Abo
  • Services:

Nur Joomla hat bisher reagiert

Der Autor hat dieses Problem schon vor Monaten an die Entwickler der wichtigsten Webanwendungen gemeldet. Die Reaktionen waren äußerst verhalten. Die Entwickler vonTypo3, Drupal und Owncloud antworteten nicht einmal. Von Wordpress und Nextcloud kam zunächst zumindest Interesse an einer Diskussion, aber das verebbte auch schnell wieder, verändert wurde dort bislang nichts.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. TE Connectivity Germany GmbH, Feuchtwangen

Einzig Joomla hat seinen Installationsmechanismus geändert. Dort gibt es künftig einen zusätzlichen Authentifizierungsschritt, allerdings nur, wenn die MySQL-Datenbank auf einem externen Server liegt. In dem Fall muss der Nutzer ein Verzeichnis mit einem zufällig erzeugten Namen entfernen, um die Installation fortzusetzen.

Die Idee dabei: Ein Angreifer hat in aller Regel keine Zugangsdaten für den lokalen MySQL-Server. Absolut sicher ist das allerdings nicht. Ein Angreifer könnte etwa Zugangsdaten für die Server von beliebten Hosting-Providern sammeln und trifft mit Glück manchmal einen Server, für den er bereits Zugangsdaten besitzt.

Vorstellbar ist auch eine Kombination: Ein Angreifer führt den Angriff gegen verschiedene Webanwendungen durch. Wenn er eine Anwendung übernehmen kann, hat er anschließend auch die Möglichkeit, von der später von ihrem Besitzer installierten Anwendung die MySQL-Zugangsdaten zu klauen.

Sich als Nutzer zu schützen, ist kompliziert

Sich als Nutzer gegen ein solches Szenario zu schützen, ist schwierig. Bei einem Apache-Webserver ist es denkbar, eine htaccess-Datei hochzuladen, die den Installer mit einem Passwort schützt. Allerdings nutzen viele Webanwendungen selbst htaccess-Dateien, es kann also passieren, dass die sich in die Quere kommen. Umgehen kann man dieses Problem, indem man die htaccess-Datei im übergeordneten Verzeichnis ablegt. Das geht aber nur, wenn der Webhoster einem auch Schreibzugriff auf dieses Verzeichnis gibt.

Weiterhin möglich ist es, die Installation zunächst auf einem lokalen Testserver durchzuführen und anschließend hochzuladen. Das ist aber recht aufwendig.

Theoretisch kann man natürlich auch die Installation sehr schnell durchführen. Denn in aller Regel brauchen die Zertifikatslogs etwa eine halbe Stunde, bis die Zertifikate öffentlich sind. Allerdings kann man sich darauf nicht verlassen und es ist natürlich denkbar, dass zukünftige Zertifikatslogs schlicht schneller arbeiten.

Bislang keine Hinweise auf Angriffe

Bleibt zuletzt die Frage, ob Angreifer diese Möglichkeit schon kennen und von ihr Gebrauch machen. Der Autor hat dafür mehrere Subdomains mit Let's-Encrypt-Zertifikaten aufgesetzt, die niemandem sonst bekannt sind.

In den Logdateien der entsprechenden Hosts tauchte neben den Zugriffen des eigenen Testskripts bislang nur ein Zugriff von der Firma Netcraft auf. Netcraft erstellt Statistiken über das Web und nutzt dabei offenbar die Certificate-Transparency-Logs.

Zugriffe, die auf einen Angriff hindeuten, gab es bisher keine. Das kann sich aber bald ändern. Dass die überwiegende Mehrzahl der Webanwendungen ihre Nutzer bislang vor einem solchen Angriff nicht schützt, ist schwer zu verstehen.

Der Autor des Texts hat diesen Angriff auf der Def-Con-Konferenz in Las Vegas vorgestellt.

 Webanwendungen mit ungesicherten Installationsroutinen
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Blu-ray-Angebote
  1. 7,99€ inkl. FSK-18-Versand
  2. (nur für Prime-Mitglieder)

RipClaw 31. Jul 2017

Das mit dem "erst im Heimnetz installieren" machen leider die wenigsten. Die meisten...

JustSnipy 30. Jul 2017

Ist das Unternehmen groß genug, dass sich ein CEO-Fraud lohnen würde, wird in der Regel...

Vogel22 30. Jul 2017

Man kann den Prozess ja recht einfach mit einem Zwischenschritt absichern. Man benötigt...

thomas.pi 30. Jul 2017

Ich möchte ja erreichen, dass nicht jeder einen Mangento Shop aufsetzten kann und damit...

User_x 29. Jul 2017

und solange nix passiert, kräht auch kein hahn danach. mein vermieter ist kein...


Folgen Sie uns
       


Blackberry Key 2 - Hands on

Das Key2 ist das Nachfolgemodell des Keyone. Das Grundprinzip ist gleich. Im unteren Gehäuseteil gibt es eine fest verbaute Hardware-Tastatur. Darüber befindet sich ein Display im 3:2-Format. Das Schreiben auf der Tastatur ist angenehm. Im Juli 2018 kommt das Key2 zum Preis von 650 Euro auf den Markt.

Blackberry Key 2 - Hands on Video aufrufen
Leistungsschutzrecht/Uploadfilter: Worüber das Europaparlament wirklich abstimmt
Leistungsschutzrecht/Uploadfilter
Worüber das Europaparlament wirklich abstimmt

Das Europaparlament entscheidet am Donnerstag über das Leistungsschutzrecht und Uploadfilter. Doch Gegner und Befürworter streiten bis zuletzt, worüber eigentlich abgestimmt wird. Golem.de analysiert die Vorschläge.
Eine Analyse von Friedhelm Greis

  1. Urheberrecht Europaparlament bremst Leistungsschutzrecht und Uploadfilter
  2. Urheberrecht Freies Netz für freie Bürger
  3. Leistungsschutzrecht Verleger attackieren Bär und Jarzombek scharf

VR-Rundschau: Retten rockende Jedi-Ritter die virtuelle Realität?
VR-Rundschau
Retten rockende Jedi-Ritter die virtuelle Realität?

Der mediale Hype um VR ist zwar abgeflaut, spannende Inhalte dafür gibt es aber weiterhin - und das nicht nur im Games-Bereich. Mit dabei: das beliebteste Spiel bei Steam, Jedi-Ritter auf Speed und ägyptische Grabkammern.
Ein Test von Achim Fehrenbach

  1. Oculus Core 2.0 Windows 10 wird Minimalanforderung für Oculus Rift
  2. Virtual Reality BBC überträgt Fußball-WM in der virtuellen VIP-Loge
  3. VR-Brillen Google experimentiert mit Lichtfeldfotografie

Youtube Music, Deezer und Amazon Music: Musikstreaming buchen ist auf dem iPhone teurer
Youtube Music, Deezer und Amazon Music
Musikstreaming buchen ist auf dem iPhone teurer

Wer seinen Musikstreamingdienst auf einem iPhone oder iPad bucht, muss oftmals mehr bezahlen als andere Kunden. Der Grund liegt darin, dass Apple - außer bei eigenen Diensten - einen Aufschlag von 30 Prozent behält. Spotify hat Konsequenzen gezogen.
Ein Bericht von Ingo Pakalski

  1. Filme und Serien Nutzung von kostenpflichtigem Streaming steigt stark an
  2. Highend-PC-Streaming Man kann sogar die Grafikkarte deaktivieren
  3. Golem.de-Livestream Halbgott oder Despot?

    •  /