Leck: User von Social Networks können identifiziert werden

03. Februar 2010 09:19

IT-Forscher deckten Daten-Sicherheitslücke im Internet auf

Wissenschaftler eines internationalen Forschungslabors für IT-Sicherheit haben nach einem Bericht von "Spiegel Online" in einer Studie herausgefunden, wie vermeintlich anonyme Internet-Nutzer namentlich identifiziert werden können. Diese Sicherheitslücke gefährde die Daten von Millionen Websurfern, heißt es dem Bericht zufolge in der Studie des Isec-Forschungslabors. Betroffen sind demnach alle Mitglieder von sozialen Netzwerken wie etwa Facebook oder Xing, die sich sogenannten Netzwerk-Gruppen angeschlossen haben.

Präparierte Website

Ansatzpunkt des als technisch nicht aufwändig beschriebenen Vorgangs ist demnach der gezielte Missbrauch einer bestimmten Browser-Funktion. Der Spionage-Angriff läuft über eine präparierte Webseite, die Informationen des Browsers abruft, diese sammelt und in Beziehung zu anderen Datensätzen setzt. So gelingt laut der Studie nicht nur die namentliche Identifizierung des Internet-Nutzers, auch dessen Surf-Verhalten wird erfasst.

Warnung vor Erpressung

Kriminelle könnten Internet-Nutzer mit Hilfe der Daten direkt kontaktieren oder erpressen, warnten die Forscher Thorsten Holz und Gilbert Wondracek, die die Studie geschrieben haben, in "Spiegel Online" vor den Risiken einer Sicherheitslücke. "Prinzipiell sind alle Internet-Angebote betroffen, in denen sich Menschen unter ihrem Klarnamen anmelden und in Gruppen organisieren", sagte Holz. Das Isec-Forschungslabors für IT-Sicherheit ist eine Kooperation der Technischen Universität Wien mit dem französischen Institute Eurécom und der University of California. (APA/AFP)

Kommentar posten
20 Postings
robert2006
04.02.2010 10:05
Ein Beispiel zu Facebook

Ein Kundenbetreuer einer Bank wird von einer Kundin als Freund mit dem Zugriff auf ihre Facebook-Seite autorisiert. Beinahe zeitgleich erhält er ein automatisch generiertes Mail mit vorgeschlagenen Personen, die ebenfalls als Freunde definiert werden könnten. Zufällig sind diese Personen ebenfalls Kunden von ihm und es besteht keine Verbindung zu der ersten Kundin! Wo bleibt hier der Datenschutz, abgesehen davon, daß damit das Bankgeheimnis völlig ausgehebelt wird! Ist übrigens tatsächlich so gewesen.

hubsi9
06.02.2010 23:32

bitte was versuchen sie da uns zu erzählen?

Mr. Bubbles
04.02.2010 09:57

geh leck!

brennessel
16.02.2010 17:38
geh, leck, geh!

Hannes Rannes
03.02.2010 12:28
Geht's hier darum?

http://didyouwatchporn.com/

fangdenhut
03.02.2010 21:23
No you didn't

...tja, da müssen sie wohl noch besser werden :D

Bastian Balthasar Bux
25.02.2010 20:47

hier auch. schwache performance . ;)
überhaupts bei ner fixen ip. ;)

Alexander Reiter
03.02.2010 14:04

Teilweise Man versucht aus dem bekannten Leck mit der (visited) Linkformatierung auf Gruppenmitgliedschaften in sozialen Netzwerken zu schließen. Und da die Mitgliederlisten öffentlich sind, kann man mit ziemlicher Treffergenauigkeit auf den User schließen. Siehe http://www.spiegel.de/netzwelt/... 95,00.html

http://www.iseclab.org/people/gi... xperiment/

XphX
 
03.02.2010 12:10
Also, es ist zumindest nicht neu,...

dass fast jeder PC eine so einmalige Konfiguration hat (installierte Plugins etc.), dass er über den Browser eine Art Fingerabdruck hinterlässt.

Wie der Name dabei ausgelesen werden soll, ist mir jetzt nicht klar. Hm.

Atlas Shrugged
 
03.02.2010 18:07

ganz einfach :)
Sie melden sich bei irgendeinem Dienst mit ihrem Realnamen an,
ihr Name wird gespeichert und in Verbindung mit dem digitalen Fingerabdruck ihres Browsers gebracht,
sie melden sich irgendwo mit einem Phantasienamen an,
die Website erstellt digitalen Fingerabdruck und fragt eine Datenbank danach ab.
Voila - erledigt

+DieMeinung+
03.02.2010 10:21
Aber Chrome ist ja so gefährlich ...

Offensichtlich hängt es mehr vom Benutzerverhalten als vom Browser ab, was irgendwer über mich weiß.

posaunist
03.02.2010 09:30
wieso braucht man für KFZ einen führerschein

für PCs jedoch nicht?

uinsel
03.02.2010 09:59

weil man mit einem KFZ betrunken anderen schaden zufügen kann, betrunken vor dem PC sitzen schadet aber nur einem selber.

Bastian Balthasar Bux
25.02.2010 20:48

das ist so genau gar nicht korrekt.
Oder wie erklären Sie Botnetze?

BTW: ich bin schon lange für einen 'Kinderführerschein'. Was sich heutzutage so alles fortpflanzen darf kann schließlich auch nicht gesund sein ... ;)

Simskoarl
 
03.02.2010 13:17

Es sind schon Leute verurteilt worden, die vom PC aus andere in den Tod getrieben haben.

+DieMeinung+
03.02.2010 10:19

Na wenn von dem PC irgendeines Clowns 1000e Spam emails abgehen und der nix merkt betrifft es mich aber auch.

Vorratsdatenspeicherung = Verfassungswidrig!
03.02.2010 12:14
das ist kein schaden anderer!

dass schlimmstenfalls dein isp anruft und verlangt, dass du deinen rechner fixt, tötet keinen anderen.

Bastian Balthasar Bux
25.02.2010 20:51

der schaden betrifft diejenigen die die spammails bekommen. -> ist ja nicht umsonst verboten.

aber weitaus mehr schaden (und ich denke wir können hier allein europaweit von euro-milliarden ausgehen) haben allerdings die ISPs davon. Denn die müssen teure Infrastrukturen schaffen um dem Spam herr zu werden.

Das nächste ist: botnetze können nicht 'nur' spam verschicken. man kann die dinger auch für weitaus gefährlichere sachen verwenden.

Also bitte erst mal denken und dann posten.

kandesbunzler
03.02.2010 10:13
betrunken online

... und wenn ich Ihren namen rausfinden würde und Ihnen online strafbare Handlungen nachsagen würde? das wäre dann auch nicht ganz schadlos ;-)

gulba
 
03.02.2010 09:51
wenn ...

auf der straße ein kanaldeckel nicht da ist oder bricht hilft dir der beste führerscheinabschluß nichts

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.