FireSheep: Firefox-Erweiterung zum Account-Hacking im offenen WLAN

Offene WLANs in Kneipen, Bars, Cafés und Privathaushalten sind komfortabel… und gefährlich. Mit einer neuen Firefox-Erweiterung kann jedermann in offenen Funknetzwerken beliebig Nutzerkontodaten mitschnüffeln – und sich problemlos in fremde Facebook-, Twitter- und Google-Benutzerkonten einloggen.

Die Technik ist nicht neu – bisher brauchte man jedoch zumindest Erfahrung im technischen Umgang mit WLAN-Sniffern wir WireShark, um in offenen Funknetzwerken fremde Login-Daten mitzuprotokollieren. Dank des Firefox-Addons FireSheep kann das jetzt jeder machen.

Die Software funktioniert denkbar einfach: Es reich völlig, sich in einer Bar oder einem anderen Ort mit ungesichertem Funknetzwerk aufzuhalten, in dieses Netzwerk eingebucht zu sein und zu warten. Sobald jemand im gleichen WLAN sich an einem Service anmeldet, der keine vollständige SSL-Verschlüsselung anbietet und greift dabei die in einem lokalen Session-Cookie gespeicherten Login-Daten ab. Der Nutzer von FireSheep erhält eine Übersicht, wer im gleichen WLAN gerade welchen Service nutzt und bietet die Option an, sich mit ebenjenen Benutzerdaten direkt dort einzuloggen. Auf diese Weise erhält man Vollzugriff auf das entsprechende Konto – sei es Flickr, Facebook, Google Mail, Twitter, Amazon, Dropbox oder Foursquare – und kann dort private Kommunikation einsehen, Benutzereinstellungen und Passwörter ändern – ohne dass der Geschädigte davon weiß.

Der Entwickler von FireSheep, Eric Butler, sieht sein Programm nicht als Hacker-Tool, sondern als Druckmittel, um die Webservices zu zwingen, bessere Sicherheitsmechanismen zu implementieren:

“Es ist vollkommen normal, dass Webseiten Passwörter schützen, indem sie den ursprünglichen Login verschlüsseln, aber überraschenderweise selten, dass Webseiten alles andere verschlüsseln. HTTP Session Hijacking, manchmal “Sidejacking” genannt, passiert, wenn ein Angreifer auf ein Cookie eines Nutzers zugreifen kann. Auf diese Weise kann der Angreifer all das tun, was auch der Nutzer auf einer bestimmten Website machen kann. In einem offenen WLAN werden Cookies im Grunde durch den Raum geschrien, wodurch Angriffe dieser Art extrem einfach sind.

Dieses Problem ist weithin bekannt und ist längst zu Tode diskutiert. Dennoch schaffen es nach wie vor auch hochpopuläre Webseiten nicht, ihre Nutzer zu schützen. Der einzige Schutz vor diesem Problem ist vollständige End-to-End-Verschlüsselung, bekannt als HTTPS oder SSL. Facebook rollt regelmäßig neue ‘Privatsphäre’-Funktionen aus, in einem kontinuierlichen Versuch, die Schreie unzufriedener Nutzer zum Verstummen zu bringen, aber was bringt das alles, wenn man einfach ein Benutzerkonto komplett übernehmen kann? Twitter hat alle Drittanbieter-Dienste verpflichtet, OAuth-Autentifizierung zu verwenden – veröffentlichte (und bewarb) jedoch unmittelbar darauf eine neue Version dessen unsicherer Webseite. Im Bezug auf Nutzersicherheit ist SSL die einzige wirkliche Lösung.”

Firesheep wird mit Sicherheit einiges anAufsehen erregen. Nutzer, die sich der Gefahren bis dato nicht bewusst waren, sollten ungesicherte Funknetze vermeiden, sowohl für Laptops als auch Smartphones und andere mobile Geräte. Es sollten nur WLANs verwendet werden, die mit WPA oder WPA2 gesichert sind. Viele Webdienste bieten zudem optionale SSL-Verschlüsselung an, die Firefox-Erweiterung HTTPS Everywhere erzwingt diese Verschlüsselungart bei vielen Webdiensten, bietet aber nicht zwingend Schutz vor Cookie-Übernahmen.

Eric Butler: Firesheep

Neue Artikel von GIGA SOFTWARE

GIGA Marktplatz