Schwachstelle in Google-Dienst: Experten nutzten HTTP-Übertragung für Hack

Nutzt jemand von euch das Google-Feature „Webprotokoll„? Kurz für die, die es nicht kennen: User, die mit ihrem Google-Account angemeldet sind, erhalten durch Aktivierung von Webprotokoll die Möglichkeiten, ihre Webaktivitäten auf vielfältige Weise zu verwalten, Auskunft über Trends ihrer Webaktivitäten zu erhalten und – besonders wichtig für den nachfolgenden Kontext – personalisierte Suchergebnisse aufzurufen. Diese basieren auf den Daten, die die Suchmaschine trackt, wenn ein User über Google eine Website ansteuert oder eine Suchanfrage durchführt (weitere Infos zu dem Feature gibt es bei der Google-Konten-Hilfe). Auf der Basis dieser Daten werden dem Suchenden auch speziell auf ihn zugeschnittene Suchvorschläge geliefert. Dieses, jedem User von der „normalen“ Suche bekannte „Google Suggest“ funktioniert so, dass der Datenkrake während der Eingabe eines Suchbegriffs bereits antizipiert, was der User meinen könnte. Und entsprechend unterbreitet er ihm dann möglicherweise passende Vorschläge – und bei der Nutzung von Webprotokoll sind diese eben zudem personalisiert. 

Okay, nächste Frage: Ist jenen (vermutlich sehr wenigen) von euch, die die Web History-Funktion nutzen, zwischen Februar und März dieses Jahres aufgefallen, dass Google die Suggest-Funktion in dieser Zeit außer Betrieb gesetzt hat? Falls ja, und ihr euch gewundert habt, warum – hier ist die Antwort: Eine Gruppe europäischer Wissenschaftler hatte dem Suchgiganten zuvor nämlich die Ergebnisse einer eigenen Untersuchung präsentiert. Und darin beschreibt sie, wie es ihr gelang, Googles personalisierte Suchvorschläge zu hijacken und sich dadurch unter anderem Zugang zu seinem passwortgeschützten Webprotokoll-Account zu verschaffen und interessante Informationen über sein Surfverhalten zu erfahren. Und das funktioniert im Kern so:

Die Wissenschaftler haben sich den Umstand zunutze gemacht, dass Google zwei verschiedene Protokolle benutzt, um mit den Browsern seiner User zu kommunizieren. Zum einen das HTTP– und zum anderen das HTTPS-Protokoll. Letzteres steht für Hyper Text Transfer Protocol Secure (Sicheres Hypertext-Übertragungsprotokoll) und bezeichnet, wie manche wissen, ein Verfahren, mit dem sensible Daten (weitgehend) abhörsicher im Internet übertragen werden können. Ersteres bezeichnet ebenfalls ein Übertragungsprotokoll, allerdings wird es hauptsächlich dazu genutzt, um normale Webseiten aus dem Internet im Browser zu laden. Und noch einen Unterschied gibt es – es ist nicht „secure“.

---

Neue Stellenangebote

		Growth Marketing Manager:in – Social Media GOhiring GmbH in Homeoffice
Social Media Manager (m/w/d) HomeServe Deutschland Holding GmbH & Co. KG in Frankfurt am Main
		Praktikum im Bereich Social Media Governance ab März 2025 Mercedes-Benz AG in Stuttgart

Alle Stellenanzeigen

---

Nun nutzt Google das HTTPS-Protokoll, wenn sensible Daten des Users durchs Netz wandern. Passwörter und ähnliche Informationen werden dann verschlüsselt. Anders verhält es sich bei Suchanfragen (und in anderen Fällen, die ich hier leider nicht alle erwähnen kann). Diese werden über das HTTP-Protokoll kommuniziert – und zwar in Reinform, also weder verschlüsselt noch sonstwie geschützt. Während also ein User seinen Suchbegriff eintippt, wird jeder einzelne Buchstabe im Hintergrund unverschlüsselt an den Google-Server und von dem wieder zurück zum Browser des Users geschickt (auf diesem Wege passen sich die Suchvorschläge dann in Echtzeit an die Anfrage an). Die galt auch für jene Suchanfragen, die über Webprotokoll stattfanden.

Die Wissenschaftler haben dann die Cookies von Webprotokoll-Usern abgefangen (im Zweifelsfall, indem sie ein ungesichertes Netzwerk nutzten) und konnten diesen unter anderem die Zugangsdaten zu dem Feature entnehmen und die Surfgewohnheiten nachzeichnen (wie viel Suchanfragen über euch verraten, könnt ihr auf Austrotrabant’s Blog nachlesen). Auf den Hinweis der Wissenschaftler hin hat Google reagiert,  den Service für eine Zeit abgeschaltet und verschickt nun Daten der Webprotokoll-Suchanfragen nur noch über das HTTPS-Protokoll. Damit sind diese zwar um ein ganzes Stück sicherer, nach Ansicht der Experten aber noch nicht sicher genug…

Welche Google-Dienste noch von der Problematik betroffen sind, auf welche Weise sich die Experten sonst noch Zugang zu den Daten der User verschaffen konnten, indem sie die HTTP-Schwachstelle ausnutzen und welche Lösungen sie vorschlagen, könnt ihr auf der Planete Team-Seite nachlesen. Im Juli (21.-23.) werden die Wissenschaftler ihre Erkenntnisse auch in Berlin öffentlich vorstellen, und zwar auf dem Privacy Enhancing Technologies Symposium. Wer also in der Nähe wohnt, kann mal vorbeischauen und sich die Einzelheiten nochmal genauer erklären lassen. 

Via: Technologyreview

(Marek Hoffmann)