Autsch! Sicherheitslücke bei XING und Soz.-Netzen generell
Gerade gestern noch hat meine liebe A. von einer Gesprächsrunde im Fernsehen erzählt, in der es um die (unsichtbaren) Machenschaften großer Internetgesellschaften geht Geld zu machen. Dabei geht es sehr viel um Analysen bezüglich Kaufverhalten, oder Meinungsforschung.
Hinlänglich oft genug wird ja gewarnt vor dem Hinterlassen von Mail-Adressen oder jedweder Daten im Internet. Während unser Augenmerk ängstlich in Richtung Kreditkarennummern oder Onlinebanking geht, wird leicht übersehen, wie transparent wir schon sind. Hier nun ein weiterer netter Hammer den ich heute Morgen gefunden habe. Es geht um XING-Nutzer (zu denen ich seit bald fünf Jahren gehöre) und das sogenannte “History Stealing”. Das bezieht sich auf die ach-so bequeme Möglichkeit der Browser die wir verwenden, die Wege welche wir im Internet gehen aufzuzeichnen, damit es schneller geht, sollten wir dort wieder hingehen wollen.
Vier Unversitätsmitglieder haben eine Sicherheitslücke gefunden die zum einen das History-Stealing nutzt und zum Anderen, in welcher Gruppe ich in XING Mitglied bin. Logisch einfach genug ist es ja: Wenn ich den Computer kenne vor jemand sitzt (also seine IP-Spur im Internet, und das geht über die History) UND gegeben ist, dass derjenige ofters in Gruppen tätig ist (lesend oder schreibend), dann kann ich über Matchen, wer in welchen Gruppen tätig ist. Diese Menge nutze ich um ein “Profil” von einer Gruppenzusammensetzung zu erstellen (i.e.: Welche IP kommt in welchen Gruppen vor, heißt: wo habe ich IP-Spuren hinterlassen, als ich in der Gruppe zu Besuch war.). Diese Gruppenzusammensetzung ist aber recht individuell, dass heißt: Kenne ich diese, dann kann ich den tatsächlichen Namen dieses Menschen herausfinden.
HIER gibt es eine Seite dieser Forscher, auf der man anonym (haha!) einen Test laufen lassen kann. Habe ich natürlich gleich gemacht. Und verdammt: die Suchmaschine hat nach einiger Zeit (fünf Minuten) meinen (echten) Namen identifiziert! Mitmachen geht nur für XING-Nutzer! Aber auf jeden Fall mal machen. Zumal am Schluss eine kleine Umfrage kommt (”Wurde ihr Name gefunden?“). Die Forscher sind nun zu einer IT-Sicherheitskonferenz eingeladen, und da sollten sie aber doch ganz viel Munition haben!
HIER geht es zu dem Artikel bei Spiegel-Online, über den ich dazu gekommen bin. Da findet sich auch ein Link auf ein pdf, welches die Abhandlung der Forscher (in Englisch) enthält, mit dem ansprechenden Titel: “A Practical Attack to De-Anonymize Social Network Users“.
So, jetzt erst mal schauen, was ich dagegen machen kann.
Der Autor lebt (oder lebte zur Zeit der Buchveröffentlichung) in Peking, davor in Singapur, ist Journalist und schrieb eine Kolumne bezüglich seiner Erlebnisse in China auch in der Titanic. Nun hat er diese Texte aktualisiert und neue Erlebnisse witzig beschrieben und, nun ja, dieses Buch herausgebracht.