Abo
  • Services:

Datenverkehr analysiert

Die Sicherheitsexperten haben dazu einen Proxyserver mit einem eigenen Zertifikat eingerichtet und zunächst den Datenverkehr zwischen einem Android-Emulator und den Google-Servern abgegriffen und analysiert. Bei der abgefangenen Anfrage an den Server wird ein mit einem 1.024-Bit-RSA-Key verschlüsseltes Passwort übertragen. Zurück kam ein zeitlich begrenztes Token.

Stellenmarkt
  1. Bosch Gruppe, Berlin
  2. OKI EUROPE LIMITED, Branch Office Düsseldorf, Düsseldorf

Die Experten ersetzten das verschlüsselte Passwort durch ein anwendungsspezifisches Passwort im Klartext und zusätzlich den Parameter EncyrptedPassword durch Password. Die beiden Parameter sind säuberlich in der Dokumentation des Clientlogin-APIs vermerkt. Auch hier kam vom Server android.clients.google.com ein funktionierendes Token zurück.

Der Datenverkehr zwischen Client und Server ging aber weiter. Aus der nächsten Login-Anforderung und der Antwort des Servers konnten Goodman und sein Team die sogenannte Merge-Session-URL auslesen, die allerdings nur für kurze Zeit gültig ist. Als diese URL in einem nicht authentifizierten Browser eingegeben wurde, öffnete sich die Webseite mit den Einstellungen des Google-Accounts sofort und ohne Passworteingabe.

Einfach gehackt

Ein Angreifer benötigte demnach lediglich einen Benutzernamen und ein einziges anwendungsspezifisches Passwort und eine einfach zu manipulierende URL, um sich eines Google-Kontos von einem beliebigen Gerät aus zu bemächtigen - unter Umgehung der zweifachen Authentifizierung, resümiert Goodman.

Fehler behoben

Seim Team habe Google seine Ergebnisse zugespielt und der Suchmaschinenkonzern habe schnell reagiert, schreibt Goodman. Seit dem 21. Februar 2013 werde der Zugang zu den Kontoeinstellungen und zu der Webseite, auf denen weitere anwendungsspezifische Passwörter für ein Konto erstellt werden können, stärker abgesichert. Anwender müssen ihren Benutzernamen und Passwort eingeben, um auf die Seite zu gelangen, auch wenn der Browser eine Merge-Session-URL an die Google-Server übergibt. Außerdem gibt es jetzt eine Warnung, wenn ein Anwender ein anwendungsspezifisches Passwort abholt: "Mit diesem Passwort erhalten Sie uneingeschränkten Zugriff auf Ihr Google-Konto."

 Google: Passwörter konnten leicht missbraucht werden
  1.  
  2. 1
  3. 2


Anzeige
Spiele-Angebote
  1. 14,95€
  2. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)
  3. 19,99€
  4. 9,95€

Folgen Sie uns
       


Amazons Fire TV Stick 4K - Test

Im Test konnte uns Amazons Fire TV Stick 4K überzeugen. Vor allem die neu gestaltete Fernbedienung macht die gesamte Nutzung wesentlich komfortabler. Damit ist der Fire TV Stick 4K auch für Nutzer interessant, die noch keinen 4K-Fernseher besitzen. Amazon verkauft den Fire TV Stick 4K für 60 Euro.

Amazons Fire TV Stick 4K - Test Video aufrufen
Gaming-Tastaturen im Test: Neue Switches für Gamer und Tipper
Gaming-Tastaturen im Test
Neue Switches für Gamer und Tipper

Corsair und Roccat haben neue Gaming-Tastaturen auf den Markt gebracht, die sich vor allem durch ihre Switches auszeichnen. Im Test zeigt sich, dass Roccats Titan Switch besser zum normalen Tippen geeignet ist, aber nicht an die Geschwindigkeit des Corsair-exklusiven Cherry-Switches herankommt.
Ein Test von Tobias Költzsch

  1. Azio RCK Retrotastatur wechselt zwischen Mac und Windows-Layout
  2. OLKB Planck im Test Winzig, gerade, programmierbar - gut!
  3. Alte gegen neue Model M Wenn die Knickfedern wohlig klackern

Google Nachtsicht im Test: Starke Nachtaufnahmen mit dem Pixel
Google Nachtsicht im Test
Starke Nachtaufnahmen mit dem Pixel

Gut einen Monat nach der Vorstellung der neuen Pixel-Smartphones hat Google die Kamerafunktion Nachtsicht vorgestellt. Mit dieser lassen sich tolle Nachtaufnahmen machen, die mit denen von Huaweis Nachtmodus vergleichbar sind - und dessen Qualität bei Selbstporträts deutlich übersteigt.
Ein Test von Tobias Költzsch

  1. Pixel 3 Google patcht Probleme mit Speichermanagement
  2. Smartphone Google soll Pixel 3 Lite mit Kopfhörerbuchse planen
  3. Google Dem Pixel 3 XL wächst eine zweite Notch

IMHO: Valves Ka-Ching mit der Brechstange
IMHO
Valves "Ka-Ching" mit der Brechstange

Es klingelt seit Jahren in den Kassen des Unternehmens von Gabe Newell. Dabei ist die Firma tief verschuldet - und zwar in den Herzen der Gamer.
Ein IMHO von Michael Wieczorek

  1. Artifact im Test Zusammengewürfelt und potenziell teuer
  2. Artifact Erste Kritik an Kosten von Valves Sammelkartenspiel
  3. Virtual Reality Valve arbeitet an VR-Headset und Half-Life-Titel

    •  /