Forscher: Lücken in Facebook Connect möglicherweise irreparabel

Der Sicherheitsforscher Egor Homakov moniert zwei Schwachstellen bei Facebook Connect, die das Social Network nicht beheben will oder kann. Sie könnten Websites gefährden, die den Dienst verwenden, und Nutzerinformationen offenlegen. Zu beheben sind sie jedoch offenbar nicht , ohne die Funktionalität zahlreicher Erweiterungen und integrierter Features zu brechen.

Die erste Schwachstelle betrifft die Verbindung des Facebook-Profils eines Angreifers mit dem Dienst, den das Oper zu nutzen versucht. Laut Homakov ist dafür ein Inline-Frame zu laden, und es erfordere nur wenige Codezeilen JavaScript. Wenn es erfolgreich ist, meldet sich das Opfer nichtsahnend bei einem anderen Konto an – und teilt damit Informationen mit diesem Konto, ohne zu wissen, dass es von Dritten kontrolliert wird.

„Das ist einer jener Bereiche, deren wir uns schon eine Zeitlang bewusst sind“, räumte Facebook per E-Mail ein. „Aber wir haben dafür keine wirklich systematische Lösung.“ Homakovs empfohlene Lösung wies es als zu unpraktisch zurück: „Einen CSRF-Anmeldeschutz zu erzwingen, ist hier seit Jahren immer wieder gescheitert, weil es eine große Anzahl von Erweiterungen, integrierter Features und was noch alles kaputt gemacht hat.“

Die zweite Schwachstelle kann Zugangstokens für Anwendungen sichtbar machen, die mit Facebook verbunden sind. Sie beruht auf einer URL-Umleitung, die mit Hilfe von JavaScript-Code auf einer präparierten Webseite erfolgen kann. Ein Facebook-Mitarbeiter gab bei Hacker News zu verstehen, dass es eben in der Verantwortung der Anwendungsentwickler liege, mögliche URL-Umleitungen durch eine Whitelist einzuschränken.

„Meiner Meinung nach ist es nicht empfehlenswert, Facebook Connect bei kritischen Anwendungen zu nutzen“, schreibt Homakov in einem Blogeintrag. „Vielleicht ist es für ein schnelles Log-in bei einem unterhaltsamen Social Game geeignet, aber niemals für eine Website mit wichtigen Daten. Besser ist es, das gute alte Passwort zu nutzen.“

Egor Homakov beschreibt sich selbst als Web-Sicherheits-Evangelist. Bekannt wurde er 2012, als er eine Reihe von Schwachstellen bei GitHub aufdeckte, dem webbasierten Hosting-Dienst für Software-Entwicklungsprojekte. Nachdem seine Hinweise zunächst ignoriert wurden, bewies der russische Softwareentwickler sie durch einen Hack und zwang GitHub, die Lücken noch am gleichen Wochenende zu beheben.

[mit Material von Michael Lee, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de