Britischer Geheimdienst überträgt Passwörter im Klartext

Dies trifft auf den Bewerbungsserver des GCHQ zu. Die Behörde hat offiziell die Aufgabe, "elektronische Kommunikation und digitalen Raum in Großbritannien abzusichern." Auf eine Meldung der Lücke Ende Februar folgte keine Reaktion.

Ein britischer Student hat entdeckt, dass eine Website des Geheimdiensts GCHQ Passwörter unverschlüsselt überträgt. Es handelt sich um einen für Bewerbungen zuständigen Server. In seinem Blog weist der Student, Dan Farrall, darauf hin, dass dieses Versäumnis nicht nur den Ruf der Einrichtung schädigt, sondern auch zum Verlust wichtiger Daten führen könnte.

hacker-v6

GCHQ steht für Government Communication Headquarters. Die Behörde ist für Signalaufklärung zuständig und hat offiziell die Aufgabe, „elektronische Kommunikation und digitalen Raum in Großbritannien abzusichern.“ Dazu arbeitet sie mit Nachrichten- und Geheimdiensten wie dem MI5 und MI6 zusammen.

ZDNet hat Farralls Bericht überprüft und probeweise eine Bewerbung eingereicht, um zu testen, welche Daten von Kandidaten der Server mutmaßlich enthält. Unter anderem sind – neben Namen und Adresse – die Passnummer und die Motive der Bewerbung anzugeben, erworbene Fähigkeiten, Schulbildung und Qualifikationen.

Zu den ausgeschriebenen Stellen zählt die eines Malware Reverse Engineer. Die Informationen zur nächsten Generation von Sicherheitsspezialisten in britischen Staatsdiensten könnten insbesondere für ausländische Geheimdienste interessant sein. Farrall hat das GCHQ nach eigenen Angaben Ende Februar kontaktiert, aber bisher keine Antwort erhalten.

Im Klartext gespeicherte Passwörter sind leider kein auf das GCHQ beschränktes Problem. Erst letzte Woche war bekannt geworden, dass sich diese Sicherheitsanfälligkeit auch auf Servern der australischen Steuerbehörde findet.

Nicht die sicherste Art, ein Passwort zu bestätigen: Website des GCHQ (Screenshot: ZDNet.com).Nicht die sicherste Art, ein Passwort zu bestätigen: Website des GCHQ (Screenshot: ZDNet.com).

[mit Material von Michael Lee, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Britischer Geheimdienst überträgt Passwörter im Klartext

Kommentar hinzufügen
  • Am 26. März 2013 um 17:02 von schulte

    Das ist keine Seltenheit oder nur auf Sicherheitsunternehmen beschränkt. So logged man beispielsweise auf WEB.DE grundsätzlich unverschlüsselt ein. Die SSL-Verbindung wird erst dann aufgebaut, wenn Name und Passwort übertragen sind. Man sich zwar einen Text bzgl. Sicherheit ansehen, der tatsächlich SSL verwendet, klickt man dann allerdings auf Login, landet man wieder im Unsicheren. Erst wenn man von Hand „http“ gegen https“ ergänzt, wird eine sichere Verbindung angezeigt.
    Das gilt aber genauso für reichlich andere Portale, auf denen man sich anmeldet – SSL erst NACH dem Einloggen.

    Es gibt Service-Mitarbeiter, die einem dann tatsächlich erklären, dass die Verbindung aufgebaut wird, bevor die Daten übertragen werden. Und dass ich mich irren muss oder etwas falsch gemacht habe, wenn ich einen unverschlüsselten Stream habe, den ich mitlesen kann. Etwas, was bei korrekt verschlüsselten Verbindungen übrigens nicht möglich ist.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *