HTTPS-Login: Seitenbetreiber stört sich an Sicherheit von Firefox

Die Entwickler des Firefox-Browsers haben einen Fehlerbericht erhalten, in dem sich ein Webseitenbetreiber über die Login-Warnung beschwert, die bei fehlendem HTTPS auftritt. Externe Entwickler nehmen das als Anlass für Häme und für Angriffe auf die Seite, um Nutzer zu schützen.

Artikel veröffentlicht am ,
Die Seite von Oil and Gas International ist unsicher und der Firefox zeigt das an.
Die Seite von Oil and Gas International ist unsicher und der Firefox zeigt das an. (Bild: Screenshot: Golem.de)

In einem Fehlerbericht an die Entwickler des Firefox-Browsers beschwert sich mutmaßlich der Betreiber einer Webseite darüber, dass der Browser eine Warnung auf dem Login-Feld der Seite anzeigt. Diese Warnung ist allerdings in der aktuellen Version von Firefox Standard und wird in Chrome vorbereitet. Sie erscheint nur, wenn die Seite mit dem Login nicht per HTTPS abgesichert ist.

Stellenmarkt
  1. Quality Assurance (QA) Executive (m/w/d)
    Fressnapf Holding SE, Düsseldorf
  2. Integration Solution Engineer (w/m/d)
    Dürr IT Service GmbH, Bietigheim-Bissingen
Detailsuche

Diese offensichtliche Unkenntnis sorgt bei vielen Entwicklern für Häme und Belustigung, etwa auf Twitter. Dort hat unter anderem Eric Mill den Link zu dem Bugreport öffentlich geteilt. Auch auf Reddit gibt es eine Diskussion zu dem Bug. Wahrscheinlich deshalb ist der Fehlerbericht auf Betreiben der Firefox-Entwickler inzwischen nicht mehr öffentlich einsehbar. Es gibt jedoch im Netz archivierte Versionen.

Firefox macht es offensichtlich richtig

Bei der betroffenen Seite handelt es sich um jene von Oil and Gas International. Im Fehlerbericht an die Firefox-Hersteller Mozilla heißt es zu der Warnung: "Bitte entfernen Sie diese sofort. Wir haben unser eigenes Sicherheitssystem und es wurde in mehr als 15 Jahren niemals durchbrochen. Ihre Warnung verursacht Besorgnis durch unsere Abonnenten und ist schädlich für unser Geschäft."

Dass Mozilla mit der Warnung im Firefox die Geschäfte anderer Unternehmen schädigen könnte, ist sicher nicht gewollt - wohl aber die Besorgnis der Nutzer der Seite. Immerhin werden die Kunden nun explizit darauf hingewiesen, dass sie ihre vertraulichen Daten unverschlüsselt übertragen und diese somit von Angreifern abgefangen werden könnten. Der Fehlerbericht ist konsequenterweise auch mit der Nachricht Wontfix geschlossen worden. Schließlich wird Mozilla dieses Verhalten zum Schutz der Nutzer nicht ändern.

Gesamte Seite kaputt

Golem Akademie
  1. Elastic Stack Fundamentals - Elasticsearch, Logstash, Kibana, Beats
    26.-28. Oktober 2021, online
  2. OpenShift Installation & Administration
    31. Januar-2. Februar 2022, online
  3. Linux-Systemadministration Grundlagen
    25.-29 Oktober 2021, online
Weitere IT-Trainings

Zusätzlich zu dem Bug der fehlenden HTTPS-Verschlüsselung auf der Webseite wird die auch sonst extrem schlechte Konfiguration der Seite öffentlich auseinandergenommen. Auf den beiden Plattformen Twitter und Reddit werden neben weiteren Fehlern etwa auch die extrem überalterte Software, das Speichern von Passwörtern in Klartext sowie die Möglichkeit von sehr einfachen SQL-Injections erörtert.

