Unsichere Cookies
Google belohnt Vorarlberger mit 90.000 Euro
Ein 22-jähriger Vorarlberger hat einen Fehler im Sicherheitssystem von Google entdeckt – und wurde dafür großzügig belohnt.
Kronen Zeitung als bevorzugte Google-Quelle hinzufügen Simon Köck fungiert als sogenannter „ethischer Hacker“: Er sucht gezielt nach Schwachstellen in Programmen, die er den Unternehmen meldet. Dafür erhält er Prämien, im Fachjargon „Bug Bounties“ genannt.
Jetzt darf er sich über seinen bisher größten Coup freuen. Auf Googles Plattformen für App-Entwickler fand er eine heikle Sicherheitslücke, berichten der ORF Vorarlberg und das Fachportal „eSecurity Planet“. Dankbar habe ihm der US-Riese ganze 90.000 Dollar Finderlohn überwiesen.
Was war der Fehler?
Bekannterweise speichert der Browser beim Besuchen einer Website Cookies. Vermerkt wird etwa, wer man ist, um beispielsweise eine neue Anmeldung auf jeder Unterseite zu ersparen. Damit Cookies nicht gefälscht werden können, tragen sie ein digitales Siegel – die OAuth-Client-ID.
Durch die Lücke soll das geheime Passwort für das Siegel mitgeliefert worden sein. Dadurch seien Fälschungen möglich geworden, die der Server als „echt“ anerkannte. Sowohl die OAuth-Client-ID als auch das dazugehörige Client-Geheimnis konnten somit ausgelesen werden.
„eSecurity Planet“ zufolge kann damit allein noch kein Server aus der Ferne gesteuert werden. Hinzu kam demnach eine weitere unglückliche Verkettung: eine sogenannte unsichere Deserialisierung. Darunter wird verstanden, dass Googles Server das Datenpaket wieder auspackte und dem Inhalt ohne weitere Überprüfung vertraute.
Konnte ungehindert Befehle einfügen
Darüber hinaus habe die Programmiersprache Python die Eigenheit, dass durch eine Funktion die Daten nicht nur gelesen, sondern die darin enthaltenen Rechenbefehle sofort gestartet werden. Köck konnte daher ungehindert Befehle in die Cookies einfügen, die der Google-Server tatsächlich ausführte.
„Durch die Sicherheitslücke wäre man wahrscheinlich relativ sicher in deren interne Systeme gekommen und hätte Zugriff auf sensible Daten von Nutzerinnen und Nutzern oder andere böswillige Dinge ausprobieren können“, sagt Köck gegenüber dem ORF.
Willkommen in unserer Community! Eingehende Beiträge werden geprüft und anschließend veröffentlicht. Bitte achten Sie auf Einhaltung unserer Netiquette und AGB. Für ausführliche Diskussionen steht Ihnen ebenso das krone.at-Forum zur Verfügung. Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.
Hinweis in eigener Sache: Das krone.at-Forum präsentiert sich ab sofort in neuem Design! Wir freuen uns über konstruktives Feedback. Damit die Diskussionen in den Kommentarbereichen beim jeweiligen Thema bleiben, können Sie uns Rückmeldungen hier hinterlassen.
User-Beiträge geben nicht notwendigerweise die Meinung des Betreibers/der Redaktion bzw. von Krone Multimedia (KMM) wieder. In diesem Sinne distanziert sich die Redaktion/der Betreiber von den Inhalten in diesem Diskussionsforum. KMM behält sich insbesondere vor, gegen geltendes Recht verstoßende, den guten Sitten oder der Netiquette widersprechende bzw. dem Ansehen von KMM zuwiderlaufende Beiträge zu löschen, diesbezüglichen Schadenersatz gegenüber dem betreffenden User geltend zu machen, die Nutzer-Daten zu Zwecken der Rechtsverfolgung zu verwenden und strafrechtlich relevante Beiträge zur Anzeige zu bringen (siehe auch AGB). Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.