Der große Gruppenhack

Angreifer können über manipulierte Websites herausfinden, welchen Foren in sozialen Netzwerken ein Nutzer angehört - und daraus seine Identität schließen.

In Pocket speichern vorlesen Druckansicht 1 Kommentar lesen
Lesezeit: 4 Min.
Von
  • Robert Lemos

Angreifer können über manipulierte Websites herausfinden, welchen Foren in sozialen Netzwerken ein Nutzer angehört – und daraus auf seine wahre Identität schließen.

Menschen werden oft nach ihrer Zugehörigkeit zu sozialen Gruppen kategorisiert – sei es nun Sportler, Computerfreak oder Hausfrau. Ähnlich läuft es auch bei unserer Online-Identität: Wer einen Account beim sozialen Netzwerk Facebook oder dem Business-orientierten Konkurrenten Linkedin besitzt, ist normalerweise Teilnehmer verschiedener Gruppen und Foren, die viel über die eigene Persönlichkeit aussagen können.

Forscher an der TU Wien, dem Eurecom-Institut und der University of California in Santa Barbara haben nun eine Methode entdeckt, mit deren Hilfe sich aus diesen Informationen Rückschlüsse auf die tatsächliche Identität eines Benutzers ziehen lassen. Angreifer könnten auf diese Art über eine manipulierte Website mit relativ einfachen technischen Tricks herausfinden, welchen Gruppen eine Person angehört und diese Daten dann für Identitätsdiebstahl oder personalisierte Angriffe nutzen.

Dabei kommt eine Technik zum Einsatz, die sich "History Stealing" nennt – der Angreifer saugt dabei Teile der im Browser abgespeicherten Verlaufsdatei ab, die die gesammelten Surftrips enthält. Werden darin nur genügend Gruppen aus bekannten sozialen Netzwerken entdeckt, lassen sich Rückschlüsse auf das Social Networking-Profil einer Person ziehen, das wiederum zumeist Klarnamen und andere wichtige Daten enthält. Das Programm, das die Forscher entwickelten, ist dabei erstaunlich erfolgreich – in 42 Prozent aller Fälle traf der Algorithmus das richtige Profil. Das bedeutet, dass ein sonst anonymer Nutzer persönlich identifiziert werden kann, wenn er nur eine entsprechend manipulierte Website besucht. Der unbekannte Surfer erhält einen Klarnamen, den Angreifer missbrauchen können.

"Der Browser fragt an, ob der Nutzer ein Mitglied der iPhone-Gruppe, der PC-Sicherheits-Gruppe oder der Gruppe XYZ ist. Macht man das häufig genug, lassen sich Schnittmengen bilden, die in vielen Fällen zur korrekten Identität einer Person führen", erläutert Gilbert Wondracek, Postdoc in Informatik an der TU Wien, der die Studie leitete.

Facebook, MySpace, Linkedin und andere große soziale Netzwerke veröffentlichen die Zugehörigkeit zu bestimmten Foren standardmäßig öffentlich. Doch es gibt noch andere frei auslesbare Attribute, die ebenfalls zur Identifizierung genutzt werden können, wenn sie in ausreichendem Umfang vorliegen: Facebook besitzt beispielsweise seit längerem einen "Like"-Knopf ("Ich mag das"), mit dem dargestellt wird, dass eine Person bestimmte Web-Angebote oder andere Inhalte mag.

Die meisten Menschen, die diesen Gruppen beitreten, wüssten nicht, dass dies auch ihre Privatsphäre gefährden könne, meint Elena Zheleva, die an der University of Maryland die Sicherheit sozialer Netzwerke erforscht. "Niemand denkt darüber nach, aber die Zugehörigkeit zu Gruppen und Foren ist ein Weg, über den Informationen zur Identität einer Person übertragen werden."

Das wäre eigentlich kein großes Problem, gäbe es nicht eine weitläufig bekannte Sicherheitslücke, mit der es einer Website möglich ist, zu überprüfen, ob sich bestimmte Links im Browser-Verlauf des Besuchers befinden. Zwar liegt beim History Stealing nicht die gesamte Surfgeschichte des Benutzers offen. Doch es kann problemlos im Ja/Nein-Verfahren gecheckt werden, ob ein Nutzer einen bestimmten Link besucht hat.

Ein Angreifer kann mit wenigen Codezeilen eine entsprechende Anfrage starten – so sind Tausende Links pro Sekunde überprüfbar. Er muss nur eine Datenbank mit genügend Möglichkeiten vorhalten. Wondracek und seine Kollegen zeigten dies unter anderen anhand des europäischen Business-Netzwerks Xing, indem sie den Browser-Verlauf auf entsprechende Gruppenseiten abfragten.

Jeremiah Grossman, Technikchef beim Sicherheitsunternehmen WhiteHat Security, nennt die Studie "ein perfektes Beispiel für einen History-Hack". Die meisten sozialen Netzwerke nutzten relativ einfache Web-Links für Gruppen, so dass Nutzer sie einfach miteinander teilen könnten, sagt Wondracek. "Social Networks können solche Angriffe nur schwer verhindern." Zwar könnten sie versuchen, die Gruppen-Adressen zu verschleiern. Doch verschlechtere dies eben die Nutzbarkeit.

Abhilfe könnten eigentlich nur die Browser-Hersteller schaffen. Sie beginnen gerade damit, das History Stealing über technische Einschränkungen zu erschweren – unter anderem lässt sich die Anzahl der Links, die pro Sekunde überprüft werden können, limitieren. Doch solange viele Menschen nicht mit den allerneuesten Browsern unterwegs sind, wird dieser Angriff weiter funktionieren. "Und das wird noch eine ganze Weile so bleiben", meint Grossman. (bsc)