#computerfehler

Der einsame Tod des Mannes, der die Welt gerettet hatte (via Ostexperte.de)

Der russische Oberstleutnant Stanislaw Petrow hat im Herbst 1983 die Nerven bewahrt und somit Welt vor einem Atomkrieg gerettet

Source: Der einsame Tod des Mannes, der die Welt gerettet hatte – Ostexperte.de

Leo Ensel mit einem Nachruf auf den Mann, dem wir die Auslöschung der Menschheit infolge eines drohenden nuklearen “Schlagabtauschs” der damaligen Weltmächte zu Zeiten des Kalten Krieges…

Sicherheitslücke in OAuth 2.0 und OpenID gefunden

Wang Jing, Student an der Nanyang Technological University in Singapur, hat nach dem Bekanntwerden des OpenSSL-Heartbleed-Lecks, eine weitere schwere Sicherheitslücke entdeckt, diesmal in den Authentifizierungsmethoden OAuth 2.0 und OpenID. Die als “Covert Redirect” (“Heimliche Umleitung”) benannte Sicherheitslücke ermöglicht es Angreifern, dem Nutzer einen echt aussehenden Login-Screen unterzujubeln und sich so Zugriff auf die bereitgestellten Daten zu verschaffen. Das gefährliche daran: Die Sicherheitslücke besitzt – anders als bisher bekannte Fishing-Versuche – eine legitime Domainadresse, kann also über einen Blick in die URL-Zeile des Browsers nicht oder nur sehr schwer entlarvt werden. Auf OAuth 2.0 und OpenID bieten inzwischen zahlreiche Webdienste um einen direkten Login in andere Dienste und Apps zu ermöglichen, darunter auch Google, Facebook, Microsoft und Co.

So ist es möglich, dem Nutzer eine Mail mit einem speziell präparierten Link zukommen zu lassen, ein Klick auf diesen öffnet eben wie gesagt eine legitime Adresse samt entsprechendem Logo. Autorisiert der Nutzer dann diese Anfrage und loggt sich in den Dienst ein, so werden die Daten nicht an die vermeintliche App weitergeleitet, sondern gelangen eben in den Besitz des Angreifers. Je nachdem, welche Daten abfragt werden, bekommt dieser somit also E-Mail-Adresse, Geburtsdatum, Kontaktlisten und dergleichen. Ebenso ist es möglich, den Nutzer nach dem Login auf eine beliebige Webseite, welche unter Umständen Malware verbreitet, weiterzuleiten.

Die Lösung des Problems könnte aber – wenn es überhaupt einmal eine geben sollte – eine langwierige Sache sein. Wang Jing hat bereits etliche größere Anbieter der Loginmethoden angeschrieben und über die gefundene Sicherheitslücke aufgeklärt, hierbei gab es jedoch unterschiedliche Aussagen. Im Hause Google beobachtet man das Problem, Microsoft ist sich keiner Schuld bewusst und schiebt die Sicherheitslücke an Drittanbieter ab. Lediglich Facebook scheint hier ehrlich zu sein und gibt an, dass es sich dabei um ein grundsätzliches Problem von OAuth 2.0 und OpenID handelt – möchte man nicht eine umfangreiche Whitelist mit sämtlichen nicht-schädlichen Apps pflegen, ist die Sicherheitslücke nicht “mal eben so” zu beheben. Im Grunde dürften sich sämtliche Gegenmaßnahmen negativ auf die Nutzererfahrung auswirken, was natürlich keiner der Dienste in Kauf nehmen möchte – und so bleibt es hierbei scheinbar beim “kleineren Übel” für die Anbieter.

Direktlink zum Video: https://www.youtube.com/watch?v=HUE8VbbwUms

So bleibt eigentlich nur die Möglichkeit, auf OAuth 2.0 oder OpenID als Login-Methode für Drittanbieter Dienste und Apps zu verzichten oder genauestens darauf zu achten, auf was man klickt. Hat man keine explizite Autorisierung angestoßen, sollte man die geöffneten Tabs umgehend schließen und darauf hoffen, dass sich nicht doch irgendwo ein falscher Link eingepfercht hat.

Quelle: http://www.blogtogo.de/sicherheitsluecke-in-oauth-2-0-und-openid-gefunden/

News Verwandte:

http://thehackernews.com/2014/05/nasty-covert-redirect-vulnerability.html

http://www.scmagazine.com/covert-redirect-vulnerability-impacts-oauth-20-openid/article/345407/

http://tech.ifeng.com/internet/detail_2014_05/03/36130721_0.shtml/

http://russiapost.blogspot.ru/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

https://www.facebook.com/permalink.php?story_fbid=464956613659034&id=405943696226993

http://itsecurity.lofter.com/post/1cfbf9e7_706081c

http://itinfotech.tumblr.com/post/119436623811/securitypost-sicherheitslucke-in-oauth-2-0-und

http://frenchairing.blogspot.fr/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html http://whitehatpost.blog.163.com/blog/static/242232054201542075247658/

http://japanbroad.blogspot.jp/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://ittechnology.lofter.com/post/1cfbf60d_7063617

https://www.facebook.com/permalink.php?story_fbid=429633303875565&id=361076084064621

http://securitypost.tumblr.com/post/119436383347/sicherheitslucke-in-oauth-2-0-und-openid-gefunden

http://germancast.blogspot.de/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

Was passiert, wenn es bei einem Feuerwerk einen Computerfehler gibt? Es kann zumindes passieren, dass alles gleichzeitig hochgeht. Es empfiehlt sich, den Sound etwas herunterzudrehen.