schon, dass sich hinter $.ajax ein...

Heinze 12. Jul 2010

Wie man sieht hat keiner verstanden worauf du hinaus willst. Ja Erweiterungen sind...

Dick Darlington 12. Jul 2010

CHAP? Eigentlich müsste doch nur die Antwort auf eine Challenge übermittelt werden, und...

geronimo89 12. Jul 2010

Finde den Beitrag auch sehr schwach, da es wirklich ganz und garnicht erstaunlich ist...



Anzeige

Stellenmarkt
  1. Fresenius Kabi Deutschland GmbH, Bad Homburg
  2. Dürr IT Service GmbH, Bietigheim-Bissingen
  3. Pluradent AG & Co. KG, Offenbach
  4. OSRAM GmbH, Berlin


Anzeige
Hardware-Angebote
  1. auf Kameras und Objektive
  2. (reduzierte Überstände, Restposten & Co.)
  3. 18,99€ statt 39,99€

Folgen Sie uns
       


  1. GigaKombi

    Vodafone verbessert Datenpaket für Warten aufs Festnetz

  2. Datenrate

    O2 drosselt mobiles Internet wegen EU-Roamings

  3. Netgear Nighthawk X6S

    Triband-Router kann mit Sprache gesteuert werden

  4. Spark

    DJI-Minicopter stürzt ab

  5. Nachfolger Watchbox

    RTL beendet Streamingportal Clipfish

  6. Chipmaschinenausrüster

    ASML demonstriert 250-Watt-EUV-System

  7. Linux-Distribution

    Opensuse Leap 42.3 baut Langzeitpflege aus

  8. Soziales Netzwerk

    Facebook soll an Smart-Speaker mit Display arbeiten

  9. Kumu Networks

    Vollduplex-WLAN auf gleicher Frequenz soll noch 2018 kommen

  10. IT-Dienstleister

    Daten von 400.000 Unicredit-Kunden kompromittiert



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
IETF Webpackage: Wie das Offline-Internet auf SD-Karte kommen könnte
IETF Webpackage
Wie das Offline-Internet auf SD-Karte kommen könnte
  1. IETF Netzwerker wollen Quic-Pakete tracken
  2. IETF DNS wird sicher, aber erst später
  3. IETF Wie TLS abgehört werden könnte

Gaming-Monitor Viewsonic XG 2530 im Test: 240 Hertz, an die man sich gewöhnen kann
Gaming-Monitor Viewsonic XG 2530 im Test
240 Hertz, an die man sich gewöhnen kann
  1. LG 43UD79-B LG bringt Monitor mit 42,5-Zoll-Panel für vier Signalquellen
  2. SW271 Benq bringt HDR-Display mit 10-Bit-Panel
  3. Gaming-Bildschirme Freesync-Displays von Iiyama und Viewsonic

Anker Powercore+ 26800 PD im Test: Die Powerbank für (fast) alles
Anker Powercore+ 26800 PD im Test
Die Powerbank für (fast) alles
  1. Toshiba Teures Thunderbolt-3-Dock mit VGA-Anschluss
  2. Asus Das Zenbook Flip S ist 10,9 mm flach
  3. Anker Powercore+ 26800 PD Akkupack liefert Strom per Power Delivery über USB Typ C

  1. Re: Das ist nicht Fake News, sondern...

    My1 | 22:12

  2. Re: AMD und Intel dem Untergang geweiht

    x2k | 22:03

  3. Re: O2 auf 0,5Mbit/s gedrosselt

    stuempel | 21:56

  4. Re: nur Ausspass

    Nachtschatten | 21:53

  5. Re: Ryzen mit update auch?

    x2k | 21:44


  1. 19:35

  2. 17:26

  3. 16:53

  4. 16:22

  5. 14:53

  6. 14:15

  7. 14:00

  8. 13:51


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel