Der Umgang mit Datenlecks ist wie ein Cybersicherheits-Spiel. Manche Datenlecks sind gro\u00df, erfordern viel Planung, das Erlernen aller Details eines Systems und das Verfassen \u00fcberzeugender Phishing-Nachrichten. Diese k\u00f6nnen zu schwerwiegenden Datenlecks f\u00fchren \u2013 etwa Quellcode, vertrauliche Unternehmensdateien oder Benutzerinformationen wie Passw\u00f6rter und Sozialversicherungsnummern. Doch nicht jedes Datenleck ist so kompliziert oder sch\u00e4dlich. Manchmal geht es nur um winzige Sicherheitsl\u00fccken, wie z. B.Account Harvesting oder Account Enumeration. Das klingt zwar kompliziert, ist aber im Grunde die Methode des Hackers, heimlich herauszufinden, welche Benutzernamen oder E-Mails tats\u00e4chlich zu echten Konten geh\u00f6ren, ohne dass Alarm geschlagen wird.<\/p>\n
Wenn Sie schon einmal versucht haben, sich bei einer Website anzumelden und dabei eine andere Meldung angezeigt bekommen, wenn Ihr Passwort falsch ist, als wenn Ihre E-Mail-Adresse oder Ihr Benutzername nicht existiert, ist das ein klassisches Zeichen f\u00fcr Kontoaufz\u00e4hlung. Wenn die Website \u201eFalsches Passwort\u201c anzeigt, obwohl der Benutzername richtig ist, aber \u201eKonto existiert nicht\u201c, erhalten Hacker eine klare \u00dcbersicht \u00fcber g\u00fcltige Konten. Warum ist das so schlimm? Weil sie so ohne gro\u00dfen Aufwand an echte Benutzerdaten gelangen. Bei manchen Systemen ist dies ganz offensichtlich \u2013 nur eine andere Fehlermeldung, und sie k\u00f6nnen eine ziemlich genaue Liste aktiver Benutzer erstellen.<\/p>\n
Die Behebung dieses Problems ist jedoch kein Hexenwerk. Sie m\u00fcssen lediglich einen allgemeinen Fehler wie \u201eDer eingegebene Benutzername oder das eingegebene Passwort ist falsch\u201c anzeigen, unabh\u00e4ngig davon, ob das Konto existiert oder nicht. Klingt einfach, ist aber ein einfacher Schritt, um solche Informationslecks weniger offensichtlich zu machen.<\/p>\n
Okay, das ist aber nur die laute Version. M\u00f6chte ein Angreifer unauff\u00e4llig bleiben, kann er auch subtiler vorgehen. Anstatt sich ausschlie\u00dflich auf Fehlermeldungen zu verlassen, kann er die Website durchsuchen, Benutzerprofile einsehen oder sogar \u00f6ffentlich zug\u00e4ngliche Informationen von LinkedIn, Facebook oder Twitter nutzen. Im Grunde genommen kann er durch das Sammeln von Benutzernamen oder E-Mail-Mustern eine Liste potenzieller Zielkonten erstellen, ohne die Anmeldeformulare direkt anzugreifen. Da dies keine Fehlermeldungen ausl\u00f6st, ist es in Protokollen deutlich schwieriger zu erkennen.<\/p>\n
Hacker nutzen au\u00dferdem manchmal die Namenskonventionen f\u00fcr E-Mail-Adressen von Unternehmen, beispielsweise vorname.nachname@firma.com<\/strong>. Durch das Erraten der E-Mail-Formate k\u00f6nnen sie unz\u00e4hlige plausible Konten sammeln, ohne die Angriffsfl\u00e4che direkt zu ber\u00fchren. Das ist zwar etwas merkw\u00fcrdig, macht den Angriff aber leiser \u2013 viel subtiler als Brute-Force-Anmeldeversuche oder massive Anmeldefluten.<\/p>\n Manchmal sind es winzige Details, die verraten, ob Account-Ermittlung stattfindet. Webserver liefern Statuscodes wie Und wenn das Hashing von Passw\u00f6rtern nicht richtig durchgef\u00fchrt wird, ist das eine weitere M\u00f6glichkeit f\u00fcr Angreifer, anhand der Reaktionszeit herauszufinden, ob das Konto existiert. Wenn Ihr Server 100 ms braucht, um ein Passwort f\u00fcr ein g\u00fcltiges Konto zu hashen, aber sofort antwortet, wenn das Konto nicht existiert, k\u00f6nnen Angreifer die ben\u00f6tigte Zeit messen und daraus schlie\u00dfen, ob das Konto echt oder gef\u00e4lscht ist. Ich bin mir nicht sicher, warum das funktioniert, aber bei manchen Setups macht es einen sp\u00fcrbaren Unterschied. Timing-Angriffe gibt es also.<\/p>\n Was ist die wichtigste Erkenntnis? Sicherheit umfasst viele kleine Details. Es kann einen gro\u00dfen Unterschied machen, sicherzustellen, dass Fehlermeldungen immer generisch sind, HTTP-Statuscodes korrekt verarbeitet werden und keine zeitlichen Unterschiede in den Antworten offengelegt werden. Denn nat\u00fcrlich lieben Hacker diese kleinen Schwachstellen \u2013 sie sind leicht auszunutzen und k\u00f6nnen zu gr\u00f6\u00dferen Sicherheitsl\u00fccken oder einfach nur zu einer netten kleinen Informationsbeschaffungstour f\u00fchren.