Categories: Cloud

Webnutzer-Tracking über Passwort-Manager

Forscher der Princeton University haben herausgefunden, dass einige Websites Skripte einsetzen, um E-Mail-Adressen von Nutzern auszuspähen. Dies wird durch eine Schwachstelle in verschiedenen Passwort- und Login-Managern ermöglicht. Die E-Mail-Adressen wiederum dienen der Identifikation von Nutzern, um deren Internetaktivitäten zu verfolgen.

“Die zugrundeliegende Anfälligkeit der Login-Manager für den Diebstahl von Anmeldedaten ist seit Jahren bekannt”, schreiben die Forscher Gunes Acar, Steven Englehardt, and Arvind Narayanan. Bisher habe sich die Diskussion auf das Auslesen von Passwörtern im Rahmen von Cross-Site-Scripting-Angriffen konzentriert. “Glücklicherweise haben wir bei der Analyse von 50.000 Websites keinen Passwortdiebstahl entdeckt.”

Stattdessen setzten einige Websitebetreiber nun Tracking-Skripte ein. “Sie missbrauchen dieselbe Technik, um E-Mail-Adressen zu extrahieren”, so die Forscher weiter. “Wir haben zwei Skripte gefunden, die diese Technik nutzen, um E-Mail-Adressen aus Login-Managern auszulesen. Die Adressen werden anschließend gehasht und an einen oder mehrere Dritt-Server verschickt.”

Ausgewähltes Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Die Skripte fügen demnach unsichtbare Anmeldeformulare in den Hintergrund einer Website ein. Erkennt der Browser ein solches Formular und füllt er es wie gewohnt aus, landen die Daten beim Websitebetreiber, der daraus eine eindeutige ID generiert, um Nutzer auf ihrem Weg durchs Internet zu verfolgen.

Generell hätten Login-Manager einen positiven Effekt auf die Sicherheit im Web, ergänzten die Forscher. “Browseranbieter sollten jedoch überdenken, ob sie einen heimlichen Zugriff auf automatisch ausgefüllte Anmeldeformulare erlauben. Generell sollten Browserentwickler und Standardisierungsgremien prüfen, wie etwas durch nicht vertrauenswürdige Skripte missbraucht werden kann.”

Ausgewähltes Webinar

Praxisleitfaden für den Schutz von Unternehmen vor Ransomware

Helge Husemann, Product Marketing Manager EMEA von Malwarebytes, stellt in diesem 60-minütigen Webinar (Aufzeichnung) die neue Sicherheitslösung Malwarebytes Endpoint Protection vor. Sie enthält ein mehrstufiges Sicherheitskonzept und bietet damit einen effektiven Schutz vor modernen Bedrohungen wie WannaCry, Petya und anderen.

Schon Ende November 2017 hatten die Princeton-Forscher auf sogenannte Session-Replay-Skripte aufmerksam gemacht. Sie erlauben es Websitebetreibern, jegliche Interaktion von Nutzern mit ihren Online-Angeboten nachzuvollziehen. Ihrer Studie zufolge landen in Webformulare eingebebene Daten auch dann beim Betreiber der Seite, wenn das Formular nicht gespeichert und der Vorgang abgebrochen wird. Die Skripte sollen sogar in der Lage sein, versehentlich über die Zwischenablage eingefügte Inhalte zu erfassen.

[mit Material von Tom Jowitt, Silicon.co.uk]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Redaktion

Recent Posts

Banken und Versicherer sind KI-Großabnehmer

Ein Großteil der weltweiten KI-Gelder fließt in den Finanzsektor. 2023 wurden in der Branche 87…

18 Stunden ago

Siemens legt 10 Milliarden Dollar für Software-Spezialisten auf den Tisch

Die Übernahme des US-amerikanischen Anbieters Altair Engineering soll die Position im Markt für Computational Science…

19 Stunden ago

Standortübergreifender KI-Einsatz im OP-Saal

Ein deutsch-französisches Projekt hat hybride Operationssäle entwickelt, die durch 5G-Netz und KI neue Anwendungen ermöglichen.

20 Stunden ago

OT-Security braucht zunächst Asset-Transparenz

Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…

4 Tagen ago

Künstliche Intelligenz erreicht die Cloud

KPMG-Studie: 97 Prozent der Cloud-nutzenden Unternehmen verwenden KI-Dienste von Cloud-Anbietern.

5 Tagen ago

AI Act: Durchblick im Regulierungsdickicht

Bitkom veröffentlicht Online-Tool und Leitfaden zum KI-Einsatz in Unternehmen. Beide Angebote sind kostenlos.

5 Tagen ago