پارس نيوز ParsNewZ Latest News

Mit Cookies gegen Vorkassenbetrug

Um solche Betrügereien künftig zu verhindern, hat sich eBay ein besonderes System erdacht. Ab Mitte des Jahres gilt: eBay-Kunden, die nicht von ihrem angestammten Computer aus Waren zum Verkauf anbieten, müssen sich gesondert authentifizieren. Sie werden von eBay automatisch auf einer Nummer angerufen, die sie bei eBay hinterlegen müssen. “Mit diesem Anruf stellen wir sicher, dass der Verkauf tatsächlich vom rechtmäßigen Inhaber des eBay-Mitgliedskontos veranlasst wird”, heißt es bei eBay.

Damit die eBay-Software erkennen kann, welcher Computer beim Einstellen von Angeboten benutzt wird, markiert eBay die Rechner seiner Kunden bereits seit Ende April mit einem sogenannten Flash-Cookie. Das ist eine kleine Textdatei mit einer eindeutigen Kennung, die auf dem PC des Nutzers abgespeichert wird. Stellt der eBay-Kunde Waren ein, sucht die eBay-Software auf seinem PC automatisch nach dem Cookie.

Anders als gewöhnliche Cookies unterliegen Flash-Cookies nicht der Cookie-Verwaltung des Browsers. Sie werden über den Flash-Player erzeugt und können auf normalem Wege nicht gelöscht werden. Zudem ist normalerweise sichergestellt, dass diese Cookies nur von der Webdomain ausgelesen werden können, die die kleine Textdatei auf dem Computer abgespeichert hat.

Kluge Idee schlampig umgesetzt

Eine kluge Idee, könnte man meinen. Identitätsdiebe können sich zwar die Zugangsdaten eines Kunden erschleichen, könnten damit aber nichts mehr anfangen. Sie benutzen einen Rechner, dem das Identifizierungs-Cookie fehlt. Bieten sie trotzdem Waren an, setzt sich die eBay-Software mit dem wirklichen Kunden in Verbindung. Der wird gewarnt und kann sein eBay-Konto auf der Stelle sperren lassen.

Die Theorie klingt klug - die eBay-Praxis reichlich schlampig. Das jedenfalls behauptet Falle-Internet, eine private Sicherheitsinitiative, die es sich zum Ziel gesetzt hat, Internetkriminellen das Handwerk zu legen und Surfer über Netzgefahren aufzuklären. Falle-Internet hat nämlich einen Programmierfehler in eben jenem Flash-Objekt namens “krb.swf” entdeckt, das eBay zum Ausliefern und Abfragen seiner Cookies benutzt.

“Eigentlich dürften ausschließlich eBay-eigene Seiten und Skripte Zugriff auf die darin enthaltene Funktion zum Auslesen eines Flash-Cookies haben”, erklärt Falle-Internet. “Eine falsch implementierte Abfrage ermöglicht es aber nahezu jeder Webseite, eBays eigene Software zum ‘Cookieklau’ zu verwenden.” Einzige Bedingung sei: “Die Adresse der Seite muss - ganz ähnlich wie eBays Login-Seite - mit ’signin’ beginnen.”

Leichtere Arbeit für Betrüger

Heute.de hat den “Cookieklau” ausprobiert - mit verblüffendem Ergebnis. Über eine zu Demonstrationszwecken eingerichtete Webseite mit Namensähnlichkeit zur eBay-Einloggseite konnten Flashcookies problemlos ausgelesen werden, obwohl das theoretisch eigentlich nicht möglich ist. Damit nicht genug.

Die Sicherheitsmaßnahme, die in der schönen eBay-Theorie das unbefugte Anbieten von Waren eigentlich unmöglich machen sollte, erleichtert Internetbetrügern die Arbeit ganz erheblich. In einem Abwasch können sie sich über eine entsprechend manipulierte Webseite von eBay-Mitgliedern nicht nur die Zugangsdaten erschleichen, sondern auch gleich deren Identifizierungs-Cookies auslesen und zur eigenen “Authentifizierung” einsetzen.

Der Aufwand, diese eklatante Sicherheitslücke zu schließen, sei für eBay minimal, sagt Falle-Internet. Sie dürfte deshalb auch tatsächlich bald geschlossen sein. Dennoch weise ihre Existenz auf ein grundsätzliches Problem bei der Verwendung softwarebasierter Sicherheitsmaßnahmen hin. “Mit steigender Komplexität erhöht sich die Fehlerwahrscheinlichkeit im Zusammenspiel der Komponenten”, so Falle-Internet.

Wirkliche Sicherheit gegen Aufpreis

Darüber hinaus stellt sich die Frage, warum eBay solche und andere Lücken nicht selbst entdeckt, sondern immer wieder erst von Außenstehenden darauf gestoßen werden muss. Sollte man nicht meinen, dass gerade ein in Sicherheitsfragen gebranntes “Kind” wie eBay jede neue Maßnahme vor ihrem Einsatz besonders gründlich auf Herz und Nieren überprüft?

Seit Mitte Februar 2007 bietet eBay seinen Kunden an, das Mitgliedskonto mit einem Sicherheitsschüssel zu schützen, der das von Banken bekannte eTan-Verfahren verwendet. Alle dreißig Sekunden generiert das Gerät einen individuellen Sicherheitscode, der zusätzlich zu den Kundendaten eingeben werden muss. Die Nutzung ist freiwillig.

“Der Sicherheitsschlüssel könnte aber leicht für alle Nutzer verpflichtend eingeführt werden”, sagt Falle-Internet. Den geringen Kosten von 4,95 Euro pro Schlüssel stünde ein echter Mehrgewinn an Sicherheit gegenüber.