Hotmail an der Gefahr zu den Plätzchen-Dieben

MSN Hotmail Benutzer, schützen deine Plätzchen. Eine einfache Technik für das Zugänglich machen des Services E-mail Microsofts frei ohne ein Kennwort ist im wilden und anscheinend genutzt aus.

Der Trick bezieht mit ein, eine Kopie der Datenbanksuchroutine-Plätzchenakte des Opfers gefangenzunehmen. Sobald der Täter zwei SchlüsselHotmail Plätzchen gewinnt, gibt es keine Weise, ihn heraus zu verriegeln, weil bei Hotmail, Plätzchen-Trumpf Kennwörter glätten.

„Was über dieses furchtsam ist, daß einmal sie deine Plätzchen haben, sie haben dein Konto für immer ist. Selbst wenn du dein Kennwort änderst, können sie ruhig,“ sagte Eric Glover, einen neuen - Jersey - gegründeten Programmierer innen erhalten, der ein Doktorat in der Informatik von der Universität von Michigan hat.

Glover sagte, daß er das Hotmail Plätzchenproblem ausgrub, als der ehemalige Chef eines Freunds anfing, das Konto Hotmail des Freunds zugänglich zu machen -- und fortgefahren, das Konto sogar nach dem Kameraden änderte zu verwenden wiederholt ihr Kennwort.

Nachdem er Hotmails Bereitschaftsprozeß studiert hatte, stellte Glover fest, daß der snoopy Manager wahrscheinlich hatte eine Kopie der Hotmail Plätzchen vom Computer Arbeit des Freunds oder von einem Unterstützungsklebeband ergriffen und hatte sie benutzt, um ihr Netzpostkonto digital zu entriegeln.

Microsoft Beamte sagten Donnerstag, daß der Hotmail Service Benutzern einige Werkzeuge Begrenzung anbietet, was die Plätzchen-gegründeten Firmabezeichnungen „Angriffe“ replay, aber hinzufügte, daß Microsoft „immer Weisen betrachtet, Benutzer weiter zu schützen, sowie das Geben ihnen von von mehr Steuerung über ihrer on-line-Erfahrung.“

Sicherheit Experten sagten jedoch heute, daß die Hotmail Verwundbarkeit die Gefahren des Bauens auf Datenbanksuchroutineplätzchen als die digitalen Schlüssel Internet-Aufstellungsorten aussetzt.

Plätzchen, die kleinen Dateien gesetzt auf den Computer eines Internet-Benutzers, wenn das Besichtigen von von Web site, hauptsächlich verwendet werden, um Besucher mit dem Ziel das Besonders anfertigen des Inhalts wie Annoncieren zu kennzeichnen. Aber viele Aufstellungsorte, einschließlich Hotmail, beruhen auch auf Plätzchen zu den ernsteren Authentisierung Zwecken.

Für solche Aufstellungsorte ist das Plätzchen einer ATM Scheckkarte entsprechend, die nicht auch den Halter erfordert, ein Kennwort zur Verfügung zu stellen. Die „Karte“ verlieren und du kannst deine Sicherheit oben geben.

„Plätzchen waren nie entworfen, um eine Authentisierung Einheit zu sein. Aber niemand, das versucht, eine Netzanwendung zu entfalten heute, nicht hat wirklich viel Wahl,“ sagte Treber Slemko, ein Seattle-gegründeter Sicherheit Experte, der vorher Plätzchen-in Verbindung stehende Sicherheit Probleme am Paßservice Microsofts entdeckt hat.

Ohne körperlichen Zugang zu einem PC, wie groß stiehlt eine Hürde Hotmail Plätzchen? Unterstrich vor, „trivial,“, sagte Slemko, das Jahren wie Kreuzaufstellungsort scripting Fehler ausgenutzt werden können, um Angriffe wie Stehlen der Plätzchen durchzuführen.

Was mehr ist, bilden Sicherheit Wanzen im Internet Explorer das Berauben eines Remotebenutzers seiner Hotmail Plätzchen ein Schnäpper, entsprechend Thor Larholm, ein dänischer Programmierer und ein Sicherheit Fachmann, der eine Liste der IE Datenbanksuchroutinefehler kompiliert hat, von denen viele Großtaten Plätzchen-schnappen dürfen.

„Ich würde, daß die Alltagswahrscheinlichkeiten eines böswilligen Programmierers an die Plätzchen des Ziels erfolgreich stehlen zwischen sehr einfachem und einfach liegen,“ sagte Larholm sagen und merken würde, daß Datenbanksuchroutineplätzchen und in einer örtlich festgelegten Position gespeichertes unencrypted sind.

Entsprechend Slemko die meisten Aufstellungsorte, die auf Plätzchen beruhen, um Benutzer zu beglaubigen -- einschließlich on-line-Bänke, Maklertätigkeiten und Ehandel Aufstellungsorte -- das Zeichen gewöhnlich entwerfen, um abzulaufen, nachdem Benutzer angemeldet und für einige Minuten unaktiviert gewesen sind.

Aber in einer offensichtlichen Bemühung, Bequemlichkeit für seine Benutzer aufzuladen, erlaubt Hotmail Benutzern, ihre Authentisierung Plätzchen praktisch dauerhaft zu bilden.

Geschichte fuhr auf Seite 2 „fort