Experten zeigen neues Angriffsszenario auf Online-Speicherdienste
Es macht sich die Tatsache zunutze, dass in der Regel ein Passwort-Token verwendet wird, in dem die Anmeldedaten hinterlegt sind. Dies lässt sich per Phishing-Attacke oder Drive-by-Download stehlen. Teilweise vorhandene Sicherheitsmachanismen werden oft ignoriert.
Auf der derzeit stattfindenden Black-Hat-Konferenz in Las Vegas Details hat Imperva eine Schwachstelle aufgezeigt, die Angriffe auf Nutzer von Diensten wie Box, Dropbox, Google Drive und Microsoft OneDrive ermöglicht. Das Sicherheitsunternehmen spricht von einem Man-in-the-Cloud-Angriff. Dabei könne ein Angreifer, ohne dass es der Betroffene bemerkt, und ohne Passwort auf online gespeicherte Dateien zugreifen und unter Umständen Nutzern sogar Malware unterschieben.
Von einem klassischen Man-in-the-Middle-Angriffe, der darauf beruht, dass die Datenkommunikation zwischen zwei Servern abgefangen wird, unterscheidet sich der Angriff den Forschern zufolge dadurch, dass er durch einen Designfehler in vielen Synchronisationsdiensten ermöglicht wird. Der sei nicht nur eine Gefahr für Verbraucher, sondern auch für Unternehmen, die diese Dienste nutzen.
Um auf die online gespeicherten Daten zuzugreifen, wird nur das Passwort-Token benötigt. In dieser kleinen Datei, die auf dem Gerät eines Nutzers gespeichert ist, sind die Anmeldedaten hinterlegt, damit nicht bei jedem Aufruf des Diensts Benutzername und Passwort erneut eingegeben werden müssen. Eine beispielsweise mittels einer Phishing-Attacke oder mittels Drive-by-Download untergeschobenen Malware kann den Token entwenden und vom Angreifer anschließend genutzt werden, um in vollem Umfang auf das Konto zuzugreifen. Er kann zudem von der Cloud aus in die lokal synchronisierten Ordner Malware einschleusen, um sich so auch Zugang zum Rechner des Opfers zu verschaffen.
Laut Amichai Schulman, Chief Technology Officer von Imperva, müssen die Anbieter der Cloud-Speicherdienste zwischen Sicherheit und Nutzbarkeit abwägen. Viele böten inzwischen eine Authentifizierung in zwei Schritten an oder benachrichtigten ihre Kunden wenn eine Anmeldung von einem neuen Geräten aus erfolgt. Allerdings ignorierten viele Nutzer diese Meldungen.
[mit Material von Stefan Beiersmann, ZDNet.de]
<!– Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit 14 Fragen auf ITespresso. –>Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.