|
Twitter hält Direktnachrichten auf seinen Servern vor, obwohl
sie bereits von den Absendern und/oder Empfängern gelöscht
wurden, dass hat der Sicherheitsforscher Karan Saini herausgefunden.
Demnach löscht Twitter auch nicht Daten, die an gesperrte oder
gelöschte Konten geschickt oder von diesen Empfangen wurden,
wie TechCrunch
berichtet.
In einer Archiv-Datei, die er von der Twitter-Website heruntergeladen
hat, fand der Forscher zum Teil mehrere Jahre alte Nachrichten.
Die Archiv-Datei enthielt auch Daten von Konten, die nicht mehr
auf Twitter waren.
Saini meldete dem Bericht zufolge vor einem Jahr bereits einen
ähnlichen Bug an Twitter,
ohne ihn jedoch öffentlich zu machen. Eigenen Angaben zufolge
war er in der Lage, über eine inzwischen nicht mehr verfügbare
Programmierschnittstelle Direktnachrichten wiederherzustellen, auch
nachdem sie vom Empfänger und Absender gelöscht wurden.
Allerdings ließen sich Nachrichten von gelöschten Konten
nicht zurückholen.
Nutzer können laut Twitters offizieller Hilfe-Seite Nachrichten
nur für sich löschen. „Anderen Teilnehmern der Unterhaltung
werden die Direktnachrichten beziehungsweise Unterhaltungen, die
du gelöscht hast, nach wie vor angezeigt“, heißt
es dort. Twitter weist darüber hinaus darauf hin, dass
Daten von Konten, die deaktiviert wurden, erst nach einer Frist
von 30 Tagen endgültig gelöscht werden.
Allerdings war es 2013 noch möglich, Nachrichten auch aus
dem Posteingang anderer Personen zu entfernen. Der Absender musste
dafür die Nachricht lediglich in seinem Konto löschen.
Eigene Tests des Blogs bestätigen TechCrunch zufolge, dass
das Archiv der eigenen Daten, das Twitter unter anderem gemäß
der Datenschutzgrundverordnung bereitstellt, mehrere Jahre alte
Direktnachrichten enthält – auch solche von gesperrten
oder gelöschten Konten.
Den Fehler stuft Saini jedoch nicht als Sicherheitslücke ein.
Allerdings sei es aber eine Möglichkeit, Twitters eigene Regeln
zu umgehen, die einen Zugriff auf Daten von gesperrten Konten verhindern
sollen. Der Fehler stellte zudem eine Gefahr für den Datenschutz
dar und gebe Strafverfolgern möglicherweise Einsicht in Informationen,
die nach Einschätzung des Nutzers schon vor Jahren gelöscht
wurden.
(jf, hannover)
(siehe auch zdnet.de:)
Hannover · EDV-Beratung ·
Linux · Novell · Microsoft · Seminar ·
IT-Consult · Netzwerk · LPIC · CLE
|
