Gefährliche Umleitung: Studie entlarvt Sicherheitslücken in vielen Webseiten

Die Universität Indiana hat in einer neuen Studie festgestellt, dass sich etliche Webseiten ohne größere Hindernisse von sogenannten Phishern und anderen Betrügern missbrauchen lassen könnten. Dazu greifen diese auf so genannte Redirects zurück: Ein Redirect wird in der Regel verwendet, um Benutzer auf externe Seiten weiterzuleiten. Um Statistiken darüber führen zu können, auf welche externen Seiten wie oft verwiesen wurde, wird die Adresse der Seite an ein Skript übergeben, welches den Aufruf der Seite verzeichnet und dann zu dieser weiterleitet.

In vielen Fällen jedoch wird bei der Übergabe der Adresse aber nicht geprüft, ob diese überhaupt aufgerufen werden darf. So lassen sich dem Skript oft beliebige Adressen unterjubeln - mit teilweise schwerwiegenden Folgen:

Denn es lassen sich solche Redirects mit Leichtigkeit dazu ausnutzen, eine andere Identität vorzutäuschen. Die Adresse http://www.firma.com/redirect.php?URL=http://andere.adresse.de/ sieht zwar auf den ersten Blick so aus, als würde sie zu einem offiziellen Angebot von Firma.com führen, tatsächlich nutzt sie aber nur das Redirect-Skript aus, um auf eine andere Adresse zu verweisen. Benutzer, die nur auf den ersten Teil der URL bzw. nur auf die Domain achten, könnten mit diesem Trick ebenso in die Irre geführt werden, wie Sicherheitslösungen, die Phishing auf elektronischem Wege unterbinden sollen.

Die Untersuchung deckt auf, dass sich von 2,5 Millionen getesteten Seiten mehr als 500.000 zur Weiterleitung auf beliebige Ziele ausnutzen liessen. Weiter beschreibt die Studie, die online verfügbar ist (Download als PDF), auch eine Methode, mit der sich feststellen lassen soll, ob eine URL einen Link zu einem offenen Redirect beinhaltet. Zudem erklären die Autoren, wie sich Entwickler und Betreiber von Webseiten gegen ungewollt freizügige Redirects schützen können.

Bookmark: