|
Browser und Erweiterungen wie LastPass
können durch eine präparierte Webseite dazu gebracht werden,
sensible Autofill-Formulardaten zu verraten. Der Nutzer bekommt
nichts davon mit. Dabei kann es sich um Anschrift, Unternehmen,
Telefonnummer, E-Mail-Adresse und Kreditkartendaten handeln.
Der finnische Entwickler und Hacker Viljami Kuosmanen enthüllte
und belegte dies mit seinem Exploit. Auf Twitter
zeigte eine
Animation das Abgreifen von Daten und er kommentierte dies mit:
„Das ist der Grund, warum ich Autofill in Webformularen nicht
mag“. Den Code dazu veröffentlichte er auf GitHub.
Eine interaktive Demoseite
richtete er ebenfalls ein.
Die Methode von Kuosmanen ist Simpel. Er fand heraus, dass Autofill
gespeicherte Informationen nicht nur in sichtbaren Textboxen, sondern
auch in nicht sichtbarere plaziert. Daher könnten potenzielle
Angreifer einfache Felder wie Name und E-Mail-Adresse anzeigen,
aber nebenbei auch an weitere Daten durch unsichtbare Textboxen
gelangen. Die einzige Voraussetzung ist eine bewusste Preisgabe
der Daten.
Kuosmanen erläutert, dass Chrome, Safari, Opera, aber auch
einige Plug-ins und Erweiterungen wie LastPass für solche Phishing-Angriffe
anfällig sind. Allerdings hält er Safari zugute, dass
es den Nutzer über die in ein Formular eingebrachten Daten
informiert. Dies geschieht auch, wenn sie für den Nutzer nicht
sichtbar sind. Nicht gefährdet ist Firefox,
da bei jedem einzelnen Eingabefeld der einzufügende Inhalt
auszuwählen ist.
Bei Google Chrome ist die Autofill Funktion standardmäßig
aktiviert. Daher sollte, wer sensible Daten nicht preisgeben möchte,
die Autofill Funktion in Chrome deaktiviert werden. Diese Einstellung
kann über das Symbol "Mehr" und Einstellungen erreicht
werden. Anschließend kann über Erweiterte Einstellungen
unter „Passwörter und Formulare“ das Häkchen
neben „Autofill aktivieren, um Webformulare mit nur einem Klick
ausfüllen zu können“ entfernt werden.
(ms, hannover)
(siehe auch zdnet.de:)
Hannover · EDV-Beratung ·
Linux · Novell · Microsoft · Seminar ·
IT-Consult · Netzwerk · LPIC · CLE
|
