Abo
  • IT-Karriere:

Websicherheit: Apple-Datei auf Webservern verrät Verzeichnisinhalte

Mittels Parser lassen sich aus .DS_Store-Dateien sensible Informationen auslesen. Das Projekt Internetwache.org hat sich die proprietäre Lösung von Apple genauer angeschaut - und Erstaunliches zutage gefördert.

Eine Analyse von Tim Philipp Schäfers und Sebastian Neef veröffentlicht am
Daten werden über die DS_Store-Dateien ungewollt preisgegeben.
Daten werden über die DS_Store-Dateien ungewollt preisgegeben. (Bild: Martin Wolf/Golem.de)

Apples DS_Store-Dateien können vertrauliche Informationen auf Webservern verraten, wie eine aktuelle Untersuchung des Projekts Internetwache.org zeigt. Dafür wird die sogenannte Desktop-Services-Store-Datei genutzt. Sie wurde 1999 im Zuge der Überarbeitung des Finders unter Mac OS eingeführt und existiert in jedem Ordner. In ihr wird die exakte Anzeigeposition einer Datei im Finder gespeichert, zudem ist sie für die Erfassung von Bewertungen oder Kommentaren zu den Dateien und die Ordneransicht zuständig. Mit einem von Internetwache.org entwickelten Tool können die Inhalte der Datei für Menschen zugänglich ausgelesen werden.

Inhalt:
  1. Websicherheit: Apple-Datei auf Webservern verrät Verzeichnisinhalte
  2. Viele Webseiten nach wie vor angreifbar

Für die zuletzt genannten Zwecke werden in der Datei die Dateinamen aus den jeweiligen Verzeichnissen codiert abgespeichert. Das Dateiformat ist prinzipiell nur für Mac-OS-Systeme interpretierbar, allerdings sind mittlerweile einige ausführliche Dokumentationen zu dem Dateiformat online verfügbar.

Häufige Sicherheitsprobleme durch .DS_Store in der Vergangenheit

Die Datei hat in der Vergangenheit immer wieder für Unmut bei den Nutzern und auch Sicherheitsprobleme gesorgt. Vor einigen Jahren war es beispielsweise möglich, mittels manipulierter .DS_Store-Datei beliebigen Programmcode auszuführen. Zudem beschwerten sich Nutzer (auch im Golem.de-Forum) darüber, dass die .DS_Store-Dateien willkürlich auf externen Datenträgern oder Netzlaufwerken angelegt wurden.

Apple reagierte auf die Kritik träge, stellte aber schließlich eine Dokumentation bereit, mit der sich die Funktion deaktivieren ließ und dämmte im Rahmen von Updates auch die Verbreitung auf Netzlaufwerken ein, da es bei mehrfachem Zugriff durch verschiedene Macs offensichtlich zu Problemen bei Kopiervorgängen kam.

Stellenmarkt
  1. MicroNova AG, Braunschweig, Kassel
  2. BWI GmbH, Bonn, Berlin, Strausberg

Trotzdem findet sich die Datei bis heute auf vielen Datenträgern und Medien. Mit Hilfe von online verfügbaren Dokumentationen und durch längere Beschäftigung mit dem Dateiformat konnte Internetwache.org einen Parser schreiben, mit dem aus den UTF-16-codierten Datenblöcken die ursprünglichen Dateinamen zu ermitteln sind. Das Tool steht auch als Webapplikation zum Selbsttest zur Verfügung.

Über 10.000 Webseiten geben Informationen zum Verzeichnisinhalt preis

Internetwache.org hat auch die laut dem Statistikdienst Alexa 1 Million beliebtesten Webseiten des Internets nach .DS_Store-Dateien gescannt und die Ergebnisse in einem Blogpost dokumentiert. Die Ergebnisse zeigen, dass über 10.000 Webseiten der Top 1 Million .DS_Store-Dateien preisgeben. Der Scan wurde rekursiv durchgeführt, nahm also beim Fund einer .DS_Store-Datei im Wurzelverzeichnis auch die Unterverzeichnisse ins Visier und suchte dort nach .DS_Store-Dateien.

Am stärksten waren mit 5.019 betroffenen Webseiten COM-Adressen von der Informationspreisgabe betroffen, DE-Adressen liegen mit 285 betroffenen Webseiten auf Platz 5. Auch 74 Bildungseinrichtungen (EDU-Domains) sind von der Informationspreisgabe betroffen. Im Zuge der Untersuchung konnte das Team der Internetwache.org feststellen, dass zahlreiche Webseiten über die DS_Store-Dateien ungewollt auch sensible Informationen preisgeben. Einige Betreiber von großen Webseiten, bei denen ersichtlich war, dass die Informationspreisgabe Informationen für potenzielle Angreifer bereitstellen könnte, wurden im Vorfeld dieser Berichterstattung über den Fund informiert.

Leider haben nicht alle reagiert.

Viele Webseiten nach wie vor angreifbar 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 279,90€
  2. (reduzierte Überstände, Restposten & Co.)

Nick van Hill 18. Mai 2019

Was gibt's dort zu sehen? Bitte um Spoiler, hab keine Lust es zu installieren. Aber du...

sori 15. Mai 2018

(entschuldigt die eher späte Antwort; ging zwischen den Tabs iwie vergessen...) Was ich...

phade 22. Mär 2018

Ich freu mich immer sehr, wenn auch RPMs oder diverse andere Pakete diese Dateien...

zZz 17. Mär 2018

Sehe ich genauso!

MadDoc 15. Mär 2018

Anscheinend weiß Microsoft das selber noch nicht. --> https://answers.microsoft.com/en-us...


Folgen Sie uns
       


Nokia 6.2 und 7.2 - Hands on

Das Nokia 6.2 und das Nokia 7.2 sind zwei Android-Smartphones im Mittelklassesegment. Beide sind Teil des Android-One-Programms und dürften entsprechend schnelle Updates erhalten.

Nokia 6.2 und 7.2 - Hands on Video aufrufen
Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

SSD-Kompendium: AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick
SSD-Kompendium
AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick

Heutige SSDs gibt es in allerhand Formfaktoren mit diversen Anbindungen und Protokollen, selbst der verwendete Speicher ist längst nicht mehr zwingend NAND-Flash. Wir erläutern die Unterschiede und Gemeinsamkeiten der Solid State Drives.
Von Marc Sauter

  1. PM1733 Samsungs PCIe-Gen4-SSD macht die 8 GByte/s voll
  2. PS5018-E18 Phisons PCIe-Gen4-SSD-Controller liefert 7 GByte/s
  3. Ultrastar SN640 Western Digital bringt SSD mit 31 TByte im E1.L-Ruler-Format

Linux-Kernel: Selbst Google ist unfähig, Android zu pflegen
Linux-Kernel
Selbst Google ist unfähig, Android zu pflegen

Bisher gilt Google als positive Ausnahme von der schlechten Update-Politik im Android-Ökosystem. Doch eine aktuelle Sicherheitslücke zeigt, dass auch Google die Updates nicht im Griff hat. Das ist selbst verschuldet und könnte vermieden werden.
Ein IMHO von Sebastian Grüner

  1. Kernel Linux bekommt Unterstützung für USB 4
  2. Kernel Vorschau auf Linux 5.4 bringt viele Security-Funktionen
  3. Linux Lockdown-Patches im Kernel aufgenommen

    •  /