Web.de: Sicherheitsloch geflickt - 500 Beiträge pro Seite | Diskussion im Forum

[Nachrichten [wO]]

Einbruch in fremde Mail-Accounts nicht mehr möglich

Der Freemail-Provider Web.de hat das schwere Sicherheitsloch, auf das ZDNet am Freitag abend aufmerksam gemacht hat, geflickt: Bereits nach wenigen Stunden erklärte Mike Theobald, Product Manager des Unternehmens, im ZDNet-Feedback, dass das beschriebene Problem "unverzüglich behoben" worden sei.

Web.de hatte bis dahin als Referer an die Betreiber von Websites genau die URL verschickt, die der User während seines Besuchs selber im Browserfenster stehen hat. Mit dieser Adresse können fremde Personen von verschiedenen Rechnern aus auf den Account zugreifen. Offensichtlich ist bei Web.de die mehrfache Benutzung eines einzigen Mail-Postfachs zur selben Zeit möglich.

[RazzFazz]

geflickt???, warum so abfällige Bemerkungen von Seiten der WO-Redaktion. Geflickt bedeutet doch soviel wie notdürftig ausgebessert. Sollte man nicht lieber schreiben: Das Sicherheitsloch wurde geschlossen!


Gruss: RazzFazz

[mroth]

Auch wenn ich Web.De nicht mag, muß ich jetzt mal Web.De in Schutz nehmen und zwei Punkte ansprechen:

a.) Es ist übliche Vorgehensweise, daß wenn eine Person oder Organisation einen Bug in einer Software oder Internetanwendung findet, zuerst den Betreiber/Hersteller darauf aufmerksam macht und erst nach angemessener Zeit an die Öffentlichkeit geht. So wird es auf sämtlichen Security-Mailinglisten gehandhabt! Weiterhin gehört es zum gutem Stil, die technischen Details nicht so präzise darzustellen, daß jeder Anfänger diesen Bug dann ausnutzen kann!
Der Schritt sofort an die Öffentlichkeit hat, für jeden ersichtlich, andere Ziele, nämlich Marketing für eigene Zwecke durch Missbrauch von Fehlern anderer.

b.) Zitat "Web.de hatte bis dahin als Referer an die Betreiber von Websites genau die URL verschickt, ..." ist der größte Blödsinn auf Erden.
Die Referer-Zeile im HTTP-Request wird vom Webbrowser (Internet-Explorer oder Netscape-Browser) erzeugt, und nicht vom Webserver und schon gar nicht von Web.De!
Web.De hat es allerdings ursprünglich versäumt an diese Eigenschaft der Browser zu denken und einen Workaround zu installieren. Aber das ist ja somit geschehen.

Dieser Bug ist übrigens ein schönes Beispiel dafür, daß jeder Surfer im Internet Werbeblocker und/oder Filtersoftware installieren sollte um die Ausspähung persönlicher Daten zu verhindern.