Googles Chrome-Plug-in „Passwort-Warnung“ mehrfach ausgehebelt

Nur einen Tag nach Veröffentlichung von Googles Anti-Phishing-Erweiterung „Passwort-Warnung“ für Chrome ist es einem Sicherheitsforscher gelungen, das Plug-in auszuhebeln. Bereits am Donnerstag veröffentlichte Paul Moore ein Youtube-Video, in dem er demonstriert, wie das neue Warnsystem lediglich durch das Hinzufügen von sieben Codezeilen in eine Website umgangen werden kann.

Google hatte Passwort-Warnung am vergangenen Mittwoch kostenlos in seinem Chrome Web Store verfügbar gemacht. Das Plug-in sollte Anwender warnen, falls sie auf einer schädlichen Website landen, die vorgibt, von Google zu stammen, um private Informationen zu stehlen – eine Praxis, die allgemein als Phishing bekannt ist.

„Vereinfacht ausgedrückt, muss jemand, der einen Phishing-Angriff auf ein Google-Konto starten will, lediglich diese sieben Codezeilen hinzufügen, um den Passwort-Warnung-Schutz nutzlos zu machen“, sagte Moore am Freitag in einem Interview mit Forbes. „Es ist wirklich beschämend.“

Wie in dem von Moore veröffentlichten Video zu sehen ist, hat er zunächst eine gefälschte Google-Anmeldeseite erstellt, die auf den ersten Blick nicht vom Original zu unterscheiden ist. Sie enthielt allerdings JavaScript-Code, der die Funktionsweise von Passwort-Warnung dahingehend beeinflusste, dass die Warnmeldung lediglich 5 Millisekunden lang angezeigt wurde. Dadurch war sie für den Nutzer praktisch nicht mehr wahrnehmbar.

Kurz nachdem Moore seinen Exploit öffentlich gemacht hatte, erklärte Google-Entwickler Andrew Hintz via Twitter, dass der Fehler in Version 1.4 beseitigt sei. Nutzer sollten die Erweiterung aktualisieren, was am schnellsten möglich sei, indem man chrome://extensions/ aufruft, den Entwicklermodus aktiviert und auf „Erweiterungen jetzt aktualisieren“ klickt.

Doch auch in der gepatchten Version 1.4 fand Moore einen Weg, die Schutzfunktion auszuhebeln, wie er auf Twitter schrieb. Daraufhin veröffentlichte Google am 1. Mai Version 1.6 von Passwort-Schutz. Für diese gibt es laut Moore aber ebenfalls schon einen Exploit. Daher fragt er in Richtung Jared Cohen, Direktor von Google Ideas: „Angesichts der Tatsache, dass mehr Exploits erschienen als Tage seit der Einführung vergangen sind, wird Google diese Idee aufgeben?“.

Passwort-Warnung sollte eigentlich darauf achten, dass Passwörter nicht auf Phishing-Seiten eingegeben werden. Sollte dies doch passieren, gibt es einen Warnhinweis aus mit der Empfehlung, das Passwort zu wechseln.

Google weist selbst darauf hin, dass das Add-on mit seiner „Safe Browsing„-Technik verwandt ist, die durch ein rotes Stoppschild vor gefährlichen Seiten warnt. Dem Unternehmen zufolge identifiziert sie „zum Beispiel Malware, Phishing sowie manipulierte und unerwünschte Software zuverlässig“. Auch die Sicherheitsprüfung für Konten gehe in diese Richtung.

[mit Material von Don Reisinger, News.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.