Neue Studie: Browser sind durch Cookies angreifbar
Cyberkriminelle finden immer wieder neue Schlupflöcher, um an Nutzerdaten oder andere Informationen zu gelangen. Sicherheitsforscher und IT-Experten weltweit versuchen, den Hackern so weit wie möglich voraus zu sein und decken immer wieder potenzielle oder bereits offene Sicherheitslecks in Systemen und Browsers auf.
Im August hat das Computer Emergency Response Team (CERT) der Carnegie-Mellon-Universität einen Bericht über manipulierte Cookies vorgestellt. Demnach sind mit diesen Cookies alle modernen Webbrowser infiltriert und für sogenannte Man-in-the-Middle-Angriffe benutzt werden. Diese Art des Hackings wird vorwiegend zum Datendiebstahl eingesetzt.
Domain Cookies als ideales Angriffsmedium
Cookies unterliegen nicht der absoluten Identitätsprüfung und sind deshalb besonders gut manipulierbar. Deshalb können veränderte Cookies bei Nutzern von unverschlüsselten Webbrowsern eingeschleust werden und dann später auch verschlüsselte Verbindungen derselben Domain angreifen. Dazu wird ein Cookie eingesetzt, dass Domain Attribute einer unverschlüsselten Subdomain enthält. Wir eine spätere Verbindung hergestellt, kann das manipulierte Cookie die Schwachstellen in der Serverkonfiguration nutzen und vertrauliche Daten auslesen.
Cookies verfügen über keine Verlaufsdokumentation (Chain of Custody), deshalb können die https Verbindungen nicht prüfen, ob das Cookie durch eine sichere Verbindung ausgestellt wurde. Da Cookies zum Tracking von Verläufen genutzt werden und viele Daten sammeln, sind sie für Hacker sehr interessant.
Forscher empfehlen besseren Schutz der Verbindungen
Xiaofeng Zheng, Leiter der CERT Forschungsgruppe der Carnegie Mellon Universität befürchtet, dass auch vermehrt Verbindungen zu Banken oder Diensten von Google angegriffen werden. Betroffen sind auch die Browser Firefox, Chrome, Edge und Explorer. Um die Angriffe mit manipulierten Cookies abzuwenden, empfehlen die Forscher die Implementierung der HSTS (HTTP Strict Transport Security) auf allen Servern.
Ein guter Ansatz, doch das HSTS (HTTP Strict Transport Security) steht in der Kritik von Internet-Experten. Befürchtet wird die Schaffung einer Technologie, die das Nutzerverhalten mittels eines besonderen Cookies („Super-Cookie“) noch weiter ausspäht und damit für Domainkriminelle eine neue Angriffsplattform bietet.