Ursachen der Sicherheitslücke bei Facebook gefunden

In der letzten Septemberwoche 2018 warnte Facebook vor einer massiven Sicherheitslücke. Inzwischen gibt es dazu ein Update, aus welchem hervorgeht, dass die Ursachen der Sicherheitslücke gefunden und behoben wurden.

Von der Sicherheitslücke bei Facebook sollen nach Angaben der Betreiber mindestens 50 Millionen Konten betroffen sein. Die Inhaber der Accounts wurden bereits informiert. Nach den Angaben im Update könnten jedoch weitere 40 Millionen Accounts in Mitleidenschaft gezogen worden sein. Auch dort will Facebook die Zugriffsdaten zeitnah zurücksetzen und die Inhaber informieren.

Was ist bisher zur Sicherheitslücke bei Facebook bekannt?

Die Sicherheitslücke ist durch eine Kombination von drei verschiedenen Faktoren entstanden. Dreh- und Angelpunkt scheint die Funktion zur Ansicht des eigenen Profils aus der Perspektive anderer Facebook-Nutzer zu sein. Diese Funktion wurde von den Betreibern zur Wahrung des Datenschutzes und der Privatsphäre der Nutzer eingeführt. Sie sollte eigentlich eine reine Schnittstelle zum bloßen Anschauen sein, bot aber versehentlich eine Funktion zum Upload von Videos. Ob diese Sicherheitslücke ausgenutzt wurde, können die User prüfen, indem sie sich ihre Chronik genau anschauen.
Die Funktion zum Upload von Videos, die Facebook seit dem Sommer 2017 bietet, vergab aufgrund eines Programmierfehlers die Rechte für die Nutzung der Mobile App von Facebook. Doch dort fand sich ein noch gravierenderer Fehler. In der Funktion, welche die reine Ansicht aus der Sicht anderer Nutzer generieren sollte, wurde ein Zugriffs-Token vergeben, welches auch die Bearbeitung möglich machte. Das Hauptproblem war dabei der auslesbare Quellcode, der den Angreifern die Chance verschaffte, auch die Anmeldedaten auszulesen.

Welche Maßnahmen hat Facebook ergiffen?

Neben der bereits erwähnten Information der 50 Millionen betroffenen Nutzer und der Rücksetzung der Anmeldedaten wurden weitere Maßnahmen getroffen, mit denen eine Ausnutzung der Sicherheitslücke verhindert werden soll. Nach der kompromittierten Ansichtsfunktion suchen die Nutzer derzeit vergeblich, denn sie wurde vorübergehend deaktiviert. Das Problem beim Video-Uploader wurde durch eine Änderung des zugrundliegenden Programms behoben. Außerdem wurden die Strafverfolgungsbehörden offiziell eingeschaltet, denn derzeit ist nicht genau bekannt, ob, von wem und in welchem Ausmaß die Sicherheitslücke bereits ausgenutzt wurde.

Quelle: Newsroom Facebook

About Author