eRecht24 - Portal zum Internetrecht von Rechtsanwalt Sören Siebert

IT-Sicherheit: Vertrauliche Daten über Autocomplete abrufbar

Autocomplete/Autofill ist die Funktion in den meisten Browsern, die es ermöglicht, Benutzernamen, Mailadressen und Passwörter zu speichern, um die Eingabe für den Benutzer überflüssig zu machen. Dadurch soll es den Nutzern erleichtert werden, unter anderem Seiten, die eine Anmeldung benötigen, schneller zu erreichen. Ein neuer Bericht zeigt jedoch die Gefahren dieser praktischen Funktion auf.

Abrufen per Script

Jeremiah Grossman von White Hat Security hat diese Sicherheitslücke in einem Vortrag angesprochen. Daten, welche mittels Apple-Browser Safari 4 und 5 im Autocomplete gespeichert werden, können automatisiert über ein JavaScript abgefragt werden.

Damit die Anmelde-Daten eines Benutzers angezeigt werden, muss meistens das erste Zeichen eingegeben werden. Das Script wurde so konzipiert, dass sämtliche Anfangszeichen systematisch in den bekannten Formularfeldern einer präparierten Webseite getestet werden. Die einsetzende automatische Vervollständigung, wird anschließend vom Script ausgewertet. Dadurch können Daten-Diebe schnell zu ihren gewünschten Informationen gelangen.

Apple reagiert, andere Browser ebenfalls betroffen

 Die Information über diese Sicherheitslücke ist Mitte Juni bei Apple eingegangen und wurde Ende Juli geschlossen.

Doch nicht nur Apple-Nutzer haben mit dieser Problematik zu kämpfen, denn es waren bereits ähnliche Lücken beim Internet Explorer 6 und 7 bekannt. Über das Verfahren des Cross Site Scripting sei zusätzlich der Mozilla Firefox und Google Chrom angreifbar, sodass dort Login-Daten abgelesen werden können.

Fazit:

Die von Grossman offenbarten Sicherheitslücken sollten nicht nur von Nutzern, sondern auch von den Anbietern der Browser ernst genommen werden. Laut heise.de stellte Grossman eine Proof-of-Concept-Seite online, mit der in einem Test binnen 30 Sekunden Daten zuverlässig ermittelt werden konnten, die per Autocomplete von einem Benutzer eingegeben wurden.