Doch der Reihe nach:
Es gibt eine Sicherheitslücke in Browsern, die es einem Angreifer leicht macht, die Chronik der besuchten Webseiten auszulesen. Das haben sich auch schon Seiten wie didyouwatchporn.com zu Nutzen gemacht - hier wird beispielsweise nachgeprüft, ob Links zu anzüglichen Seiten vom Browser als bereits besucht dargestellt werden. Sie kennen das: nicht besuchte Links erscheinen blau, bereits besuchte dagegen lila. Wird dann ein lila Link entdeckt, ist klar: Der Nutzer des Browsers hat schon mal...
Forscher des International Secure Systems Lab (isecLAB) sind einen Schritt weiter gegangen. Sie versuchen, den Namen des Besuchers einer Webseite zu erraten. Bei mir jedenfalls hat es geklappt, davon konnte ich mich auf der Experimente-Seite des isecLABs überzeugen.
Was steht dahinter? Nutzer von sozialen Netzwerken wie XING, Facebook oder sonstigen können Gruppen beitreten, die ihren Interessen entsprechen. Vergleicht man jetzt die Gruppenzugehörigkeit verschiedener Nutzer miteinander, ergibt sich, dass es kaum zwei Nutzer gibt, die exakt dieselben Gruppen abonniert haben - die Gruppenzugehörigkeit in ihrer Gesamtheit ist also eine Art Fingerabdruck.
Besucht man die Gruppen mit dem Browser, wird diese Information in der Chronik des Browsers gespeichert. Eine entsprechend präparierte Webseite kann diese Chronik auslesen und mit einer Datenbank vergleichen, in der die Gruppenzugehörigkeit beispielsweise aller XING-Nutzer gespeichert sind. Et voilà - mit dieser Methode kann man zumindest raten, wie der Nutzer heißt.
Und wenn man das wiederum weiß, kennt man auch das Profil des XING-Nutzers, den jetzigen und die bisherigen Arbeitgeber, die Freunde, weitere Internetprofile und und und.
Wie man das nutzen kann?
Gezielter Spam kommt mir in den Sinn: Ich kenne die Freunde des Nutzers und kann mich als einer dieser Freunde ausgeben. Ich weiß, welche Webseite er angesteuert hat und kann darauf Bezug nehmen - im Anhang übersende ich dann einen hübschen als Bild oder pdf-Datei getarnten Trojaner. Dass der Adressat diesen Anhang öffnent wird, ist schon wesentlich wahrscheinlicher als bei anonymem Spam - schließlich kam er über einen bekannten Absender und nahm Bezug auf gemeinsame Interessen etc.
Oder ich fertige eine Zusammenstellung der peinlichsten Surfabenteuer und drohe dem Nutzer damit, diese an die Freunde zu schicken.
Oder ich möchte mehr wissen über die politischen Neigungen des Nutzers, welcher meiner Konkurrenten meine Webseite besucht, wer sich gerade für Stellenangebote interessiert - und und und...
Wer sich tiefer mit dem Thema beschäftigen möchte:
- hier ist der Artikel des isecLABs "A Practical Attack to De-Anonymize Social Network Users" (pdf-Datei)
- hier Beiträge zum Thema bei spiegel-online, slashdot.org und heise.de
Ob man das will, ist eine andere Frage. Wenn man auf die Bequemlichkeiten und Vorzüge der Browser und sozialen Netzwerke nicht verzichten möchte, hilft eben nur: Surfen Sie mit offenen Augen. Vertrauen Sie nicht darauf, dass eine E-Mail eines Freundes auch wirklich von diesem Freund stammt. Und noch einmal: Surfen Sie mit offenen Augen.
Ach ist das schön, wenn man nicht überall mit macht. Ich bin ein weißen Blatt für die. ;)
AntwortenLöschenHallo Herr Sebastian Dosch,
AntwortenLöschendanke für Ihre umfassende Darstellung des Themas. Wir haben im XING-Blog auch dazu geschrieben und, ähnlich wie Sie, zur Nutzung des privaten Modus geraten (http://blog.xing.com/). Zudem arbeiten unsere Entwickler mit höchster Priorität an einer Lösung, die sich weitestgehend an den isecLAB-Vorschlägen orientiert.
Freundliche Grüße
Christian Burtchen
Technischer Redakteur XING AG
Profile sind doch "digitales Gold" ! Ein Milliardengeschäft für die Marketing- und Werbebranche.
AntwortenLöschenIst ja auch "schöner", einfacher und vor allen Dingen schneller und billiger in der Datenbank rumzuklicken, als schwer bepackt durch Fußgängerzonen zu tingeln und Marktforschung zu betreiben...
In dem Zusammenhang sollte man auch 'mal die Gesetze sehen, die so in der pipeline stecken. Die Industrie kann personenbezogene Daten hervorragend für so 'was gebrauchen (Vgl. Instrumentalisierung von sog. "filesharern" um Gesetze durchzuboxen, die den direkten Auskunftanspruch forcieren) und die Regierungen können mit erstellten Profilen besser die grenzenlose EU kontrollieren...
Holzauge sei wachsam!
Gruß, Baxter
Der Kommentar wurde von einem Blog-Administrator entfernt.
AntwortenLöschenSehr geehrter Herr Nabenhauer, bitte keinen Spam in meinen Kommentaren. Danke. Sebastian Dosch
AntwortenLöschenWhy not? With these proxies you can surf the net and connect with your social network account.
AntwortenLöschen