Skype: Sicherheitslücke offenbart IP-Adressen der Nutzer

Von Mirko Schubert

Über eine Sicherheitslücke lassen sich auch interne IP-Adressen von Skype-Nutzern ausspähen. Der russische Hacker Zhovner hat eine schon länger bekannte Sicherheitslücke in Skype dazu genutzt, um IP-Adressen anderer Nutzer auszulesen. Auf einer eigens dafür eingerichteten Webseite können Anwender die sensiblen Daten nach Eingabe eines Nutzernamens einsehen. Vor allem Nutzer einer NAT-Firewall sollen betroffen sein.

Der VoIP-Dienst Skype baut auf einem Peer-to-Peer-Netzwerk auf, damit die Internet-Telefongespräche vermittelt werden können. Dazu müssen dem Anbieter die IP-Adressen der Nutzer bekannt sein. Auf Basis des von Skype veröffentlichten Entwicklerwerkzeugs SkypeKit hat Zhovner eigene Python-Skripte entwickelt, die nicht nur die externen IP-Adressen der Skype-Nutzer auslesen können, sondern auch deren interne IP-Adresse.

IP-Adressen per Webseite abrufbar

Die meisten Nutzer verschleiern über ein so genanntes NAT (Network Address Translation) ihre interne IP-Adresse. Dabei wird zumeist in einem Router die interne Adresse in eine externe IP-Adresse umgewandelt. Wie es dem Hacker möglich ist, auch die interne IP-Adresse auszulesen, ist bislang unbekannt. Durch die IP-Adresse können Teilnehmer nicht nur zugeordnet werden. Es ist außerdem möglich, einen ungefähren Standort des Nutzers durch die IP-Adresse auszumachen.

Den Quellcode hat der Hacker bereits auf Github veröffentlicht. Auf einer Webseite können Interessierte die Skripte sogar selbst ausprobieren. Dazu muss der Nutzer lediglich einen Skype-Nutzernamen sowie den angezeigten Captcha-Code eingeben. Ist der abgefragte Anwender in Skype angemeldet, werden dann auf der Webseite seine entsprechenden IP-Adressen angezeigt. Auch nach dem Abmelden sind die Daten noch für einige Stunden sichtbar, wie einige Nutzer berichten.

Skype arbeitet offenbar an einer Lösung

Inzwischen ist das Skript auf der Webseite vorübergehend nicht erreichbar. Zhover hatte im Skype-Forum auf das Problem hingewiesen. Daraufhin sperrte das Unternehmen sein Benutzerkonto und löschte den Foren-Thread. Auf Nachfrage eines anderen Benutzers soll ein Mitarbeiter erklärt haben, dass der Thread nur noch zur Analyse des Problems für Administratoren zur Verfügung stehe.

Bereits im Oktober 2011 gelang es einer Gruppe von Forschern, die IP-Adressen verschiedene Nutzer auszuspionieren und deren Ortswechsel zu beobachten. Das dabei entwickelte Verfahren soll sich auch bei anderen Peer-to-Peer-Systemen anwenden lassen, beispielsweise um Filesharing-Netzwerke zu untersuchen. Mithilfe von 30 Computern konnten die Forscher so bis zu 10 000 Skype-Nutzer pro Stunde beobachten. Bislang galt Skype als sehr abhörsicher und hält sich weitestgehend an den Datenschutz.

Weitere Meldungen zum Thema Sicherheitslücke