Letzteres ist wohl genutzt worden, um die darüber erreichbaren Passwörter der Nutzer und die Nutzerdaten selbst aus der Datenbank zu löschen. Möglicherweise hat das sogar zur Verbesserung der Sicherheit der Nutzer geführt, da die Daten nun nicht mehr von böswilligen Angreifern ausgenutzt werden können. Zusätzlich dazu ist auch die Seite für Neukunden zum Abschluss eines Vertrages nicht per HTTPS gesichert, so dass sogar Kreditkartendaten unverschlüsselt übertragen werden.

Das US-Magazin Arstechnica hat eigenen Angaben zufolge versucht, den Betreiber zu erreichen und eine Stellungnahme zu der schlechten Konfiguration sowie zu den geschilderten Vorgängen zu erhalten - bisher allerdings ohne Erfolg. Letzteres könnte auch daran liegen, dass die Anfrage selbst sowie die Diskussion im Web in den USA in den Abendstunden und der vergangenen Nacht stattgefunden haben. Sollte der Admin der Seite die ganze Aufregung tatsächlich verschlafen haben, blüht ihm wohl ein böses Erwachen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


der_wahre_hannes 05. Mai 2017

Aber sonst sind die SQL-Injections von der Seite verschwunden. Allerdings gibt es immer...

der_wahre_hannes 23. Mär 2017

Tja, das stimmt. Gerade in der Softwareentwicklung wird einem immer wieder schmerzlich...

der_wahre_hannes 23. Mär 2017

Dunning-Kruger. Er selbst wusste nicht, dass er Mist baut und es fehlte ihm die tiefere...

der_wahre_hannes 23. Mär 2017

Ähm, nein. Es ist schon wichtig zu wissen, woran genau eine Konvertierung scheitert. Mir...

My1 23. Mär 2017

schonmal chrome angeschaut? da steht sogar ein "sicher" in der zeile. und das Problem...



Aktuell auf der Startseite von Golem.de
Foundation bei Apple TV+
Die unverfilmbare Asimov-Trilogie grandios verfilmt

Gegen die Welt von Asimovs Foundation-Trilogie wirkt Game of Thrones überschaubar. Apple hat mit einem enormen Budget eine enorme Science-Fiction-Serie geschaffen.
Eine Rezension von Peter Osteried

Foundation bei Apple TV+: Die unverfilmbare Asimov-Trilogie grandios verfilmt
Artikel
  1. Mini-Konsole: Game-Boy-Klon Thumby ist nur drei Zentimeter groß
    Mini-Konsole
    Game-Boy-Klon Thumby ist nur drei Zentimeter groß

    Das Unternehmen Tinycircuits will via Kickstarter einen Game-Boy-Klon finanzieren. Der ist nur drei Zentimeter groß - und voll funktionsfähig.

  2. 600 Millionen Euro: Bundeswehr lässt Funkgeräte von 1982 nachbauen
    600 Millionen Euro
    Bundeswehr lässt Funkgeräte von 1982 nachbauen

    Das SEM 80/90 mit 16 KBit/s wird exakt nachgebaut, zum Stückpreis von rund 20.000 Euro. Das Retrogerät geht für die Bundeswehr in Serie.

  3. Lenovo Legion 5 bei Amazon um 300 Euro reduziert
     
    Lenovo Legion 5 bei Amazon um 300 Euro reduziert

    Das Gaming-Notebook ist bei Amazon zum Top-Preis erhältlich. Zudem sind weitere Artikel von Lenovo und Huawei sowie der Kindle Paperwhite im Angebot.
    Ausgewählte Angebote des E-Commerce-Teams

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung G7 31,5" WQHD 240Hz 499€ • Lenovo-Laptops zu Bestpreisen • 19% auf Sony-TVs bei MM • Samsung SSD 980 Pro 1TB 150,50€ • Dualsense-Ladestation 35,99€ • iPhone 13 erschienen ab 799€ • Sega Discovery Sale bei GP (u. a. Yakuza 0 4,50€) [Werbung]
    •  /