Studenten knacken Microsofts CardSpace

Identitätsdiebstahl ist die derzeit am schnellsten wachsende Bedrohung im Internet. Um die unsichere Authentisierung durch Nutzernamen und Passwort abzulösen, hat die Industrie neuartige Web-basierte Identity-Management-Systeme entwickelt.

Microsoft hat als Nachfolger von ‘MS Passport’ ein System namens CardSpace vorgestellt. CardSpace basiert auf offenen Standards, so dass es in verschiedene Applikationen eingebunden werden kann. Internet-Nutzer können CardSpace mit Hilfe des Internet Explorer 7 oder von Firefox 2 (mit speziellem Add-On) bereits heute als Alternative zur Passwort-basierten Authentifikation verwenden.

Firmen wie Google, Verisign und Yahoo haben eine Unterstützung für CardSpace in Aussicht gestellt. Die Lösung hat somit das Potenzial, in Zukunft zur Sicherung einer Vielzahl von Anwendungen zu dienen.

Chen und Löhr, Studenten am Horst-Görtz-Institut für IT-Sicherheit (HGI), konnten nach Angaben der Ruhr-Universität jetzt zeigen, dass ein Angreifer trotz der eingebauten Sicherheitsmaßnahmen auf die Identitätsdaten des CardSpace-Nutzers zugreifen kann. Der Angriff, Gegenmaßnahmen sowie der technische Bericht wurden im Internet veröffentlicht.

Die Idee von
CardSpace besteht darin, die Identitätsinformation im Browser zu speichern und in visueller Form (InfoCard) anzuzeigen. Durch Klicken auf eine InfoCard wird ein Authentisierungsprozess angestoßen, bei dem der Nutzer nur noch die zu übertragenden Daten bestätigen muss. Das System und die zugrunde liegenden kryptographischen Protokolle sorgen für die Sicherheit der Identifikation und schützen den Nutzer vor der Preisgabe seiner Daten, so Microsoft.

Dass dies Hacker jedoch nicht davon abhält, vertrauliche Daten auszuspähen, zeigte nun der Angriff der Studenten. Sie haben Microsoft informiert, das Unternehmen untersucht derzeit das Problem.