CSRF: Die Gefahr von Cross-Site Request Forgery-Attacke wächst auch bei bekannten Webseiten

Die Sicherheitsexperten Ed Felten und Bill Zeller berichten, dass die Gefahr von sogenannten Cross-Site Request Forgery (CSRF) Attacken wächst. Selbst auf großen Webseiten wie der New York Times oder der amerikanischen Version der ING Direktbank bestand dieses Sicherheitsrisiko und wurde kurzzeitig behoben. Das größte Problem an den CSRF-Attacken ist, dass sie komplett unsichtbar ablaufen, meist nicht bemerkt werden und zum Teil einen finanziellen Schaden für die Nutzer herbeiführen könnten.

In dem Bericht auf dem Weblog von Bill Zeller ist die Rede davon, dass die Gefahr dieser Attacke selbst bei YouTube, der New York Times, der ING Direktbank und Metafilter.com bestand. Auf allen betreffenden Webseiten sollen die Schwachstellen inzwischen wieder behoben sein. Nur bei der New York Times würde das Problem noch bei einer bestimmten Funktion bestehen. Spammer könnten so an E-Mail-Adressen von Nutzern kommen, die einen Account bei auf der Webseite haben. Zusätzlich sei problematisch, dass die Cookies dort noch immer für ein ganzes Jahr gespeichert werden. Daran, dass dieses Risiko auch bei so stark frequentierten Webseiten wie den hier angegebenen besteht, erkennt man das Ausmaß des Problems.

Bei der CSRF-Attacke wird die eigentliche Seite nicht manipuliert, sondern der Angreifer nutzt im Browser gespeicherte Cookies, um im Namen des Nutzers heimlich auf fremden Webseiten Aktionen auszuführen zu lassen. In Extremfall könnte das sogar eine Überweisung von einem Konto oder eine Bestellung in einem Webshop sein - ohne dass der Nutzer davon weiß. Als eingeloggter User muss man lediglich eine fremde Webseite besuchen, auf der beispielsweise ein manipuliertes HTML-Tag vorhanden ist.

Ausführliche Informationen zu der CSRF-Attacke gibt es auf der Wikipedia. Darüber hinaus wird empfohlen, sich auf Webseiten nach dem Besuch regelmäßig auszuloggen. Auch soll das No-Script Add-On für den Firefox vor dieser Attacke einen Schutz bieten. (020200)

(via Webmonkey)

News Redaktion am Mittwoch, 01.10.2008 02:28 Uhr

tags Tags: new york times add-on cross-site request forgery csrf browser hacken

Weitere interessante News

0 Reaktionen zu dieser Nachricht

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...