Google Gadgets Kritische Schwachstellen gefährden die Anwender

Im Rahmen der Black Hat Konferenz wurden heftige Kritiken bezüglich der Google Gadget Produkte laut. Jeder Anwender, der auf bestimmte Google Produkte zurückgreift, setzt sich Gefahren aus. Einem Angreifer könnte es dadurch ermöglicht werden, Zugriff auf das jeweilige System zu erlangen. Besonders die Unternehmen in der Größenordnung der Google Inc. werden ein immer interessanteres Ziel für Hacker und Phisher. Die Sicherheitsexperten Robert Hansen und Tom Stracener informierten die Zuhörer in einem Vortrag.

"Ein Angreifer könnte sich der Schwachstellen mancher Google Gadgets bedienen. Nach einer erfolgreichen Manipulation wäre es ihm möglich, umfassende Informationen über die Opfer auszulesen. Dazu gehört eine detaillierte Protokollierung der besuchten Webseiten. Auch Phishing-Angriffe, um an Usernamen und Passwörter zu gelangen, sind durchaus denkbar", so Robert Hansen vom Sicherheitsdienstleister SecTheory.

Sobald sich der Schadcode die Kontrolle über den Browser des Opfers erschlichen hat, sind bezüglich der Varianten eines Angriffs keine Grenzen mehr gesetzt. Die Tatsache, dass viele Leute den Internetseiten von Google in einem hohen Maß Vertrauen zusprechen, soll die Angriffe weitgehend erleichtern. Hansen ist der Meinung, dass besonders die Anwender verwundbar sind, die auf Dienstleistungen von Goolge zurückgreifen. Insbesondere GMail soll einen heiklen Fall darstellen. Denn um den E-Mail Dienst aus dem Hause Google nutzen zu können, ist der Anwender gezwungen, sich einzuloggen. Um eine Attacke zu ermöglichen, muss der Anwender seinen Teil dazu beitragen. Beispielsweise wäre es denkbar, ein modifiziertes Modul in die persönliche iGoogle-Webseite zu importieren. "Die Besucher verwenden überwiegend JavaScript in Kombination mit einem Standard-Browser. Diese Tatsache ermöglicht einen zielgerichteten Angriff", fügte Hansen hinzu.

Tom Stracener war ebenfalls bei dem besagten Vortrag beteiligt und erklärt seine Ansichten: "Es ist möglich, dass Gadgets andere Gadgets angreifen. Daraus könnte neben der Entwendung von Cookies (cookie theft) auch weitere vertrauliche und sensible Informationen des Users gestohlen werden."

Google selbst ist dabei einem zentralen Problem ausgesetzt. Auf der einen Seite möchte man den "Kunden" möglichst vielfältige Dienste anbieten, um Fotos und andere Inhalte auf Webseiten darstellen zu können. Jedoch könnte der verwendete Code ebenfalls dazu dienen, einen Angriff zu starten. In einer offiziellen Stellungsnahme zu dieser Problematik verteidigt das Unternehmen seine Produkte: "Gadgets sind dazu da, um auf eine bequeme Art und Weise Daten und Inhalte auf einer Seite darzustellen." Google selbst ist stets auf der Suche nach modifizierten Gadgets und tätigt deshalb in regelmäßigen Abständen Scans. Sollte der Betreiber tatsächlich fündig werden, so wird das Gadget umgehend auf eine Blacklist gesetzt und der Autor aus dem System ausgesperrt.

Der Suchgigant versucht nun die Wogen rund um die Google-Gadgets zu glätten. Angeblich ist seit November 2007 kein verändertes Gadget mehr gesichtet worden. Die Sicherheitsexperten gehen jedoch davon aus, dass sich dies schon bald ändern könnte. (gS-)

(via hackinthebox.org, thx!)

• 3 Kommentare zum Artikel

ist das nicht bei jedem anderen eMail anbieter genauso? oder macht die große anzahl der Gadgets Google wirklich so verwundbar? Und was soll man dagegen tun? Außer PGP benutzen, aber bei der geringen Verbreitung ist das auch keine Lösung...

Xenor am 09.08.2008 15:44

Gut geschrieben bis auf Fehler... Verstehe auch nicht das Google sich so sicher ist das da "nichts passieren kann"[...]

xzeNji am 09.08.2008 16:09

Das wird halt immer ein Risiko bleiben sobald sich eine Plattform/Anwendung öffnet. Ich bin froh darum das es so ist weil es wirklich sehr schöne Gadgets für iGoogle, gMail und co gibt - remember the milk z.b. falls man dies noch als Gadget bezeichnen möchte. Ist letztendlich das gleiche Problem wie beim Firefox und dessen Extensions. Dort gab es auch schon Erweiterungen die unsicher waren und die eMail Zugangsdaten heimlich an den Urheber ...

cerberus am 09.08.2008 17:19

[...] Diskussion lesen oder Artikel kommentieren