Abo
  • Services:
Anzeige
HTTPS soll eigentlich auch URLs schützen.
HTTPS soll eigentlich auch URLs schützen. (Bild: Wikipedia/Fabio Lanari/GFDL)

Black Hat 2016: Neuer Angriff schafft Zugriff auf Klartext-URLs trotz HTTPS

HTTPS soll eigentlich auch URLs schützen.
HTTPS soll eigentlich auch URLs schützen. (Bild: Wikipedia/Fabio Lanari/GFDL)

Besonders in öffentlichen Netzwerken schützen verschlüsselte HTTPS-Verbindungen davor, dass Admins oder gar andere Nutzer im gleichen Netz den eigenen Datenverkehr belauschen. Dieser Schutz ist offenbar löchrig - und zwar auf fast allen Browsern und Betriebssystemen.

Durch einen Missbrauch des Web-Proxy-Autodiscovery-Protokolls (WPAD) soll ein Zugriff auf die besuchten Klartext-URLs eines Nutzers möglich sein, auch wenn diese eigentlich per HTTPS geschützt sind. Der von den beiden Sicherheitsforschern Itzik Kotler und Amit Klein entwickelte Angriff soll erstmals in der kommenden Woche auf der Hackerkonferenz Black Hat vorgestellt werden.

Anzeige

Das HTTPS-Protokoll soll eigentlich per SSL/TLS-Verschlüsselung dafür sorgen, dass der gesamte Datenverkehr eines Clients über ein nicht vertrauenswürdiges Netz, einschließlich URLs, Cookies und Verbindungsparameter, geschützt wird. Lediglich die Hostnamen besuchter Webseiten werden für die Funktionalität von TCP/IP immer per Klartext übertragen.

URLs können viele private Informationen enthalten

Wie Arstechnica berichtet, soll es einem Netzwerk-Administrator in dem neuen Szenario nun aber möglich sein, nicht nur Hostnamen, sondern die gesamte URL im Klartext abzufischen. Dafür gibt es offenbar mehrere Angriffswege, von denen mindestens einer auch aus der Ferne ausgeführt werden könnte.

"Wir zeigen, dass HTTPS keine Sicherheit bietet, wenn WPAD aktiviert ist", zitiert Arstechnica Itzik Kotler, CTO der Sicherheitsfirma Safebreach und Mitentwickler des Angriffs. "Daher sind viele Leute durch diese Attacke betroffen, sobald sie in nicht vertrauenswürdigen Netzen surfen."

Proxy Autoconfig als Angriffsvektor

So könne ein böswilliger Netzwerk-Administrator dem Client-Browser über DHCP eine sogenannte Proxy-Autoconfig-Datei (PAC) ausliefern. PAC ist eine DHCP-Funktion, die es ermöglicht, Clients in einem Netzwerk die Nutzung bestimmter Proxy-Server vorzuschreiben. Dies ist besonders in komplexeren Unternehmensnetzen interessant, kann aber im Prinzip auch problemlos zum Beispiel in offenen Flughafen-WLANs eingesetzt werden. PAC - und damit ein arglistiger Netzwerk-Administrator - sollen so jede URL im Klartext abgreifen können, bevor HTTPS diese schützen kann.

  • Beispiel einer PAC-Datei. (Quelle: Wikipedia)
Beispiel einer PAC-Datei. (Quelle: Wikipedia)

Der restliche Datenverkehr bleibt bei dem Angriff durch HTTPS geschützt, lediglich die URL wird vollständig geleakt. Allein diese Information kann jedoch überaus kritische Informationen wie beispielsweise Passwörter, Benutzernamen und Session-IDs enthalten. Auch Links zu privat geteilten Dokumenten über Dienste wie Owncloud oder Google Docs dürften ein lohnenswertes Angriffsziel darstellen.

Microsoft schützt offenbar am besten

Einen einfachen Schutz gegen die Attacke gibt es Koentwickler Klein zufolge nicht. Der Fehler stecke im seit 1999 standardisierten WPAD, das von allen großen Browsern und Betriebssystemen unterstützt wird. Einen Workaround zeige allerdings Microsofts Edge sowie Internet Explorer 11. Beide Browser beschränkten die über WPAD leakbaren Informationen auf ein Minimum, indem sie beim Aufruf der PAC-Datei lediglich die Hostnamen der Webseiten übermittelten, nicht aber die gesamte URL.

