Sicherheitsforscher wollen in der nächsten Woche auf der Hackerkonferenz Black Hat 2016 Gefährdungen für HTTPS in unsicheren Netzwerken aufzeigen. Itzik Kotler und Amit Klein vom Start-up SafeBreach werden demonstrieren, wie ein Angreifer eine bösartige Proxy-PAC-Datei einsetzen kann, um URLs auch dann im Klartext sehen zu können, wenn Nutzer sichere Web-Protokolle wie HTTPS einsetzen.
In einem potenziell bösartigen Netzwerk wie kostenlosem WLAN, einem Netzwerk für Gäste oder auch dem eines Unternehmens ist demnach nicht mehr der gesamte verschlüsselte Datenverkehr vom ersten Byte an gesichert. „Wir werden demonstrieren, dass es möglich ist, an HTTPS-URLs zu kommen, indem Ihr Browser / das System zur Nutzung einer bösartigen Proxy AutoConfiguration (PAC) gezwungen wird“, kündigen Kotler und Klein zu ihrer Präsentation am 3. August an. „Wir werden erklären, wie sich das auf die Privatsphäre der Nutzer auswirkt und wie Anmeldedaten / Sessions gestohlen werden können.“
Die „PAC Malware“ stellt demnach eine plattformübergreifende Bedrohung über Betriebssysteme (Linux, Windows, Mac) und Webbrowser (IE, Chrome, Safari) hinweg dar. Eine PAC-Datei (Proxy Auto-Config) erlaubt dem jeweiligen Browser, automatisch den passenden Proxyserver für eine gewünschte URL zu finden. Bei den Angriffen hilft ein als WPAD (Web Proxy Audodiscovery) bekanntes Protokoll.
Zwar bleibt mit Ausnahme der vollen URL, die ein Nutzer besuchen will, der übrige durch HTTPS geschützte Traffic unberührt. Doch allein diese Enthüllung kann die Sicherheit erheblich gefährden, wie Ars Technica ausführt. Der OpenID-Standard etwa nutzt URLs, um Anwender der unterstützten Sites und Dienste zu authentifizieren. Ähnlich verhält es sich bei Dokument-Sharing-Services, wie sie Dropbox und Google anbieten und dabei Sicherheitstoken in an Nutzer verschickte URLs einbinden.
WPAD und PAC wurden schon zuvor ausgenutzt, wie Sicherheitsforscher im April belegten. Dabei installierte ein als BlackMoon bekannter Banking-Trojaner auf infizierten Rechnern eine PAC-Datei, um Browser zu Phishing-Seiten umzuleiten, sobald die Nutzer bestimmte Sites ansteuern wollten. Mit dem Titel BADWPAD wird sich nächste Woche auf der Black-Hat-Konferenz ein weiterer Vortrag ebenfalls mit diesem Themenfeld beschäftigen.
Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…
Der Anteil steigt seit 2020 um 34 Prozentpunkte. Allein 2023 erfasst Kaspersky rund 10 Millionen…
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.
Der Bericht zeigt bereits nutzbare Angriffsanwendungen und bewertet die Risiken, die davon ausgehen.
Deutsche sehen Finanzwesen und IT im Zentrum der KI-Transformation. Justiz und Militär hingegen werden deutlich…
