Instagram schließt kritisches Datenleck

Der belgische Sicherheitsforscher Arne Swinnen hat im Rahmen von Facebooks Instagram Bug Bounty Program zwei kritische Sicherheitslücken entdeckt. Begünstigt durch Instagrams schwache Passwortrichtlinie war er in der Lage, per Brute Force die Passwörter von Nutzern des Bilderdiensts zu knacken. Facebook hat die Schwachstellen inzwischen geschlossen.

Der erste Fehler steckte in Instagrams mobilem Anmeldeverfahren. Mit der Sicherheitssoftware Burp konnte der Forscher mit einer IP-Adresse 1000 Passwörter für einen Nutzernamen testen, bevor er eine Fehlermeldung der mobilen Instagram-App erhielt. Allerdings lieferten nur die nächsten 1000 Versuche die Meldung „User not found“. Ab dem 2001. Versuch meldete Instagram abwechselnd, ob das Passwort richtig oder falsch ist oder erneut „User not found“.

Die Instagram-Server verraten, ob per Brute Force abgefragte Anmeldedaten tatsächlich existieren (Bild: Arne Swinnen).

„Das erlaubte einen zuverlässigen Brute-Force-Angriff“, schreibt Swinnen in seinem Blog. Der Angriff sei zudem durch fehlende Sicherheitsmaßnahmen wie eine standortbasierte Betrugserkennung anhand von IP-Adressen begünstigt worden. Außerdem sei Instagrams Passwortrichtlinie zu schwach und die im Februar angekündigte Anmeldung in zwei Schritten sei immer noch nicht weltweit verfügbar.

Darüber hinaus erlaubte auch das webbasierte Anmeldeverfahren Brute-Force-Angriffe. Hier analysierte Swinnen die Anfrage, die sein Browser bei der Registrierung eines Kontos an Instagram schickte, sowie die Antwort des Servers. Das erlaubte es ihm, beliebige Kombinationen aus Nutzernamen und Passwörtern an die Instagram-Server zu schicken, die schließlich jede Anfrage entweder mit einer Fehlermeldung oder der Meldung „Diese Anmeldedaten gehören zu einem aktiven Instagram-Konto“ beantworteten.

Die Bugs übermittelte Swinnen Ende Dezember beziehungsweise Anfang Februar an Facebook. Sie wurden am 11. sowie am 13. Februar behoben. Allerdings bot der Fix für die zweite Lücke keinen effektiven Schutz vor Swinnens Angriff. Ein neuer Patch wurde von Facebook schließlich am 10. Mai implementiert, den Swinnen in der vergangenen Woche bestätigte. Seine Arbeit belohnte Facebook mit einer Prämie von insgesamt 5000 Dollar.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.