Black Hat: Angriffsmethode umgeht HTTPS und legt URLs offen

Sicherheitsforscher wollen in der nächsten Woche auf der Hackerkonferenz Black Hat 2016 Gefährdungen für HTTPS in unsicheren Netzwerken aufzeigen. Itzik Kotler und Amit Klein vom Start-up SafeBreach werden demonstrieren, wie ein Angreifer eine bösartige Proxy-PAC-Datei einsetzen kann, um URLs auch dann im Klartext sehen zu können, wenn Nutzer sichere Web-Protokolle wie HTTPS einsetzen.

In einem potenziell bösartigen Netzwerk wie kostenlosem WLAN, einem Netzwerk für Gäste oder auch dem eines Unternehmens ist demnach nicht mehr der gesamte verschlüsselte Datenverkehr vom ersten Byte an gesichert. „Wir werden demonstrieren, dass es möglich ist, an HTTPS-URLs zu kommen, indem Ihr Browser / das System zur Nutzung einer bösartigen Proxy AutoConfiguration (PAC) gezwungen wird“, kündigen Kotler und Klein zu ihrer Präsentation am 3. August an. „Wir werden erklären, wie sich das auf die Privatsphäre der Nutzer auswirkt und wie Anmeldedaten / Sessions gestohlen werden können.“

Die „PAC Malware“ stellt demnach eine plattformübergreifende Bedrohung über Betriebssysteme (Linux, Windows, Mac) und Webbrowser (IE, Chrome, Safari) hinweg dar. Eine PAC-Datei (Proxy Auto-Config) erlaubt dem jeweiligen Browser, automatisch den passenden Proxyserver für eine gewünschte URL zu finden. Bei den Angriffen hilft ein als WPAD (Web Proxy Audodiscovery) bekanntes Protokoll.

Zwar bleibt mit Ausnahme der vollen URL, die ein Nutzer besuchen will, der übrige durch HTTPS geschützte Traffic unberührt. Doch allein diese Enthüllung kann die Sicherheit erheblich gefährden, wie Ars Technica ausführt. Der OpenID-Standard etwa nutzt URLs, um Anwender der unterstützten Sites und Dienste zu authentifizieren. Ähnlich verhält es sich bei Dokument-Sharing-Services, wie sie Dropbox und Google anbieten und dabei Sicherheitstoken in an Nutzer verschickte URLs einbinden.

WPAD und PAC wurden schon zuvor ausgenutzt, wie Sicherheitsforscher im April belegten. Dabei installierte ein als BlackMoon bekannter Banking-Trojaner auf infizierten Rechnern eine PAC-Datei, um Browser zu Phishing-Seiten umzuleiten, sobald die Nutzer bestimmte Sites ansteuern wollten. Mit dem Titel BADWPAD wird sich nächste Woche auf der Black-Hat-Konferenz ein weiterer Vortrag ebenfalls mit diesem Themenfeld beschäftigen.