Der Black-Hat-Vortrag mit weiteren Informationen ist für den 3. August 2016 geplant.


eye home zur Startseite
no_maam_sky 04. Aug 2016

HTTPS ist wohl eher so schlau wie: einem IKEA Holzstuhl eine Säge beizulegen und zu...

redmord 28. Jul 2016

Richtig lesen: https://tools.ietf.org/html/rfc6749#section-4.2.2 "by adding the following...

Allandor 28. Jul 2016

HTML5 ist ein Moloch von neuen Möglichkeiten. Kein Browser unterstützt derzeit alles was...

amagol 28. Jul 2016

Username+Passwort (oder OAuth-Token) gehoeren in den Authentication-Header. Die URL mag...

FreiGeistler 27. Jul 2016

Aha, Und der Abschnitt "Requirements" ist noch ganz interessant. Also zusammengefasst...



Anzeige

Stellenmarkt
  1. Groz-Beckert KG, Albstadt
  2. Weischer.Regio GmbH & Co. KG, Hamburg
  3. Deutsche Hypothekenbank AG, Hannover
  4. Bechtle Onsite Services GmbH, Stuttgart


Anzeige
Spiele-Angebote
  1. für 44,99€ statt 60,00€
  2. 499,99€
  3. + Prämie (u. a. Far Cry 5, Elex, Assassins Creed Origins) für 62€

Folgen Sie uns
       


  1. Mobilfunk

    Netzqualität in der Bahn weiter nicht ausreichend

  2. Bake in Space

    Bloß keine Krümel auf der ISS

  3. Sicherheitslücke

    Fortinet vergisst, Admin-Passwort zu prüfen

  4. Angry Birds

    Rovio verbucht Quartalsverlust nach Börsenstart

  5. Erneuerbare Energien

    Tesla baut in drei Monaten einen Netzspeicher in Australien

  6. Netzwerkdurchsetzungsgesetz

    Zweites Löschzentrum von Facebook startet in Essen

  7. Raumfahrtpionier

    Der Mann, der lange vor SpaceX günstige Raketen entwickelte

  8. Auch Italien

    Amazon-Streik am Black Friday an sechs Standorten

  9. Urteil

    Winsim-Preiserhöhung von Drillisch ist hinfällig

  10. Automatisierung

    Hillary Clinton warnt vor den Folgen künstlicher Intelligenz



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Erneuerbare Energien: Siemens leitet die neue Steinzeit ein
Erneuerbare Energien
Siemens leitet die neue Steinzeit ein
  1. Siemens und Schunk Akkufahrzeuge werden mit 600 bis 1.000 Kilowatt aufgeladen
  2. Parkplatz-Erkennung Bosch und Siemens scheitern mit Pilotprojekten

Orbital Sciences: Vom Aufstieg und Niedergang eines Raketenbauers
Orbital Sciences
Vom Aufstieg und Niedergang eines Raketenbauers
  1. DFKI Forscher proben robotische Planetenerkundung auf der Erde
  2. Arkyd-6 Planetary Resources startet bald ein neues Weltraumteleskop
  3. Nasa und Roskosmos Gemeinsam stolpern sie zum Mond

Indiegames-Rundschau: Von Weltraumpiraten und dem Wunderdoktor
Indiegames-Rundschau
Von Weltraumpiraten und dem Wunderdoktor
  1. Verlag IGN übernimmt Indiegames-Anbieter Humble Bundle
  2. Indiegames-Rundschau Fantastische Fantasy und das Echo der Doppelgänger
  3. Indiegames-Rundschau Cyberpunk, Knetmännchen und Kampfsportkünstler

  1. Re: nicht krümelnde Brötchen liebe ich...

    Killerkeks | 12:27

  2. Re: In einer so Fortgeschrittenen Gesellschaft...

    C4landra | 12:26

  3. Re: Wieviel haette man gespart

    gadthrawn | 12:26

  4. Re: Man stelle sich mal vor alle Berufsgruppen...

    highrider | 12:26

  5. gibt's doch schon ewig!

    jake | 12:25


  1. 12:35

  2. 12:00

  3. 11:47

  4. 11:25

  5. 10:56

  6. 10:40

  7. 10:28

  8. 10:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel