Firefox verrät Passwörter

[Iruini]

So Leute...

Ich hab es ja eigentlich schon immer gesagt, der FF ist nicht so sicher wie alle immer tun.... Tja keiner wollte auf mich hören, auch wenn ich sagte der IE7 ist viel sicherer..... Tja.... Hier endlich mein Beweis

Folgender kleiner Bericht:

Firefox verrät Passwörter


Böses Sicherheitsleck in Firefox (Montage: T-Online)
Die Mozilla Foundation warnt vor dem Passwort-Manager in ihrem Browser Firefox 2.0. Die Funktion hat die unangenehme Eigenschaft, unter bestimmten Voraussetzungen abgespeicherte Nutzernamen und Passwörter an andere Anwender zu verraten. Die Firefox-Entwickler empfehlen, den Passwort-Manager vorerst nicht mehr zu verwenden, bis ein entsprechendes Update verfügbar ist.

Automatisierung birgt Tücken
Mit Hilfe des Passwort-Managers ist es Firefox-Nutzern möglich, sämtliche Nutzernamen und Passwörter für Webseiten oder Online-Bezahlverfahren an einer zentralen Stelle des Browsers abzulegen. Trifft Firefox auf entsprechende Formularfelder auf einer Webseite, die zu denen im Passwort-Manager verzeichneten gehören, füllt der Browser die Eingabefelder automatisch aus. Soweit, so praktisch – und doch gefährlich.

Firefox schaut nicht richtig hin

Das Problem dabei: Firefox vergleicht lediglich die Adresse der aufgerufenen Webseite mit den gespeicherten Informationen im Passwort-Manager. Woher die angezeigten Eingabefelder stammen, ist dem Browser egal. Bettet ein Angreifer also in den Rahmen einer Webseite eine selbstgefertigte Passwort-Abfrage ein, wandern die Daten an den Hacker und nicht an den Anmelde-Server der echten Webseite. Von dieser Problematik sind vornehmlich Webseiten betroffen, die es ihren Nutzern erlauben, eigene HTML-Inhalte online zu stellen – Weblogs und große Community-Seiten.

Phishing nach MySpace-Konten
Entdeckt wurde das Fehlverhalten von dem Programmierer Robert Chapin, der auf einer Seite der großen Online-Community MySpace auf ein gefälschtes Log-In-Formular stieß. Anstandslos trug Firefox automatisch Chapins Nutzername und Passwort für MySpace ein. Der Phishing-Versuch fiel Chapin nur auf, da dem Autoren des gefälschten Formulars ein winziger Fehler bei der Gestaltung der gefälschten Webseite unterlaufen war. Obwohl derart anfällig, ist der neue Firefox-Browser ein hervorragendes Surfwerkzeug, der dem Internet Explorer 7 problemlos das Wasser reichen kann.

[Siria]

Ja - aber mal ganz ehrlich: Wer den Password-Manager benutzt, ist doch selber schuld! Kein wirklich sicherheitsbewusster User tut so etwas.

Das Sicherste ist doch immer, wenn man seine Passwords im Kopf behält. Reicht ja sonst schon, dass der PC (z.B. wenn's ein Laptop ist) mal in falsche Hände gerät.

[Lin]

Ja - aber mal ganz ehrlich: Wer den Password-Manager benutzt, ist doch selber schuld! Kein wirklich sicherheitsbewusster User tut so etwas.

Das Sicherste ist doch immer, wenn man seine Passwords im Kopf behält. Reicht ja sonst schon, dass der PC (z.B. wenn's ein Laptop ist) mal in falsche Hände gerät.

Sehe ich ganz genauso. Ist allerdings ein ziemlich krasser Bug.^^"

[Nerymon]

Ich habe den Passwort-Manager sowieso noch nie benutzt und habe auch nich vor ihn jemals zu benutzen, weil mir solche Sachen immer schon wenig vertrauenswürdig erscheinen.

Ich schreibe mir meine Passwörter grundsätzlich zur Sicherheit in ein Notizbuch, sodass ich sie nicht vergessen kann. Und dieses Buch liegt sicher in meinem Schrank, da kann keiner ran XD.

Ich empfinde den Passwort-Manager bei FF sowieso als ziemlich nervig, dass jedesmal beim einloggen diese Anfrage kommt vom Passwort-Manager.

Also naja, ich denke auch, wer den Manager benutzt hat irgendwo selbst Schuld, wenn's irgendwelche Folgen hat. Ich habe in solche Dinge sowieso kein Vertrauen und vermeide sowas daher immer.

[Siria]

@ Nery: Du weißt aber schon, dass du den Password-Manager auch in den Einstellungen abschalten kannst, oder? ^^ (da steht irgendwo "Passwörter speichern" und da kann man das Häckchen wegnehmen)
Ich hab's bei mir nämlich auch deaktiviert, weil ich's a) nicht brauche und damit ich nicht b) aus Versehen irgendwann doch mal was speichere.

[Nerymon]

Ich habe damals mal flüchtig gesucht, ob es so eine Option gibt, aber spontan nix gefunden gehabt. Ich schau nochmal in den Einstellungen und dann werde ichs auch deaktivieren, weils mich extrem nervt.

[Sabbo]

Da kann ich nur meine bisherige Erfahrung posten, ich habe dank FF ziemlichen Ärger mit meinem Ebaykonto, ich wusste nichts von dem Sicherheitsbug und habe den Passwortmanager benutzt.

Nun habe ich über den Ebay-Kundendienst erfahren, dass sich Dritte in mein Ebaykonto eingeloggt haben. Ich hatte nun schon drei administrative Passwortänderungen und plötzlich Angebote zu 500-800 Euro teuren Stereoanlagen in meinen Favoriten, habe mich nie auch nur ansatzweise dafür interessiert. Zum Glück ist es aber noch nicht passiert, dass jemand unter meinem Ebaynamen geboten hat.

Es ist also wirklich gefährlich, ich kann vom PW-Manager nur abraten. Ich hoffe, dass das so schnell wie möglich behoben wird.

[Ridley]

Nya ich hab Firefox zwar als Setup aber es nie instaliert XD man hat es mir aufgezwungen und seither schimmelt die Datei irgendwo auf meiner Festplatte rum. Ist aber schon ein ziemlich krasser Bug es gibt ja genug Leute die sich auf so Kleinigkeiten verlassen und dann so was, ja ja, voll in den Arsch gebissen *hust* ^^"

[-=Alpha=-]

Man sollte allerdings erwähnen das auch der IE PW's verrät.(An die gespeicherten Passwörter beim IE ist es sogar noch leichter ranzukommen. In der Trojaner und PW-Sniffer Szene ist jeder Rat mit einem IE-PW Reader ausgestattet. Ein Firefox Reader kommt seltener vor!)

[Kei-sama]

lol

Okay, wenn FF so nen Fehler hat, dann ist das schon böse, aber mal ganz ehrlich... wer T-Online benutzt hat schon von vornherein 20 mal mehr Sicherheitslücken als mit dem FF.