LinkedIn: Security-Experte warnt vor Schwachstelle

Ein indischer Sicherheitsexperte macht kurz nach dem Börsengang von LinkedIn auf eine angeblich vorhandene Schwachstelle aufmerksam. Ein Angreifer könnte sich dauerhaft einen Zugriff auf fremde Profile verschaffen, heißt es. Zu diesem Zweck sei unter Umständen keine Passwort notwendig, so der Sicherheitsexperte Rishi Narang. Während die Betreiber von LinkedIn zwar grundsätzlich eine verschlüsselte Übertragung der eingegebenen Passwörter ermöglichen, soll anschließend eine Weiterleitung auf eine unverschlüsselte Webseite stattfinden.

Infolgedessen werden unter anderem Sitzungscookies in unverschlüsselter Form übertragen. Auf die Problematik wurde der indische Sicherheitsexperte bei der genauen Betrachtung eines Cookies mit dem Titel "LEO_AUTH_TOKEN" aufmerksam.

Ein Angreifer könnte beispielsweise ein WLAN-Netzwerk abhören und die Datei auf diesem Weg abfangen, so der Experte auf seinem Blog. Der besagte Cookie verfügt zudem über eine Gültigkeit von einem Jahr. Selbst wenn das jeweilige Nutzerpasswort innerhalb von diesem Zeitraum geändert wird, könnte ein Angreifer nach wie vor auf das zugehörige Konto zugreifen.

Seinen weiteren Schilderungen zufolge werden Zugangsdaten in diesem Cookie nur dann nutzlos, wenn der Account tatsächlich geschlossen wird.

Die Betreiber von LinkedIn haben bereits auf diese Problematik reagiert und sind angeblich mit einer Lösung des Problems beschäftigt. In Zukunft sollen die Nutzer des Dienstes festlegen können, dass die Cookies über eine SSL-Verbindung übertragen werden. Wann mit der Einführung dieser neuen Handhabung zu rechnen ist, teilte man jedoch noch nicht näher mit.