Über 40 Internetseiten haben illegal Daten ihrer User gesammelt.
Eigentlich ist es kein großes Geheimnis, dass der Verlauf besuchter Seiten im Internet-Browser ausgelesen werden kann. In den letzten Jahren haben die Programmierer zahlreicher Websites diese (illegale) Möglichkeit jedoch deutlich verbessert. Dabei nutzten die Entwickler JavaScript-Lücken der Browser-Anbieter (siehe unten) gezielt aus.
Wie ein Team von Computerwissenschaftern der University of California jetzt herausfand, haben dutzende Websites von dieser Praxis gebrauch gemacht. Dabei erfassten sie heimlich von ihren Besuchern die Daten über die zuvor aufgerufenen Orte. Laut einem Forbes-Bericht war auch die Pornoseite "YouPorn" ganz vorne mit dabei. Die Informationen sind für verschiedenste Dienste interessant, so auch Online-Shops, die ihre Preise anpassen können, wenn sie wissen, dass der Besucher von einem Shop kommt, der ein Produkt zu einem niedrigeren Preis anbietet.
"Big Brother"
Passwörter werden bei der "History sniffing" genannten Technik zwar nicht abgefangen, sie eignet sich aber gut, um Nutzerprofile zu erstellen, wie die Experten der Universität von Kalifornien in San Diego erklärten. Notwendig seien nur wenige Zeilen Programmcode. Bekannt ist das Problem schon seit einem Jahrzehnt. Betroffen von der Sicherheitslücke sind die aktuellen Versionen der Browser Firefox und Internet Explorer, aber auch ältere Versionen von Chrome und Safari.
Mindestens 46 Seiten
Die Forscher fanden neben YouIntePorn 45 weitere bekannte Websites, die diese Technik definitiv nutzten. In einigen Fälle war eine Internet-Werbefirma verantwortlich, Interclick, die den Einsatz dieser Technik aber inzwischen nach eigenen Angaben wieder eingestellt hat. Sie versicherte, Daten seien nicht gespeichert worden. Es sei ein achtmonatiges Experiment gewesen, das erfolglos abgebrochen worden sei.
Insgesamt untersuchten die Forscher 50.000 Websites weltweit. Viele hätten sich verdächtig verhalten, hieß es. Ein "History sniffing" sei aber nicht zu beweisen gewesen. Bei fast 500 Sites sei es aber zu vermuten.
Chrome und Safari sind sicher
Die Browser-Hersteller hätten die Sicherheitslücke längst schließen sollen, erklärte Jeremiah Grossman von der Firma WhiteHat Security, die an der Studie beteiligt war. Die neuesten Version von Googles Chrome
(8) und Apples Safari
(5) schützen automatisch davor. Beim Firefox
wird es in der nächsten Version 4
Standard sein, für ältere Versionen gibt es auch Zwischenlösungen. Microsoft erklärte, im Internet Explorer
könne ein Private-browsing-Modus eingeschaltet werden. Ein Nachteil dabei ist, dass dann auch einige nützliche Funktion wie die farbliche Markierung von schon besuchten Websites deaktiviert werden.
