Dienstag, 20. Februar 2018, 06:58 UTC+1

Sie sind nicht angemeldet.

  • Anmelden
  • Registrieren

Registrierungsdatum: 19. Dezember 2003

Beiträge: 9 876 Aktivitäts Punkte: 51 795

Danksagungen: 12

1

Donnerstag, 8. Februar 2018, 12:14

Sicherheitslücke: VPN-Service Hotspot Shield gibt Standorte von Nutzern preis

Zitat

Sicherheitslücke: VPN-Service Hotspot Shield gibt Standorte von Nutzern preis

Die Schwachstelle steckt im lokal installierten Web Server des kostenlosen Dienstes. Der Anbieter AnchorFree weiß seit
Dezember von dem Problem und reagiert erst nach Veröffentlichung eines Proof of Concept. Strittig ist, ob der Bug auch
IP-Adressen von Nutzern offenlegt.


Ein Sicherheitsforscher hat eine Möglichkeit gefunden, Nutzer des VPN-Diensts Hotspot Shield zu identifizieren. Der kostenlose
Dienst des Unternehmens AnchorFree, der weltweit schätzungsweise 500 Millionen Nutzer hat, soll eigentlich deren Anonymität
und Privatsphäre gewährleisten. Ein Bug gibt jedoch persönliche Daten preis, wie das Land, in dem sich der Nutzer befindet,
und den Namen seines WLAN-Netzwerks.

Bug entdeckt (Bild: Shutterstock)Diese Daten lassen sich mit öffentlich verfügbaren Informationen zu WLAN-Netzwerken abgleichen
und erlauben es unter Umständen, den Standort eines Nutzers zu ermitteln. „Mit Informationen wie dem WLAN-Namen kann ein
Angreifer leicht herausfinden, wo sich ein Opfer befindet“, schreibt der Forscher Paulos Yibelo, der den Fehler entdeckt hat.
Zusammen mit dem Herkunftsland des Nutzers lasse sich die Liste der möglichen Standorte zumindest eingrenzen.

Der von Yibelo zur Verfügung gestellte Beispielcode offenbarte bei Tests von ZDNet USA auf mehreren unterschiedlichen Rechnern
die Namen der jeweiligen WLAN-Netzwerke. Auslöser ist eine Schwachstelle im Web Server, den Hotspot Shield auf dem Rechner
eines Nutzers installiert. Der Beispielcode, der nur wenige Zeilen umfasst, ruft die fraglichen Informationen aus einer JavaScript-Datei
ab, die auf dem Web Server gehostet wird.

Für die Entwicklung seines Proof of Concept habe er nur wenige Sekunden benötigt, so der Forscher. Der Code lege derzeit die
Informationen zwar nur gegenüber einem lokalen Nutzer offen. Es sei aber kein Problem, den Code so anzupassen, dass er von
einer schädlichen Website aus ausgeführt werden könne, um von dort persönliche Daten des Opfers auszuspähen.

Unter besonderen Umständen sei er sogar in der Lage, IP-Adressen von Nutzern zu ermitteln – allerdings mit gemischten Ergebnissen.
ZDNet USA konnte dies bei seinen Tests nicht nachvollziehen. AnchorFree, das von Yibelo über den Bug informiert wurde, bestreitet
indes eine Offenlegung von IP-Adressen.

„Wir haben den Bericht des Forschers geprüft und getestet“, teilte Tim Tsoriev von AnchorFree mit. „Wir haben herausgefunden,
dass die Anfälligkeit keine IP-Adressen von Nutzern oder irgendwelche persönlichen Daten preisgibt.“ Möglicherweise mache der
Bug aber generische Informationen wie das Herkunftsland öffentlich. Noch in dieser Woche werde ein Update bereitgestellt, das
die für das Datenleck verantwortliche Komponente vollständig entferne.

AnchorFree wusste dem Forscher zufolge bereits seit Dezember von dem Problem. Da das Unternehmen nie auf seine Meldung
reagierte, veröffentlichte er am Montag die Details der Schwachstelle sowie den Beispielcode. Zuvor hatte er die Anfälligkeit
im Rahmen eines Bug-Bounty-Programms dem Sicherheitsanbieter Beyond Security gemeldet, der ebenfalls keine Rückmeldung
von AnchorFree erhielt.

http://www.zdnet.de/88325437/sicherheits…-nutzern-preis/
Wir verlangen, das Leben müsse einen Sinn haben,
aber es hat nur genau so viel Sinn wie wir ihm geben.
  • Zum Seitenanfang

Prometheus

Dr. Hasenbein

Registrierungsdatum: 10. August 2007

Beiträge: 8 341 Aktivitäts Punkte: 42 500

Wohnort: Schwäbischer Hasenbau

2

Samstag, 10. Februar 2018, 08:47

Mittlerweile taugen mehr oder weniger alle VPNs nur zur Umgehung von Geosperren und mehr auch nicht...irgendwie auch traurig.
Vive et alios sine vivere!

  • Zum Seitenanfang

Haley

Administrator

Registrierungsdatum: 24. November 2002

Beiträge: 5 941 Aktivitäts Punkte: 31 465

3

Samstag, 10. Februar 2018, 18:16

Wer von kostenlosen VPN-Anbietern einen maximalen Schutz erwartet, ist selbst schuld.
Was nicht heißen soll, dass jeder kommerzieller Anbieter besser ist, auch da gibt es schwarze Schafe.
Zwei Möglichkeiten gibt es:
Entweder sind wir allein im Universum oder wir sind es nicht.
Beide sind gleichermassen verstörend.

(Arthur C. Clarke)
  • Zum Seitenanfang

Prometheus

Dr. Hasenbein

Registrierungsdatum: 10. August 2007

Beiträge: 8 341 Aktivitäts Punkte: 42 500

Wohnort: Schwäbischer Hasenbau

4

Samstag, 10. Februar 2018, 20:17

Ich mein ja generell...früher oder später wenn jemand Informationen WILL, aus welchen Gründen auch immer, da knicken auch die meisten kommerziellen (aus HongKong oder wo auch immer) sofort FREIWILLIG ein, die ja alle angeblich so gar keine Logs erstellen und auch bei "Anfrage" angeblich nichts vorrätig haben...schon bei simplen Urheberrechtsverstößen, da bedarf es nicht mal bösen Drogen-, Waffen-, Human Trafficking Aktivitäten oder Hate Speech und das macht das ganze ja witzlos. Wofür überhaupt Geld ausgeben? Wenn dann auch noch solche technischen Unsicherheiten passieren, dann gibt es zusätzlich zu denken. Aber du hast schon recht, kostenlos ist eigentlich immer verdächtig. KEIN Anbieter wird für irgendwas seinen Kopf hinhalten. Ich habe aber die Befürchtung die ganzen VPNs verkommen zu gesonderten Datenkraken, die man schön nach Belieben in aller Ruhe auswerten kann. So richtig neu ist die Diskussion aber eben auch nicht, Sicherheitslücke hin oder her.
Vive et alios sine vivere!

  • Zum Seitenanfang

Ähnliche Themen