Im Herbst 2010 gab es zahlreiche Berichte, unter anderem auf ZEIT ONLINE und natürlich auf den üblichen Nerdportalen, über die Firefox-Erweiterung „Firesheep“, die im lokalen WLAN sämtliche im Klartext übertragenen Logincookies (unter anderem für Twitter, das Visagenbuch und *vz) abfangen und auflisten kann, so dass man sozusagen per Klick die virtuelle Identität der jeweiligen Person übernehmen kann.
Natürlich brauchte man dafür immer noch ein gewisses technisches Verständnis, unter anderem war die Benutzung auf Windows mit dem WinPcap-Treiber sowie auf Mac OS X beschränkt, aber die Erweiterung zeigte, dass der sorglose Umgang mit „sozialen Netzen“ schnell nach hinten losgehen kann. Dabei haben die meisten „angreifbaren“ „sozialen Netze“ längst eine Option, immer eine verschlüsselte Verbindung („Verwende HTTPS“ o.s.ä.) zu benutzen, in diesem Fall ist zumindest das Abfangen von Cookies nicht mehr problemlos möglich, nur wird diese in der Regel ebensowenig benutzt wie die Firefox-Erweiterung HTTPS Everywhere, die das sozusagen „von außen“ übernimmt und auch die Wikipedia und ähnliche Portale unterstützt.
Vielleicht liegt es an der technischen Unbedarftheit dieser Personen, vielleicht auch einfach daran, dass die ach-so-nützlichen Benutzerskripte wie etwa „Better Facebook“, „Better Amazon“ usw. sich mit einer verschlüsselten Verbindung oft nicht vertragen und Klickibunti nun mal wichtiger ist als Sicherheit?
Zwar scheint bei Firesheep schon seit längerem keine Weiterentwicklung mehr stattzufinden, Firefox 4 oder höher wird zum Beispiel ebensowenig unterstützt wie Linux oder gar andere Browser, aber seit mittels dieser Erweiterung das grundlegende Sicherheitsproblem, das Cookies mit sich bringen, (endlich) Aufmerksamkeit auch in der weniger technikaffinen Öffentlichkeit erfahren hatte, war es nur noch eine Frage der Zeit, bis eine ähnlich komfortable Lösung diese Missstände beseitigt.
Und diese Lösung heißt FaceNiff.
FaceNiff ist eine Android-Anwendung (auf Neudeutsch app genannt), die, wie viele andere apps auch, lediglich ein gerootetes (auf Appledeutsch „gejailbreaktes“) Android-Gerät voraussetzt und fortan die gleiche Tätigkeit verrichtet wie Firesheep: Das WLAN, in dem man sich derzeit herumtreibt, wird auf die Übertragung von Sitzungskennungen bekannter Dienste – derzeit YouTube, Amazon.com, Twitter, Facebook und Nasza-Klasa, was immer das schon wieder ist – überwacht. Gefundene Sitzungen werden dann bequem zur Auswahl und Nutzung aufgelistet.
Um allerdings ein Missverständnis aufzuklären: Das Sicherheitsproblem ist keinesfalls bei den Diensten selbst zu suchen, sondern in dem Leichtsinn, ein WLAN mit unbekannten – womöglich unliebsamen – Zeitgenossen zu teilen. Immerhin ist selbst eine SSL-Unterstützung geplant, so dass auch in gesicherten Verbindungen, sofern ich das nun richtig verstanden habe, Passwörter direkt ausgelesen werden können. Tatsächlich ist schon die Einwahl in ein WLAN, das man nicht selbst administriert, nur mit Vorsicht zu genießen, besteht doch keine Garantie, dass der jeweilige Zugriffspunkt nicht jede Verbindung mitschneidet und gegebenenfalls dasselbe tut wie eben Firesheep und FaceNiff. (Die rechtlichen Aspekte solcher Techniken seien hier einmal nicht weiter beachtet, dass die beabsichtigte Übernahme von Benutzerkonten Dritter nicht allzu gern gesehen wird, sollte aber selbstverständlich sein.)
(via Antary)
