Forscher: Lücken in Facebook Connect möglicherweise irreparabel

Sicherheitsforscher Egor Homakov rät davon ab, Facebook Connect bei kritischen Anwendungen zu nutzen. Die Schwachstellen könnten Websites gefährden, die den Dienst verwenden, und Nutzerinformationen offenlegen. Laut Facebook sind sie nicht zu beheben, ohne die Funktionalität vieler Erweiterungen und integrierter Features zu brechen.

FacebookDer Sicherheitsforscher Egor Homakov moniert zwei Schwachstellen bei Facebook Connect, die das Social Network nicht beheben will oder kann. Sie könnten Websites gefährden, die den Dienst verwenden, und Nutzerinformationen offenlegen. Zu beheben sind sie jedoch offenbar nicht , ohne die Funktionalität zahlreicher Erweiterungen und integrierter Features zu brechen.

Die erste Schwachstelle betrifft die Verbindung des Facebook-Profils eines Angreifers mit dem Dienst, den das Oper zu nutzen versucht. Laut Homakov ist dafür ein Inline-Frame zu laden, und es erfordere nur wenige Codezeilen JavaScript. Wenn es erfolgreich ist, meldet sich das Opfer nichtsahnend bei einem anderen Konto an – und teilt damit Informationen mit diesem Konto, ohne zu wissen, dass es von Dritten kontrolliert wird.

„Das ist einer jener Bereiche, deren wir uns schon eine Zeitlang bewusst sind“, räumte Facebook per E-Mail ein. „Aber wir haben dafür keine wirklich systematische Lösung.“ Homakovs empfohlene Lösung wies es als zu unpraktisch zurück: „Einen CSRF-Anmeldeschutz zu erzwingen, ist hier seit Jahren immer wieder gescheitert, weil es eine große Anzahl von Erweiterungen, integrierter Features und was noch alles kaputt gemacht hat.“

Die zweite Schwachstelle kann Zugangstokens für Anwendungen sichtbar machen, die mit Facebook verbunden sind. Sie beruht auf einer URL-Umleitung, die mit Hilfe von JavaScript-Code auf einer präparierten Webseite erfolgen kann. Ein Facebook-Mitarbeiter gab bei Hacker News zu verstehen, dass es eben in der Verantwortung der Anwendungsentwickler liege, mögliche URL-Umleitungen durch eine Whitelist einzuschränken.

„Meiner Meinung nach ist es nicht empfehlenswert, Facebook Connect bei kritischen Anwendungen zu nutzen“, schreibt Homakov in einem Blogeintrag. „Vielleicht ist es für ein schnelles Log-in bei einem unterhaltsamen Social Game geeignet, aber niemals für eine Website mit wichtigen Daten. Besser ist es, das gute alte Passwort zu nutzen.“

Egor Homakov beschreibt sich selbst als Web-Sicherheits-Evangelist. Bekannt wurde er 2012, als er eine Reihe von Schwachstellen bei GitHub aufdeckte, dem webbasierten Hosting-Dienst für Software-Entwicklungsprojekte. Nachdem seine Hinweise zunächst ignoriert wurden, bewies der russische Softwareentwickler sie durch einen Hack und zwang GitHub, die Lücken noch am gleichen Wochenende zu beheben.

[mit Material von Michael Lee, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Facebook, Secure-IT, Soziale Netze

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Forscher: Lücken in Facebook Connect möglicherweise irreparabel

Kommentar hinzufügen
  • Am 30. Januar 2014 um 8:26 von hugo

    Das man bei Facebook Fehler nicht beheben will, weil dadurch (anscheinend schlampig geplant) AddOns nicht mehr funktionieren ist ja geradezu beispielhaft für diese Firma. Sieht nach Billiganwendung aus, weiß keinen Fachbegriff für eine als unsicher erkannte Internetanwendung, die der Hersteller aus Kommerzgründen nicht beheben will. Facebook steht für Kommerz vor Security.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *