Yahoo Diebstahl über Fake Cookies

HackerDen Weltrekord für Verlust von Benutzer Daten hält nun Yahoo. Über 1 Milliarde Benutzerdaten mit Namen, Geburtstag, Telefon Nummer, Passwörtern usw wurden mit einer Attacke abgegriffen, die Sicherheitspraktiker schon lange kennen, die aber offensichtlich die Organisatoren der Yahoo Website nicht kannten oder nicht beachteten. Die Hacker fälschten die von Yahoo erstellten Cookies für Zugriff ohne Passwort.  Offensichtlich hatten sie Zugriff auf die „geheimen“ Programme von Yahoo mit denen diese Cookies erstellt und verwaltet werden.

Dies ist ein klassischer Fall von „Security through Obscurity„,  der bekanntlich irgendwann schief geht. Diese Methode wird aber immer wieder verwendet. Früher z.B. für die PINs der deutschen Banken, für die Zugriffscodes deutscher Autos usw. Man will sich damit ein komplexes Management der Schlüssel für die Verschlüsselung der Daten sparen und den Benutzer nicht mit der häufigen Eingabe von Passwörtern vertreiben.

Während Mathematiker immer komplexere Verfahren zur Verschlüsselung der Daten entwickeln, weiß der erfahrene Hacker, daß man Fehlstellen in den komplexen Abläufen zur Erstellung und Verwaltung der Schlüssel suchen muss oder Pfade, die nicht sicher sind.  Eine Schwachstelle findet man immer. Je komplexer die Systeme werden, desto häufiger wird man Schwachstellen finden. Es gibt ganz wenige Sicherheitsexperten, die komplexe Systeme ganzheitlich betrachten und analysieren können. Der größte Teil der Experten und der Sicherheits IT Industrie ist auf Jahre hinaus noch in der Lernphase. Damit wird z.B. das Internet of Things (IoT) in den nächsten Jahren extrem gefährdet sein. Eine gute Nachricht:  die Daten privater Benutzer werden uninteressant,  sie sind im Web bereits weitgehend verfügbar.

 

Advertisements

Kommentare wieder erlaubt

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s