Facebook begünstigt Clickjacking-Angriffe

Der Forscher und Sicherheitsexperte Nitesh Dhanjani warnt nun davor, dass Hacker sich zunehmend Zugriff zu Facebook-Nutzeraccounts verschaffen könnten, während diese mit anderen Webseiten interagieren. Dhanjani sagt laut Cnet-Bericht auch, dass ein Formfehler auf Facebook Dritt-Anwendungen Zugriff auf Nutzer-Profildaten ermögliche, ohne dass die Zustimmung des Nutzers eingeholt werden müsse. Früher war es üblich, dass auf Facebook ein Pop-up-Fenster erschien, wenn eine Applikation hinzugefügt wurde, um diese zu autorisieren. Dadurch hatten User die Möglichkeit, sich die Integration von Apps nochmals genau zu überlegen.

Facebook hat im Zuge seiner Datenschutz-Umstellungen allerdings auch in diesem Bereich Änderungen vorgenommen. Somit können einige Anwendungen jetzt auch über ein neues impliziertes Autorisierungsfeature auf Nutzerdaten zugreifen, ohne dass eine Benachrichtigung angezeigt wird. "Das erlaubt Facebook mehr Dritt-Anwendungen einzuführen, was sich ebenfalls auf die Umsätze auswirken kann. Jegliche Warnung würde zumindest einige Nutzer vom Hinzufügen neuer Apps abhalten", meint Dhanjani.

"Die einzige Information, die von Apps automatisch eingeholt werden kann, ist jene, die öffentlich verfügbar ist und Information, die vom Nutzer für alle im Netz freigegeben wurde", rechtfertigt Facebook-Sprecher Simon Axten die neuen Richtlinien.

Doch auch andere Sicherheitsexperten neben Dhanjani sehen ein ähnliches Clickjacking-Problem auf der Seite. Nutzer könnten in die Falle bzw. auf Seiten gelockt werden, auf denen Malware versteckt ist, meint etwa der Forscher Shlomi Narkolayev. Ein Beispiel wäre eine Webseite, die aussieht wie ein E-Commerce-Portal, hinter der sich eine Facebook-Login-Seite versteckt. Wird dann irgendwo drauf geklickt, könnte sich so der Zugang zum Facebook-Account des Users öffnen, ohne dass dieser das überhaupt bemerkt.

Dass Apps ein großes Sicherheitsrisiko darstellen, davor warnte auch schon die Security-Firma Grey Hat. Laut einer Analyse vom Herbst 2009 sind auf Facebook zahlreiche Anwendungen in Umlauf, die gravierende Sicherheitslücken aufweisen. Demnach hätten geübte Hacker etwa die Möglichkeit, Trojaner über die Online-Anwendungen zu verbreiten. (pte/hal)