27
Jan
2009

Stoppt OAuth die Twitter Hacks?

(Jetzt bewerten!)

Loading ...

Das junge Jahr hat bisher zwei wesentliche Dinge gezeigt:

1. Twitter ist in aller Munde. Sogar deutsche Politiker verhalten sich präsidentenhaft und zwitschern. Ein weiterer Indikator ist die stetig steigende Zahl der auf Twitter basierenden Mash-Ups, die beispeilsweise bereits mit ein paar Zeilen Code ein Ad Hoc Social Network erzeugen können.

2. Das Sicherheitssystem passt sich der Einfachtheit des Diensts leider an, sodass erste Meldungen zu gecrackten Accounts erschienen.

Während man das System dank $$$ und IT sicherlich gut im Hinblick der Nutzerzahlen skalieren kann, könnte man sich so langsam Gedanken über die Sicherheit machen. Abgesehen von XSS und Phishing bietet allein das Kennwort genügend Angriffspunkte.

Bisher dient ein Passwort zur Account-Administration, erlaubt Zugriff auf die Twitter-API und muss in viele Twitter-Mashups oder -Anwendungen eingegeben werden (“Password Anti-Pattern”). Um an fremde Twitter-Zugänge zu gelangen genügt es daher aus, eine einfache “Twitter-Anwendung” zu implementieren. Dabei kann es sich auch um eine reine Phishing-Seite handeln (ohne Funktion). Außerdem funktioniert die gute alte Wörterbuchattacke und dürfte an einem Tag mehrere hundert Accounts aufdecken. Im günstigsten Fall wird einharmloser FollowerVirus eingeschleust.

Der alleinige Einsatz von Captchas ist unmöglich, da die API blockiert würde. Denkbar sind meines Erachtens protokollierende Mechanismen (wie z.B. IP-Logging), aber vor allem ein neues Sicherheitssystem. Zur Nutzung der API bieten sich beispielsweise API-Schlüssel an. Scheinbar arbeite man aber bereits an einer OAuth-Lösung, die man wie folgt umschreiben kann:

“Many luxury cars today come with a valet key. It is a special key you give the parking attendant and unlike your regular key, will not allow the car to drive more than a mile or two. Some valet keys will not open the trunk, while others will block access to your onboard cell phone address book. Regardless of what restrictions the valet key imposes, the idea is very clever. You give someone limited access to your car with a special key, while using your regular key to unlock everything.” (http://oauth.net/about/

Update: Twitter macht Ernst und hat die OAuth-Lösung bereits ins Betastadium geschickt.

Gefällt Dir?

Eine Antwort

Twitter Trains: Von Follower-Käufen und Phishing-Problemen auf datenschmutz.net
21. Juli 2009 um 13:38
[...] – die basieren einerseits auf Trust und andererseits auf der geringen Verbreitung der OAuth-Schnittstelle Twitters. Ed Wohlfahrt hat gestern ein sehr lesenswertes Posting zu diesem Thema [...]

Stoppt OAuth die Twitter Hacks?

Gefällt Dir?

Eine Antwort

Jetzt kommentieren

Ähnliche Erfahrungen

Artikel

Häufig gelesen

Empfehlungen