Schlechte und gute Beispiele

Insgesamt hat sich der InfoGuard-Pentester für seine Studien 200 bis 300 Plattformen angeschaut und in der Folge ein Tool geschrieben, mit denen er gemäss eigenen Angaben gut 120 Plattformen nach Benutzernamen abgrasen kann. Dabei stiess er auf sehr «gesprächige» Login-Masken, die ihm verraten, ob ein Account unter der eingegebenen Mailadresse existiert.

Aber auch, wenn eine Seite dies nicht verrät, gibt es Wege, an die Info zu kommen. Bischof wies darauf hin, dass auch Registrationsformulare für neue Anwender verraten, dass eine bestimmte E-Post-Anschrift bereits von einem Nutzer verwendet wird. Um nicht bei jeder «falschen» Mailadresse ein Konto zu eröffnen, lässt sich das Online-Formular austricksen, indem etwa ein zu kurzer Vor- und Nachname eingegeben wird.

Auch das eine oder andere Captcha war für Bischof bei genauerer Analyse kein Hindernis, um Mail-Adressen zu überprüfen. So zeigte er, dass bei einer Seite das Captcha gar nicht geprüft wurde, sondern schon vorher bekannt gegeben wurde, dass der Benutzername falsch sei. Bei einem anderen Fall fand er heraus, dass die Captchas nur eine beschränkte Auswahl an leicht zu merkenden Wörtern abfragt.

Bischof traf bei seiner Recherche auch auf gute Beispiele, bei denen die Abfrageseiten einerseits nicht nur nicht verrieten, ob eine Mailadresse schon registriert sei, sondern andererseits einen Sicherheitscode an die eingegebene Anschrift schickten. «Hier wird somit das Opfer indirekt informiert, dass ein Angriffsversuch stattgefunden hat», merkte Bischof lobend an.

In seinem Vortrag sprach Bischof sodann eine weitere Missbrauchsmöglichkeit für User Enumeration an. Weiss man nämlich, welche Mail bei welcher Webseite als Benutzername registriert ist, lässt sich auch ein Profil des Users erstellen. «Findet man beispielsweise einen Nutzer auf einer Reihe von einschlägigen Seiten, kann man sich die Frage stellen, wie es um die Erpressbarkeit der betroffenen Person steht», gibt Bischof zu bedenken.

Ähnlich könne man unter Umständen weitere Aussagen über Anwender je nach deren Registrierung machen. So könnte mit User Enumeration die politische Ausrichtung festgestellt werden, wenn jemand hauptsächlich auf rechten oder linken Medienplattformen registriert ist. Oder auch über Hobbys und weitere Vorlieben könnte die Auswertung der Registrierung bei bestimmten Websites Aufschluss geben.

Diese Profile könnten dann von Angreifern auch im Sinne des Social Engineerings bei der Erstellung von Phishing-Mails verwendet werden, gibt Bischof weiter zu bedenken. Ja, treibe man das Profiling weiter, könne im Grunde abgeklärt werden, welche Personen sich eher als Phishing-Ziel eignen könnten.