Sicherheitslücke in Online-Netzwerken: Wie Firesheep Facebook & Co. kapert
Ein Sicherheitsexperte hat ein Programm geschrieben, mit dem man in Sekunden Login-Daten in sozialen Netzwerken und auf E-Commerce-Seiten ausspionieren kann.
Das Demovideo ist eindrucksvoll. Ein YouTube-Nutzer zeigt, wie man mit einer in dieser Woche erschienenen neuen Software namens Firesheep Sitzungen bei Twitter und Facebook "entführen" kann. Dazu muss man nur ein Ergänzungsprogramm im Browser Firefox hinzufügen und sich nur im gleichen Netz wie das Opfer befinden - ein Klick genügt, schon hat man Zugriff auf dessen Login-Daten. Firesheep beherrscht diesen Trick auch bei Amazon, Flickr, der Online-Seite der New York Times, Foursquare, einigen Google- und Yahoo-Diensten sowie einer ganzen Reihe weiterer bekannter Web-Angebote.
Wie Firesheep funktioniert, das vom US-Sicherheitsexperten Eric Butler programmiert wurde, ist schnell erklärt. Zwar nutzen viele Webseiten zur Übertragung von Nutzernamen und Passwörtern die in den Browsern eingebaute Verschlüsselungstechnik SSL. Danach schalten sie aber wieder in den unverschlüsselten Modus um, was bedeutet, dass alle Daten potenziell sichtbar werden.
Befindet man sich beispielsweise in einem WLAN-Café, in dem diverse andere Rechner parallel eingeloggt sind, kann jeder mitlesen, was der andere gerade im Netz so treibt - zumindest solange die Daten unverschlüsselt gesendet werden. Firesheep setzt dabei bei den sogenannten "Session Cookies" an. Das sind kleine Datenkrümel, die Internet-Angebote nach dem Login (und häufig auch später) auf die Festplatte des Nutzers schreiben. Die Cookies sind wie ein Ausweis: Wer Zugriff darauf hat, kann sich als Nutzer ausgeben, ohne dessen Passwort zu kennen.
Da es um Sicherheit geht, war Firesheep-Programmierer Butler die Aufmerksamkeit des Netzes sicher. In den ersten 24 Stunden wurde sein kostenloses, quelloffenes Programm über 100.000 Mal heruntergeladen, bei Google USA wurden entsprechende Suchen zum Trendbegriff. Er habe sich lange überlegt, ob er Firesheep veröffentlichen sollte, so der Sicherheitsexperte, und habe sich dafür entschieden. "Kriminelle kennen das ja schon und ich weise den Vorwurf zurück, dass etwas wie Firesheep aus sonst unschuldigen Menschen plötzlich böse Menschen macht." Werkzeuge wie Firesheep seien seit Jahren verfügbar, nun zeige das Programm allen, wie einfach sie zu benutzen seien.
Facebook, Twitter und Co. haben bislang noch nicht auf die Bedrohung reagiert. Peinlich für die großen Webseiten ist vor allem, dass eine Dauerverschlüsselung sensibler Dienste heutzutage kaum mehr Leistung kostet - ein Argument, dass über Jahre stets gebracht wurde. Google hat entsprechende Tests durchgeführt, nachdem das populäre Webmail-Programm Google Mail auf SSL umgestellt wurde. Der Ingenieur Adam Langley schrieb einmal, dieser Schritt sorge für ein Prozent mehr an Serverbelastung. Auch der zusätzliche Speicherbedarf halte sich stark in Grenzen.
Bevor die großen Netzwerke reagieren und häufiger verschlüsseln, können Nutzer gegen Firesheep und ähnliche Hacker-Werkzeuge gleich mehrere Hilfsmaßnahmen ergreifen. Die wohl einfachste ist eine weitere Firefox-Ergänzung und hört auf den Namen HTTPS Everywhere. Das kleine Programm stammt von der US-Netzbürgerrechtsorganisation EFF und sorgt dafür, dass zahlreiche wichtige Seiten automatisch gezwungen werden, eine verschlüsselte Verbindung aufzubauen und zu halten.
Dazu gehören nicht nur Facebook und Twitter, sondern auch Shopping-Angebote wie Amazon, das Online-Lexikon Wikipedia. Das gilt auch für die Suchmaschine Google, die bereits seit einigen Monaten verschlüsselt genutzt werden kann, was sich leider noch nicht rumgesprochen hat. HTTPS Everywhere wird regelmäßig aktualisiert und lässt sich mit etwas Mühe auch an spezielle Fälle anpassen. Zu beachten ist, dass nicht jeder Anbieter alles verschlüsselt. So kommen bei Wikipedia nur die Texte und Suchanfragen per SSL zum Nutzer, Bilder derzeit leider noch nicht.
Alternativ kann man erwägen, bei der Nutzung offener WLAN-Netze mit einem so genannten VPN (Virtual Private Network) zu arbeiten. Dabei wird eine direkte und verschlüsselte Verbindung zu einem vertrauenswürdigen Server im Internet aufgebaut. Andere Nutzer im gleichen Netz sehen nichts mehr, gesurft wird über diesen zusätzlichen "Ausgang", den man abgesichert erreicht. VPN-Zugänge werden häufig von Firmen eingesetzt oder auch von privaten Anbietern für einige Euro im Monat verkauft.
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
meistkommentiert
IStGH erlässt Haftbefehl gegen Netanjahu
Wanted wegen mutmaßlicher Kriegsverbrechen
Nahost-Konflikt
Alternative Narrative
Gespräche in Israel über Waffenruhe
Größere Chance auf Annexion als auf Frieden
+++ Nachrichten im Nahost-Krieg +++
IStGH erlässt Haftbefehl gegen Netanjahu und Hamas-Anführer
Krieg in der Ukraine
USA will Ukraine Anti-Personen-Minen liefern
Pistorius wird nicht SPD-Kanzlerkandidat
Boris Pistorius wählt Olaf Scholz