<\/p>\n In einem Setup funktionierte es, in einem anderen nicht so gut. Wenn Sie jedoch mit sensiblen Daten arbeiten, lohnt es sich, Ihre Anmelde- und Passwort-Reset-Abl\u00e4ufe auf diese subtilen Lecks zu \u00fcberpr\u00fcfen. Manchmal kann es sp\u00e4ter viel \u00c4rger ersparen, wenn Sie einfach nur konsistente Antworten verwenden.<\/p>\n Das Durchsickern von Informationen \u00fcber die Existenz eines Kontos mag harmlos erscheinen, kann aber tats\u00e4chlich ziemlich sensible Informationen preisgeben. Stellen Sie sich vor, jemand findet heraus, dass Ihre E-Mail-Adresse auf einer Website zu Gesundheitsthemen oder politischen Ansichten registriert ist \u2013 das ist ziemlich unangenehm, oder? Au\u00dferdem werden diese wiederverwendeten Benutzernamen und Passw\u00f6rter mit echten Personen verkn\u00fcpft, was zuk\u00fcnftige Datendiebst\u00e4hle erleichtert. Wenn jemand Ihre E-Mail-Adresse und Ihr Passwort durch einen Datendiebstahl an anderer Stelle in die H\u00e4nde bekommt, k\u00f6nnte er diese Kombination auf anderen Websites ausprobieren \u2013 also Passw\u00f6rter wiederverwenden? Nicht so toll.<\/p>\n All diese kleinen Lecks und Timing-Tricks scheinen f\u00fcr sich genommen vielleicht keine gro\u00dfe Sache zu sein, aber Hacker sind clever. Sie k\u00f6nnen gen\u00fcgend Informationen zusammentragen, um Passw\u00f6rter zu erraten, pers\u00f6nliche Daten zu identifizieren oder gr\u00f6\u00dfere Angriffe zu planen.<\/p>\n Die Kontoaufz\u00e4hlung ist eine heimt\u00fcckische kleine Schwachstelle, die Kriminellen dabei helfen kann, herauszufinden, ob Sie irgendwo ein Konto haben. Es ist zwar nicht dasselbe wie das Hacken des Kontos selbst, aber es ist ein Sprungbrett, das sp\u00e4ter ausgenutzt werden kann. Die gute Nachricht? Das Problem l\u00e4sst sich in der Regel recht einfach beheben \u2013 indem man Fehlermeldungen konsistent macht, auf Informationslecks in Antworten achtet und Zeitunterschiede minimiert. Denn je weniger sie wissen, desto besser.<\/p>\n Hoffentlich erspart dies jemandem Kopfschmerzen \u2013 diese kleinen Details sind wichtiger, als Sie denken.<\/p>\n","protected":false},"excerpt":{"rendered":" Der Umgang mit Datenlecks ist wie ein Cybersicherheits-Spiel. Manche Datenlecks sind gro\u00df, erfordern viel Planung, das Erlernen aller Details eines Systems und das Verfassen \u00fcberzeugender<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1559","post","type-post","status-publish","format-standard","hentry","category-hilfe"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts\/1559","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/comments?post=1559"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts\/1559\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/media?parent=1559"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/categories?post=1559"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/tags?post=1559"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Details, die das Spiel verraten<\/strong><\/span><\/h2>\n
200 OK<\/code>oder 501 Internal Server Error<\/code>\u2013 die bei unsachgem\u00e4\u00dfer Handhabung Informationen preisgeben k\u00f6nnen. Wenn beispielsweise auf Ihrer Seite zum Zur\u00fccksetzen des Passworts \u201eE-Mail zum Zur\u00fccksetzen des Passworts gesendet\u201c angezeigt wird, obwohl die E-Mail nicht in der Datenbank vorhanden ist, der Server aber dennoch mit dem Fehlercode 501 antwortet, kann ein Angreifer anhand des Netzwerkverkehrs feststellen, ob das Konto existiert oder nicht. Denn nat\u00fcrlich m\u00fcssen Windows- und Webhosting-Systeme bei ihren Antworten *nervig* pr\u00e4zise sein.<\/p>\nAlle Puzzleteile zusammenf\u00fcgen<\/strong><\/span><\/h2>\n
Warum dieses Zeug wichtig ist<\/strong><\/span><\/h2>\n
Zusammenfassung<\/strong><\/h2>\n