Instagram schließt kritisches Datenleck

Der belgische Sicherheitsforscher Arne Swinnen hat im Rahmen von Facebooks Instagram Bug Bounty Program zwei kritische Sicherheitslücken entdeckt. Begünstigt durch Instagrams schwache Passwortrichtlinie war er in der Lage, per Brute Force die Passwörter von Nutzern des Bilderdiensts zu knacken. Facebook hat die Schwachstellen inzwischen geschlossen.

Der erste Fehler steckte in Instagrams mobilem Anmeldeverfahren. Mit der Sicherheitssoftware Burp konnte der Forscher mit einer IP-Adresse 1000 Passwörter für einen Nutzernamen testen, bevor er eine Fehlermeldung der mobilen Instagram-App erhielt. Allerdings lieferten nur die nächsten 1000 Versuche die Meldung „User not found“. Ab dem 2001. Versuch meldete Instagram abwechselnd, ob das Passwort richtig oder falsch ist oder erneut „User not found“.

Die Instagram-Server verraten, ob per Brute Force abgefragte Anmeldedaten tatsächlich existieren (Bild: Arne Swinnen).

„Das erlaubte einen zuverlässigen Brute-Force-Angriff“, schreibt Swinnen in seinem Blog. Der Angriff sei zudem durch fehlende Sicherheitsmaßnahmen wie eine standortbasierte Betrugserkennung anhand von IP-Adressen begünstigt worden. Außerdem sei Instagrams Passwortrichtlinie zu schwach und die im Februar angekündigte Anmeldung in zwei Schritten sei immer noch nicht weltweit verfügbar.

WEBINAR

HPE Server der Generation 10 - Die sichersten Industrie-Standard-Server der Welt

Die neuen HPE-Server der Generation 10 bieten einen erweiterten Schutz vor Cyberangriffen. Erfahren Sie in unserem Webinar, warum HPE-Server die sichersten Industrie-Standard-Server der Welt sind und wie Sie ihr Unternehmen zu mehr Agilität verhelfen. Jetzt registrieren und Aufzeichnung ansehen.

Darüber hinaus erlaubte auch das webbasierte Anmeldeverfahren Brute-Force-Angriffe. Hier analysierte Swinnen die Anfrage, die sein Browser bei der Registrierung eines Kontos an Instagram schickte, sowie die Antwort des Servers. Das erlaubte es ihm, beliebige Kombinationen aus Nutzernamen und Passwörtern an die Instagram-Server zu schicken, die schließlich jede Anfrage entweder mit einer Fehlermeldung oder der Meldung „Diese Anmeldedaten gehören zu einem aktiven Instagram-Konto“ beantworteten.

Die Bugs übermittelte Swinnen Ende Dezember beziehungsweise Anfang Februar an Facebook. Sie wurden am 11. sowie am 13. Februar behoben. Allerdings bot der Fix für die zweite Lücke keinen effektiven Schutz vor Swinnens Angriff. Ein neuer Patch wurde von Facebook schließlich am 10. Mai implementiert, den Swinnen in der vergangenen Woche bestätigte. Seine Arbeit belohnte Facebook mit einer Prämie von insgesamt 5000 Dollar.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

2 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

6 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

7 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

7 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

7 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

9 Stunden ago