LinkedIn kann Mails mitlesen
Die kürzlich eingeführte Intro-Technik für iOS bringt dem Berufsnetzwerk Kritik ein: Sie sei ein Traum für Angreifer und Sicherheitsdienste. Die Firma verteidigt sich: Alles sei sicher und man respektiere die Privatsphäre der Nutzer.
- Christian Kirsch
LinkedIn meint es gut mit seinen Nutzern: Der neue Dienst Intro ergänzt automatisch auf iOS-Geräten eintreffende Mails um eine Kurzfassung des LinkedIn-Profils des Absenders. Dadurch, so das Berufsnetzwerk, könne man "effektivere E-Mails" schreiben. Die dahinterstehende Technik stößt bei Sicherheits- und Datenschutzexperten jedoch auf Kritik.
(Bild:Â linkedin.com)
Da Apple keine Änderungen an seinem Mail-Client zulässt, geht Intro einen Umweg, der eine Man-in-the-Middle-Attacke nachahmt: Es leitet IMAP-Anfragen nach eingehenden Mails über einen eigenen Proxy. Der reicht sie an den eigentlichen IMAP-Server weiter und ergänzt dessen Antwort um die LinkedIn-Daten des jeweiligen Absenders.
Dazu verwendet LinkedIn eine Technik, die eigentlich im Unternehmensumfeld das Einrichten von iPhones automatisieren soll, indem es ein neues Profil auf dem Gerät installiert. Es definiert, nachdem der Anwender die Installation erlaubt hat, ausgehend von einem vorhandenen ein weiteres Mail-Konto. Als IMAP-Server fungiert dabei der von LinkedIn betriebene Proxy. Das Unternehmen hätte also zumindest die Gelegenheit, dort alle für den Empfänger bestimmten Nachrichten mitzulesen.
LinkedIns Intro: Installation und Entfernung (5 Bilder)
Nach der Anmeldung beim Mail-Provider ...
In einem Blog-Beitrag versucht Cory Scott, bei LinkedIn für Sicherheit zuständig, die Bedenken der Kritiker zu zerstreuen. Sämtliche Kommunikation zwischen den Servern sowie dem Proxy und dem Endgerät verlaufe SSL-verschlüsselt, die verschlüsselte Mail werde sofort nach dem Abrufen gelöscht und niemals entschlüsselt gespeichert. LinkedIn muss jedoch nicht nur die Mail-Header lesen und auswerten, sondern auch den Text der Nachricht selbst. In dessen HTML-Code fügt sein Proxy ein iframe-Element ein, das bei Bedarf dynamisch Inhalte von LinkedIn nachlädt.
Kurz und bündig bewertet der deutsche Sicherheitsexperte Felix "fefe" von Leitner den Dienst: "Mit anderen Worten: Alle eure Mails gehen dann durch LinkedIn. LinkedIn ist eine US-Firma. Die Zuständigen bei der NSA haben bestimmt gerade Kleenex-Knappheit."
Wer Intro nicht mehr nutzen möchte, kann einfach das Profil auf dem iOS-Gerät unter Einstellungen/Allgemein/Profile löschen. Anschließend ist der dadurch installierte zusätzliche Mail-Account verschwunden. LinkedIn verspricht, dass damit auch die IMAP-Umleitung auf seinen Proxy erlischt und dass es keinerlei Änderungen an den übrigen Sicherheitseinstellungen des iOS-Geräts vorgenommen hat. (ck)
