Sonstiges

Schwachstelle in Google-Dienst: Experten nutzten HTTP-Übertragung für Hack

21. Apr 2010

Nutzt jemand von euch das Google-Feature „Webprotokoll„? Kurz für die, die es nicht kennen: User, die mit ihrem Google-Account angemeldet sind, erhalten durch Aktivierung von Webprotokoll die Möglichkeiten, ihre Webaktivitäten auf vielfältige Weise zu verwalten, Auskunft über Trends ihrer Webaktivitäten zu erhalten und – besonders wichtig für den nachfolgenden Kontext – personalisierte Suchergebnisse aufzurufen. Diese basieren auf den Daten, die die Suchmaschine trackt, wenn ein User über Google eine Website ansteuert oder eine Suchanfrage durchführt (weitere Infos zu dem Feature gibt es bei der Google-Konten-Hilfe). Auf der Basis dieser Daten werden dem Suchenden auch speziell auf ihn zugeschnittene Suchvorschläge geliefert. Dieses, jedem User von der „normalen“ Suche bekannte „Google Suggest“ funktioniert so, dass der Datenkrake während der Eingabe eines Suchbegriffs bereits antizipiert, was der User meinen könnte. Und entsprechend unterbreitet er ihm dann möglicherweise passende Vorschläge – und bei der Nutzung von Webprotokoll sind diese eben zudem personalisiert. 

Okay, nächste Frage: Ist jenen (vermutlich sehr wenigen) von euch, die die Web History-Funktion nutzen, zwischen Februar und März dieses Jahres aufgefallen, dass Google die Suggest-Funktion in dieser Zeit außer Betrieb gesetzt hat? Falls ja, und ihr euch gewundert habt, warum – hier ist die Antwort: Eine Gruppe europäischer Wissenschaftler hatte dem Suchgiganten zuvor nämlich die Ergebnisse einer eigenen Untersuchung präsentiert. Und darin beschreibt sie, wie es ihr gelang, Googles personalisierte Suchvorschläge zu hijacken und sich dadurch unter anderem Zugang zu seinem passwortgeschützten Webprotokoll-Account zu verschaffen und interessante Informationen über sein Surfverhalten zu erfahren. Und das funktioniert im Kern so:

Die Wissenschaftler haben sich den Umstand zunutze gemacht, dass Google zwei verschiedene Protokolle benutzt, um mit den Browsern seiner User zu kommunizieren. Zum einen das HTTP– und zum anderen das HTTPS-Protokoll. Letzteres steht für Hyper Text Transfer Protocol Secure (Sicheres Hypertext-Übertragungsprotokoll) und bezeichnet, wie manche wissen, ein Verfahren, mit dem sensible Daten (weitgehend) abhörsicher im Internet übertragen werden können. Ersteres bezeichnet ebenfalls ein Übertragungsprotokoll, allerdings wird es hauptsächlich dazu genutzt, um normale Webseiten aus dem Internet im Browser zu laden. Und noch einen Unterschied gibt es – es ist nicht „secure“.

Nun nutzt Google das HTTPS-Protokoll, wenn sensible Daten des Users durchs Netz wandern. Passwörter und ähnliche Informationen werden dann verschlüsselt. Anders verhält es sich bei Suchanfragen (und in anderen Fällen, die ich hier leider nicht alle erwähnen kann). Diese werden über das HTTP-Protokoll kommuniziert – und zwar in Reinform, also weder verschlüsselt noch sonstwie geschützt. Während also ein User seinen Suchbegriff eintippt, wird jeder einzelne Buchstabe im Hintergrund unverschlüsselt an den Google-Server und von dem wieder zurück zum Browser des Users geschickt (auf diesem Wege passen sich die Suchvorschläge dann in Echtzeit an die Anfrage an). Die galt auch für jene Suchanfragen, die über Webprotokoll stattfanden.

Die Wissenschaftler haben dann die Cookies von Webprotokoll-Usern abgefangen (im Zweifelsfall, indem sie ein ungesichertes Netzwerk nutzten) und konnten diesen unter anderem die Zugangsdaten zu dem Feature entnehmen und die Surfgewohnheiten nachzeichnen (wie viel Suchanfragen über euch verraten, könnt ihr auf Austrotrabant’s Blog nachlesen). Auf den Hinweis der Wissenschaftler hin hat Google reagiert,  den Service für eine Zeit abgeschaltet und verschickt nun Daten der Webprotokoll-Suchanfragen nur noch über das HTTPS-Protokoll. Damit sind diese zwar um ein ganzes Stück sicherer, nach Ansicht der Experten aber noch nicht sicher genug…

Welche Google-Dienste noch von der Problematik betroffen sind, auf welche Weise sich die Experten sonst noch Zugang zu den Daten der User verschaffen konnten, indem sie die HTTP-Schwachstelle ausnutzen und welche Lösungen sie vorschlagen, könnt ihr auf der Planete Team-Seite nachlesen. Im Juli (21.-23.) werden die Wissenschaftler ihre Erkenntnisse auch in Berlin öffentlich vorstellen, und zwar auf dem Privacy Enhancing Technologies Symposium. Wer also in der Nähe wohnt, kann mal vorbeischauen und sich die Einzelheiten nochmal genauer erklären lassen. 

Via: Technologyreview

(Marek Hoffmann)

Unsere Empfehlungen für dich

Über den Autor

Marek Hoffmann

Marek Hoffmann hat von 2009 bis 2010 über 750 Artikel für BASIC thinking geschrieben und veröffentlicht.

Zu allen Artikeln

4 Kommentare

  • *How Much Information Does A Search Query Reveal About A User?…

    One search query on its own does not reveal too much information about the user. If you however, keep logging from one particular user one might very soon be able to gain an interesting insight into the live of that user…….

  • Wenn ich es richtig verstanden habe, dann muss man die Coockies des Users abfangen, am besten geht es wohl wenn man sich in das Netzwerk einklinkt. Das gibt doch ein wenig Sicherheit, daher bin ich der Meinung, dass die Bedrohung für die breite Masse eher gering ist. Man in the middle Attacken bleiben jedoch ein ersthaftes Problem.

    Mit dieser Methode wurde eine weitere Schwachstelle offenbart. Zum Glück werden die einzelnen Elemente nun verschlüsselt übertragen. Aber irgendwie habe ich das Gefühl, dass da wohl noch einiges möglich ist.

  • Leider gibt es kein Google ‚Classic‘ nur noch die iGoogle u.ä. Nonsense.
    Vielleicht braucht Google noch ein paar Jahre um sich auf das ’neu entdeckte‘ Kerngeschäftsfeld der Suchanfragen zu konzentrieren, die nach dem Schema Suchanfrage eingetippt, losgeschickt und Ergebnis zurücksenden funktioniert^^ ohne jeden Schnickschnack es heißt doch schließlich Suchmaschine und nicht (Dr. Sommerteam-wirprogrammierenbisdercodekaputtist-)Beratungsmaschine.