Live Hacking auf der Cebit
Am Stand von F-Secure waren jeden Tag Live-Hacking Vorträge. Wir bekamen eine Möglichkeit gezeigt die Zugangsdaten von Kunden eines beliebigen OnlineBanking-Portals auszuspionieren. Das ganze läuft über eine DNS-Spoofing Attacke. Ich war ziemlich überrascht und ein wenig schockiert wie einfach und effizent so ein Angriff ist. Auch bin ich mir sicher das ich auf die Attacke hereingefallen wäre. Unter einem aktuellen OS mit allen Sicherheitspatches bedarf es nur eines ‚Ja‘-Klicks.
Ich habe dann gestern nach der Heimfahrt versucht die Attacke hier nachzustellen, ein Linuxrechner angeschlossen, ein paar Tools installiert und es hat funktioniert.
Nachdem beim Sicherheitshinweis auf ‚Ja‘ geklickt wurde läßt sich trotz der SSL-Verschlüsselung(Schloß-Symbol) die Kontonummer und das Passwort im Klartext auslesen.
Wer ist sich sicher, er hätte nicht auf ‚Ja‘ geklickt?
Soweit..
Es wird immer Mittel und Wege geben. Man kann nur hoffen, daß Sicherheitslöcher minimiert werden. Aber soweit ich das sehe bezieht sich der HAck auf eine Web-Siten.
Bei diesem Hack werden keinerlei Sicherheitslöcher ausgenutzt!! Allein die Unzulänglichkeiten des TCP/IP-Protokolls und natürlich die des Anwenders werden ausgenutzt. Es wird weder der Rechner des Anwenders noch der Webserver benutzt, es wird „einfach“ der Datenverkehr zwischen diesen beiden belauscht.