29.06.2006 12:02
Phishing-Schutz: Postbank baut Website um
Die Postbank hat eine Funktion ihrer Homepage umgebaut, die Datenphishern hätte in die Hände spielen können. So war es lange Zeit möglich, Surfer mit einem präparierten Link der Form
http://www.postbank.de/std/funcs/external.html?d=verschleierte Adresse
über die Postbank-Homepage auf eine Phishing-Site zu führen. Die auf der Postbank-Site implementierte Redirect-Funktion überprüfte übergebene Parameter nicht, sondern leitete an jede übergebene Adresse weiter.
Mit einer geschickt verschleierten Weiterleitungsadresse hätte ein Adressat eine Phishing-Mail zumindest an den enthaltenen URLs nicht sofort erkannt. Die wenigsten Internet-Nutzer dürften anhand der URL durchschauen, dass sie unter der Adresse
http://www.postbank.de/std/funcs/external.html?d=http%3A%2F%2F193%2e99%2e144%2e80
nicht bei der Postbank landeten, sondern bei heise online.
Mittlerweile hat die Postbank die Weiterleitungs-Funktion auf der Homepage so umgebaut, dass sie mittels einer Whitelist prüft, ob der folgende Hyperlink erlaubt oder verboten ist. Sollte der Hyperlink nicht von der Postbank autorisiert sein, wird der Kunde auf eine Hinweisseite geleitet, die ihn über die Gefahren belehrt.
heise online sind keine Betrugsfälle bekannt, die die Lücke ausgenutzt haben. Dass die Postbank dieses potenzielle Problem dennoch beseitigt hat, ist jedenfall zu begrüßen. Es hätte aber schneller gehen können: Bereits im Januar hatte ein Leser das Problem bemerkt, worüber heise online die Bank umgehend informiert hatte.
(jo)
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
