Wie eine neue Studie zeigt, sind ebenfalls Login-Manager nicht weiterhin sicher vor Datenklau. Werbefirmen nutzen sie um E-Mail-Adressen und Passwörter von Nutzern zu extrahieren. Das Eingeben einer E-Mail-Adresse und eines Passworts ist im Internet zur Gewohnheit geworden um auf verschiedene Accounts zuzugreifen. Doch diese Methode birgt auch Gefahren – da Werbefirmen und andere Dritte Zugang zu sensiblen Daten erhalten können.
So können wir uns beim nächsten Besuch auf Knopfdruck einloggen.
Wirklich sicher ist die ganze Sache aber offenbar nicht: Denn wie Heise berichtet, haben Forscher der Princeton Universität herausgefunden, dass einige Werbefirmen offenbar Tracking-Skripte nutzen um die im Login-Manager gespeicherten E-Mail-Adressen auszulesen – allerdings nicht im Klartext, allerdings in Form eines MD5-Hashwerts.
Autofill führt zu Datenklau
Das Auslesen funktioniert laut Aussage der Forscher folgendermaßen: Der Nutzer gibt seine Daten zum Login auf einer beliebigen Webseite ein und klickt dann im entsprechenden Browser-Fenster auf Speichern, zu diesem Zweck der Login-Manager sich die Daten merkt. Besucht der Nutzer anschließend Inhalte derselben Webseite ohne Login-Eingabe-Fenster, erzeugt das jetzt vorhandene Tracking-Skript ein für den Nutzer unsichtbares Login-Formular.
Wenn der Login-Manager die Nutzerdaten per Autofill-Funktion in das Formular eingibt, speichert das Skript den Hashwert der E-Mail-Adresse. Die Funktionsweise lässt sich auf einer Demo-Webseite der Forscher nachvollziehen.
Dabei geht es laut den Forschern und dem Bericht von Heise nicht darum die Login-Daten zu erhalten oder die E-Mail-Adressen zu Spam-Zwecken zu missbrauchen, sondern um eine versteckte Form des Trackings die Cookies unnötig macht.
Phishing-Versuche mit ähnlichen Methoden gab es bereits in der Vergangenheit, ebenso wie etwa die im Januar 2017 vom finnischen Webentwickler Viljami Kuosmanen aufgedeckten Fälle. Ähnlich wie hier empfehlen die Forscher auch in Bezug auf das Tracking-Skript die Deaktivierung von Autofill im Browser um dem Vorgehen einen Riegel vorzuschieben.
Kommentare