Facebook begünstigt Clickjacking-Angriffe

Forscher warnt vor Dritt-Anwendungen

Sicherheitsexperte warnt vor Clickjacking auf Facebook (Foto: dhanjani.com)

Bellevue (pte021/19.01.2010/11:50) Facebook ist besonders anfällig für so genannte Clickjacking-Angriffe. Bei diesen Online-Attacken überlagern Hacker die Darstellung einer Webseite und der Nutzer wird im Glauben gelassen, scheinbar harmlose Klicks durchzuführen. Der Forscher und Sicherheitsexperte Nitesh Dhanjani http://dhanjani.com warnt nun davor, dass Hacker sich zunehmend Zugriff zu Facebook-Nutzeraccounts verschaffen könnten, während diese mit anderen Webseiten interagieren.

"Das Problem mit Clickjacking lässt sich eigentlich nur im Browser beheben", so McAfee-Sicherheitsexperte Toralv Dirro gegenüber pressetext. Social-Networking-Sites seien besonders anfällig, weil der Benutzer hier durch einen Link, der etwa als Message oder Wallpost geschickt wird, eine Seite öffnen könne und der Angreifer ziemlich sicher das Layout der Original Seite kenne. "Er weiß also, wie er die überlagernde Seite gestalten muss, damit der User unbewusst Aktionen ausführt", ergänzt Dirro.

Problem der Dritt-Anwendungen

Dhanjani sagt laut Cnet-Bericht auch, dass ein Formfehler auf Facebook Dritt-Anwendungen Zugriff auf Nutzer-Profildaten ermögliche, ohne dass die Zustimmung des Nutzers eingeholt werden müsse. Früher war es üblich, dass auf Facebook ein Pop-up-Fenster erschien, wenn eine Applikation hinzugefügt wurde, um diese zu autorisieren. Dadurch hatten User die Möglichkeit, sich die Integration von Apps nochmals genau zu überlegen.

Facebook hat im Zuge seiner Datenschutz-Umstellungen allerdings auch in diesem Bereich Änderungen vorgenommen. Somit können einige Anwendungen jetzt auch über ein neues impliziertes Autorisierungsfeature auf Nutzerdaten zugreifen, ohne dass eine Benachrichtigung angezeigt wird. "Das erlaubt Facebook mehr Dritt-Anwendungen einzuführen, was sich ebenfalls auf die Umsätze auswirken kann. Jegliche Warnung würde zumindest einige Nutzer vom Hinzufügen neuer Apps abhalten", meint Dhanjani.

Facebook rechtfertigt sich

"Die einzige Information, die von Apps automatisch eingeholt werden kann, ist jene, die öffentlich verfügbar ist und Information, die vom Nutzer für alle im Netz freigegeben wurde", rechtfertigt Facebook-Sprecher Simon Axten die neuen Richtlinien.

Doch auch andere Sicherheitsexperten neben Dhanjani sehen ein ähnliches Clickjacking-Problem auf der Seite. Nutzer könnten in die Falle bzw. auf Seiten gelockt werden, auf denen Malware versteckt ist, meint etwa der Forscher Shlomi Narkolayev. Ein Beispiel wäre eine Webseite, die aussieht wie ein E-Commerce-Portal, hinter der sich eine Facebook-Login-Seite versteckt. Wird dann irgendwo drauf geklickt, könnte sich so der Zugang zum Facebook-Account des Users öffnen, ohne dass dieser das überhaupt bemerkt.

Dass Apps ein großes Sicherheitsrisiko darstellen, davor warnte auch schon die Security-Firma Grey Hat. Laut einer Analyse vom Herbst 2009 sind auf Facebook zahlreiche Anwendungen in Umlauf, die gravierende Sicherheitslücken aufweisen (pressetext berichtete: http://www.pressetext.com/news/090921039/). Demnach hätten geübte Hacker etwa die Möglichkeit, Trojaner über die Online-Anwendungen zu verbreiten.

Aussender:	pressetext.deutschland
Ansprechpartner:	Claudia Zettel
Tel.:	+43-1-81140-314
E-Mail:	zettel@pressetext.com