T-Online schrieb:Firefox verrät Passwörter


Böses Sicherheitsleck in Firefox (Montage: T-Online)
Die Mozilla Foundation warnt vor dem Passwort-Manager in ihrem Browser Firefox 2.0. Die Funktion hat die unangenehme Eigenschaft, unter bestimmten Voraussetzungen abgespeicherte Nutzernamen und Passwörter an andere Anwender zu verraten. Die Firefox-Entwickler empfehlen, den Passwort-Manager vorerst nicht mehr zu verwenden, bis ein entsprechendes Update verfügbar ist.

Automatisierung birgt Tücken
Mit Hilfe des Passwort-Managers ist es Firefox-Nutzern möglich, sämtliche Nutzernamen und Passwörter für Webseiten oder Online-Bezahlverfahren an einer zentralen Stelle des Browsers abzulegen. Trifft Firefox auf entsprechende Formularfelder auf einer Webseite, die zu denen im Passwort-Manager verzeichneten gehören, füllt der Browser die Eingabefelder automatisch aus. Soweit, so praktisch – und doch gefährlich.

Firefox schaut nicht richtig hin

Das Problem dabei: Firefox vergleicht lediglich die Adresse der aufgerufenen Webseite mit den gespeicherten Informationen im Passwort-Manager. Woher die angezeigten Eingabefelder stammen, ist dem Browser egal. Bettet ein Angreifer also in den Rahmen einer Webseite eine selbstgefertigte Passwort-Abfrage ein, wandern die Daten an den Hacker und nicht an den Anmelde-Server der echten Webseite. Von dieser Problematik sind vornehmlich Webseiten betroffen, die es ihren Nutzern erlauben, eigene HTML-Inhalte online zu stellen – Weblogs und große Community-Seiten.

Phishing nach MySpace-Konten
Entdeckt wurde das Fehlverhalten von dem Programmierer Robert Chapin, der auf einer Seite der großen Online-Community MySpace auf ein gefälschtes Log-In-Formular stieß. Anstandslos trug Firefox automatisch Chapins Nutzername und Passwort für MySpace ein. Der Phishing-Versuch fiel Chapin nur auf, da dem Autoren des gefälschten Formulars ein winziger Fehler bei der Gestaltung der gefälschten Webseite unterlaufen war. Obwohl derart anfällig, ist der neue Firefox-Browser ein hervorragendes Surfwerkzeug, der dem Internet Explorer 7 problemlos das Wasser reichen kann.

GoldenerPhoenix schrieb:Ja - aber mal ganz ehrlich: Wer den Password-Manager benutzt, ist doch selber schuld! Kein wirklich sicherheitsbewusster User tut so etwas.

Das Sicherste ist doch immer, wenn man seine Passwords im Kopf behält. Reicht ja sonst schon, dass der PC (z.B. wenn's ein Laptop ist) mal in falsche Hände gerät.