Fehlerhafte Cookies verhindern sicheres Surfen

Viele Surfende denken, dass ihr Webseitenbesuch vor dem Ausspionieren von Daten oder Passwörtern sicher ist, wenn sie verschlüsselte Verbindungen (SSL) nutzen. Doch weit gefehlt. Wenn Cookies verwendet werden, kann es passieren, dass diese trotz SSL ausgelesen werden können.

Schuld daran, sind meist die Anbieter von Webseiten und -diensten, die ihre Cookies falsch einsetzen. Vielfach werden Cookies verwendet, um eindeutige Kennungen für den gesicherten Zugang der Besucher länger zu speichern wie bei Webmail, Warenkörben, Foren, Chats und so weiter – solch ein Cookie wird Sitzungscookie genannt.

Bei Cookies gibt es ein Flag, das bestimmt, ob diese über sichere (SSL) oder über normale unverschlüsselte Verbindungen an den Server gesandt werden.

Schlampige Anbieter setzen beim Cookie das Flag für das Rücksenden über sichere Verbindung nicht, sodass das Cookie unverschlüsselt gesendet wird.

Damit ist einer einfachen Verwendung durch Diebe nach einem Cookiedienbstahl Tür und Tor geöffnet.

Ein Bespiel für einen solchen Cookiediebstahl:
Ein Surfer befindet sich in einem Internetcafé mit WLAN. Nach der Anmeldung beim Webmail eines Mailanbieters besucht er eine andere Webseite. Auf dieser „bösen“ Webseite ist ein Bild gespeichert ist, das angeblich auf dem Webserver des Mailanbieters liegt. Der Browser fordert das Bild an und sendet unaufgefordert das Cookie unverschlüsselt an die Webseite. Der Angreifer, der sich im gleichen WLAN befindet (das kann auch zig Meter entfernt sein!) belauscht den Netzwerkverkehr, kann so das Cookie empfangen und für eigene Logins verwenden.
Wenn das Szenario nun auf Bankzugänge oder Warenkörbe bei Onlineshops angewandt wird, ist klar, dass Zugangsdaten damit trotz Verschlüsselung unsicher sind.
Problematisch ist auch die Tatsache, dass das Vortäuschen der Computeradresse (IP) oder Netzwerkkartenkennung (MAC) des Opfers durch den Angreifer mittes DNS-Poisoning oder ARP-Spoofing auch in anderen Netzen als nur WLAN klappt.

Bis vor kurzem war das Szenario nur ein Proof-of-Concept, der auf der defcon vorgestellt wurde; jetzt gibt es anwendbare Exploits.

Namhafte Webmailanbieter oder Onlineshops verwenden leider immer noch unsichere Cookies trotz angeblicher sicherer Verbindung über ihre Webseiten.
Namen nenne ich hier lieber nicht.