Web-Browser täuschen sichere Verbindungen vor

Wer eine verschlüsselte Internetverbindung startet, wähnt sich gemeinhin auf der sicheren Seite. Dabei sei vielen Usern nicht bewusst, dass sich die Darstellung geschützter Webseiten täuschend echt nachbauen lässt, warnt das IT-Magazin iX in seiner aktuellen Ausgabe. Solange Browserhersteller diese Schwachstelle nicht kompensieren, müssten Anwender vorsichtig sein. Bei Phishing-Attacken etwa bilden Online-Betrüger die Inhalte von Webseiten nach, die der Aufnahme von persönlichen Daten dienen. Darüber hinaus imitieren sie alle Bereiche des Webbrowsers, die den Benutzer über den tatsächlichen Status der Verbindung informieren.

Solche browserspezifischen Sicherheitsindikatoren ermöglichen es dem Anwender normalerweise, eine gesicherte Verbindung von einer ungesicherten zu unterscheiden. Wenn aber alle vom Browser angezeigten Informationen auf die vermeintliche (mit dem Netzwerkprotokoll Secure Sockets Layer SSL) geschützte Webseite hindeuten und verschleiern, dass sie von einem anderen Webserver stammen, könne das vor allem für technisch unerfahrene User dramatische Folgen haben, schreibt die Zeitschrift.

Persönliches Logo für mehr Sicherheit

Mit neuen visuellen Methoden zur Zertifikationsüberprüfung wollen Hersteller und Forschungseinrichtungen jetzt gegen die Softwarefallen vorgehen, wie das Magazin weiter berichtet. Forscher des Department of Computer Science der Bar-Ilan-Universität in Israel hätten einen Programmzusatz (Plugin) für den Mozilla-Browser entwickelt, der die Präsenz einer SSL-Verbindung visuell unterstreiche. Bekomme ein Benutzer das erste Mal eine SSL-geschützte Webseite zu Gesicht, werde er aufgefordert, ihr ein persönliches Logo zuzuordnen, das er beim nächsten Besuch in einem bestimmten Bereich des Browsers wiederfindet. Fehle das Logo, befinde er sich nicht auf der ursprünglich angewählten Seite.

Auch mit personalisierten Zusatzinformationen im Browserfenster könnten Anwender das Zustandekommen erwünschter Verbindungen leicht erkennbar dokumentieren, schlagen Forscher des Horst-Götz-Institutes der Ruhr-Universität Bochum dem Bericht nach vor. Fehlten diese persönlichen Elemente im Browser, lasse sich ein Visual-Spoofing-Angriff identifizieren. Beide Vorschläge basierten auf der Idee, dass ein Angreifer technisch nicht in der Lage ist, die Personalisierung auszulesen. Bis sich diese Sicherheitsvorkehrungen durchgesetzt haben, bleibe Anwendern allerdings nur das gesunde Misstrauen bei ihren Ausflügen ins Internet.

ddp / Thorsten Neuhetzki