Passwort-Warnung: Chrome-Plug-in lässt sich einfach umgehen
Bereits einen Tag nach dem Google die Erweiterung veröffentlicht hat, erschien ein erster Exploit. Eigentlich soll das Plug-in Nutzer vor Phishing-Seiten warnen. Trotz mehrerer Updates lässt sich die Sicherheitsfunktion offenbar immer noch umgehen.
Sicherheitsforscher haben Googles Anti-Phishing-Erweiterung “Passwort-Warnung” für Chrome bereits nach einem Tag ausgehebelt. Paul Moore demonstrierte am Donnerstag in einem YouTube-Video, wie sich das Warnsystem mit Leichtigkeit umgehen lässt. Dafür hat er lediglich sieben Codezeilen in eine Website eingefügt.
Vergangenen Mittwoch hatte Google das Plug-in Passwort-Warnung kostenlos veröffentlicht. Es soll Nutzer vor schädlichen Websites warnen, die vorgeben von Google zu stammen, um auf diese Weise an private Informationen zu gelangen – eine Praxis, die allgemein als Phishing bekannt ist.
“Vereinfacht ausgedrückt, muss jemand, der einen Phishing-Angriff auf ein Google-Konto starten will, lediglich diese sieben Codezeilen hinzufügen, um den Passwort-Warnung-Schutz nutzlos zu machen”, sagte Moore am Freitag in einem Interview mit Forbes. “Es ist wirklich beschämend.”
Moore hat für die Umgehung der Funktion zunächst eine gefälschte Google-Anmeldeseite erstellt. Auf den ersten Blick lässt sie sich nicht vom Original unterscheiden. Allerdings hat der Sicherheitsforscher einen JavaScript-Code eingebaut, der die Funktionsweise von Passwort-Warnung dahingehend beeinflusste, dass die Warnmeldung lediglich 5 Millisekunden lang angezeigt wurde. Nutzer können sie auf diese Weise praktisch nicht mehr wahrnehmen.
Nach der Veröffentlichung des Exploits, erklärte Google-Entwickler Andrew Hintz via Twitter, dass mit Version 1.4 der Fehler beseitigt wurde. Nutzer sollten schnellstmöglich die Erweiterung aktualisieren. Dafür müssen sie chrome://extensions/ im Browser aufrufen, den Entwicklermodus aktivieren und auf “Erweiterungen jetzt aktualisieren” klicken.
Moore konnte allerdings auch die gepatchte Version 1.4 überlisten, wie er auf Twitter schrieb. Am 1. Mai veröffentlichte Google Version 1.6 von Passwort-Warnung. Moore zufolge steht dafür aber bereits ein Exploit bereit. Daher fragt er in Richtung Jared Cohen, Direktor von Google Ideas: “Angesichts der Tatsache, dass mehr Exploits erschienen als Tage seit der Einführung vergangen sind, wird Google diese Idee aufgeben?”.
Passwort-Warnung sollte eigentlich darauf achten, dass Passwörter nicht auf Phishing-Seiten eingegeben werden. Sollte dies doch passieren, gibt es einen Warnhinweis aus mit der Empfehlung, das Passwort zu wechseln.
Google weist selbst darauf hin, dass das Add-on mit der “Safe Browsing“-Technik verwandt ist, die durch ein rotes Stoppschild vor gefährlichen Seiten warnt. Dem Unternehmen zufolge identifiziert sie “zum Beispiel Malware, Phishing sowie manipulierte und unerwünschte Software zuverlässig”. Auch die Sicherheitsprüfung für Konten gehe in diese Richtung.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
