Abo
  • Services:

iPhone-App: Sicherheitslücke bei Instagram

Der Hacker Steven Graham hat einen Programmierfehler beim Foto-Sharing-Dienst Instagram gefunden. Um Druck auf das Mutterunternehmen Facebook zu machen, droht er nun mit einem Hackerangriff.

Artikel veröffentlicht am , Thorsten Schröder
Im WLAN kann Instagram gehackt werden.
Im WLAN kann Instagram gehackt werden. (Bild: Elise Pearce/Getty Images)

Der Foto-Sharing-Dienst Instagram hat offenbar eine Sicherheitslücke, bei der über öffentliche WLAN-Netze auf Profile der Nutzer zugegriffen werden kann. Dies hat der Londoner Entwickler Steven Graham herausgefunden und dem Instagram-Mutterkonzern Facebook mitgeteilt - in der Hoffnung, eine Belohnung zu bekommen. Weil ihm das Bug Bounty genannte Kopfgeld von Facebook verweigert wurde, machte er den Programmierfehler am Sonntag per Twitter publik: "Bug Bounty verweigert. Der nächste Schritt ist nun ein automatisches Tool zu bauen, das Massenentführung der Nutzerkonten ermöglicht. Ziemlich ernsthafte Schwachstelle, Facebook. Bitte fixen."

Stellenmarkt
  1. Universität Konstanz, Konstanz
  2. Spiegel-Verlag Rudolf Augstein GmbH & Co. KG, Hamburg

Graham wisse seit Jahren von dieser Sicherheitslücke. Hintergrund ist, dass Instagram für den Großteil seiner Datenübertragung HTTP benutzt, womit der Nutzername und die dazugehörige Accountnummer unverschlüsselt weitergegeben werden. Wie Graham aufzeigt, werden auch andere Informationen zwischen den iPhones der Instagram-Nutzer und dem Dienst frei zugänglich übertragen. Auch wenn die Anmeldeinformationen inklusive Passwörtern über eine sichere Verbindung ausgetauscht werden, können die Konten über den gleichen Cookie anderer ausgetauschter Informationen im selben Netz - ohne Neuanmeldung - geknackt werden. "Sobald man einen Cookie hat, kann jedes Ziel damit authentifiziert werden, ob HTTPS oder HTTP", sagt Graham.

Hacking-Tool soll Instasheep heißen

Die Sicherheitslücke erinnert an das Cookie-Klau-Tool Firesheep, das Facebook im Jahr 2010 dazu veranlasste, HTTPS-Verbindungen einzuführen. Deswegen will Graham sein per Twitter angekündigtes automatisches Tool zum Ausspähen der Nutzerdaten nun Instasheep nennen.

Instagrams Mitbegründer Mike Krieger erklärte unterdessen auf Hacker News, die Foto-App sei gerade dabei, ihre HTTPS-Abdeckung auszuweiten. Dabei sollten jedoch Leistung, Stabilität und Nutzungserlebnis nicht leiden. Das Projekt soll bald abgeschlossen sein. Ob die Schwachstelle auch die Android-App betrifft, blieb laut Heise vorerst unklar.

Seit den Enthüllungen durch Edward Snowden haben große Internetunternehmen ihre Angebote nach und nach verschlüsselt. Noch gebe es aber Lücken, oder der Zugang zu verschlüsselten Webseiten müsse explizit ausgewählt werden.



Anzeige
Blu-ray-Angebote
  1. 9,99€
  2. (2 Monate Sky Ticket für nur 4,99€)

eizi 30. Jul 2014

ARP-Spoofing oder gar in einem offenen WLAN die Karte im MonitorMode laufen lassen und...

OnlineGamer 30. Jul 2014

Wer sich da einklinkt ist doch selber Schuld! Sich damit zu brüsten eine App gefunden zu...


Folgen Sie uns
       


E3 2018, wenig Hardware, mehr Spiele - Livestream

Neue Hardware (PC, Konsolen, Handhelds) sind auf der diesjährigen E3 in Los Angeles wohl nicht zu erwarten, oder doch? Diese und andere spannende Fragen zur Messe diskutieren die Golem.de-Redakteure Peter Steinlechner und Michael Wieczorek im Livestream.

E3 2018, wenig Hardware, mehr Spiele - Livestream Video aufrufen
Garmin im Hands on: Alle Fenix 5 Plus bieten Musik und Offlinenavigation
Garmin im Hands on
Alle Fenix 5 Plus bieten Musik und Offlinenavigation

Selbst das kleinste Modell der Fenix 5 von Garmin verfügt in der neuen Plus-Version über 16 GByte statt über 64 MByte internem Speicher. Der wird für Musik und Offlinekarten mit frischen Ideen genutzt - Golem.de hat die Sportuhren im Hands on ausprobiert.


    Alte gegen neue Model M: Wenn die Knickfedern wohlig klackern
    Alte gegen neue Model M
    Wenn die Knickfedern wohlig klackern

    Seit 1999 gibt es keine Model-M-Tastaturen mit IBM-Logo mehr - das bedeutet aber nicht, dass man keine neuen Keyboards mit dem legendären Tippgefühl bekommt: Unicomp baut die Geräte weiterhin. Wir haben eines der neuen Modelle mit einer Model M von 1992 verglichen.
    Ein Test von Tobias Költzsch

    1. Kailh KS-Switch im Test Die bessere Alternative zu Cherrys MX Blue
    2. Apple-Patent Krümel sollen Macbook-Tastatur nicht mehr stören
    3. Tastaturen Matias bringt Alternative zum Apple Wired Keyboard

    Urheberrrecht: Etappensieg für Leistungsschutzrecht und Uploadfilter
    Urheberrrecht
    Etappensieg für Leistungsschutzrecht und Uploadfilter

    Trotz aller Proteste: Der Rechtsausschuss des Europaparlaments votiert für ein Leistungsschutzrecht und Uploadfilter. Nun könnte das Plenum sich noch dagegenstellen.

    1. EU-Urheberrechtsreform Wie die Affen auf der Schreibmaschine
    2. Leistungsschutzrecht VG Media darf Google weiterhin bevorzugen
    3. EU-Verhandlungen Regierung fordert deutsche Version des Leistungsschutzrechts

      •  /