|
Schwachstelle im SSL Protokoll ermoeglicht Twitter Passwort Klau
Veröffentlicht am Dienstag, 17.November 2009 von Redaktion Der türkische Student Anil Kurmus hat nach eigenen Angaben eine seit Anfang des Monats bekannte Sicherheitslücke im Design des SSL / TLS Protokolls für einen Angriff ausgenutzt. Mit seinem Angriff hat er die Meinung der Sicherheitsexperten widerlegt, dass der Designfehler in den Protokollen bei der Neuaushandlung von Verbindungsparametern zwischen Client und Server für Angriffe interessant sei, da er sich nur schwer ausnutzen lasse. Anil Kurmus hat in einem Blog geschrieben, dass es ihm gelungen sei ein Twitter-Passwort via Man-in-the-Middle-Attacke auszuspähen. Damit widerlegt er die Annahme der Sicherheitsexperten, dass durch die Sicherheitslücke im SSL-Protokoll, durchaus auch brauchbare Daten ausgespäht werden können. Die Sicherheitslücke im Design des SSL/TLS-Protokolls ermöglicht es potentiellen Angreifern in eigentlich geschützte Verbindungen eigene Inhalte einzuschleusen. Um an sensible Daten seines Test Opfers zu gelangen manipulierte der Student HTTPS-Requests an die Twitter-API und erreichte so, dass Nutzername und Passwort als Tweet veröffentlicht und somit für ihn sichtbar wurden. Anil Kurmus beschreibt, dass er bei seinem Angriff den verschlüsselten HTTPS-Request seines Test Opfers an seinen eigenen Twitter-Request praktisch als Nachricht angehängt habe. Der Inhalt des Pakets seines Test Opfers waren allerdings nicht sofort einzusehen. Durch die sogenannte TLS-Renegotiation Lücke fügt der Server beide Pakete nach der Entschlüsselung zu einem zusammen. Was zur Folge hatte, dass der HTTP-Request des Opfers als Tweet, wie man Nachrichten bei Twitter nennt, im seinem Nutzer Konto einsehbar wurden. Für den Studenten waren somit Nutzername und Passwort einzusehen. Zwar waren die Daten Base64-kodiert, allerdings war es kein großes Problem die Daten zu entschlüsseln. Laut einem Bericht von Twitter soll durch einen Fix verhindert werden, dass die von dem Studenten beschriebene Sicherheitslücke weiter ausgenutzt werden kann. letzten News 
DSGVO Besonnenheit statt Panik
Schaedlinge im Netz So wird trotzdem sicher gesurft
Gefahren aus dem Internet erkennen und vorbeugen
Navigationsgeraete werden zunehmend von Smartphone und Tablet PC abgeloestKommentar: |  |
|
|||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||
