Deutsche Experten decken Lücken in Mozillas Log-in-System Persona auf

Daniel Fett, Ralf Küsters und Guido Schmitz von der Professur für Informationssicherheit und Kryptographie an der Universität Trier haben in dem von Mozilla entwickelten Log-in-System “Persona” gravierende Sicherheitslücken entdeckt. Hacker konnten sich mit beliebigen E-Mail-Adressen von Google- oder Yahoo-Benutzern bei einer Webseite anmelden und anschließend Daten fremder Benutzerkonten ausspähen und zu verändern. Mozilla wurde vorab über das Problem informiert und hat es inzwischen behoben.

Das von Mozilla ab 2011 zunächst als BrowserID entwickelte, später dann in Persona umbenannte und erst vor kurzem an die Community übergebene Single-Sign-On-Konzept Persona konkurriert mit OAuth und OpenID. Ziel ist es, Anwendern das Log-in bei mehreren Sites mit einer einheitlichen E-Mail-Adresse und dem zugehörigen Passwort zu ermöglichen.

Anders als bei dem von Facebook oder Google angebotenen Log-in verzichtet Mozilla aber auf das Tracking. Der Verlauf der besuchten Websites wird bei Persona ausschließlich auf dem verwendeten Computer gespeichert. Das Grundkonzept von “Persona” begrüßen die Trierer Forscher daher: “Es hebt sich, neben einigen technischen Vorteilen, durch seinen datenschutzfreundlichen Ansatz wohltuend von anderen Systemen ab”, sagt Professor Ralf Küsters.

Zugleich warnt er aber davor, Anwendungen blind zu vertrauen: “Sicherheitslücken verstecken sich meist in subtilen Details und sind oft nicht auf einen Blick auszumachen.” Die Informatiker um Ralf Küsters entwickeln deshalb seit Jahren Verfahren für die Sicherheitsanalyse von Internet-Anwendungen.

Im März hatte Mozilla Persona an die Community übergeben und externe Entwickler aufgefordert, Persona in ihre Sites zu integrieren. Ihnen steht im Log-in-Dialog des Anmeldedienstes die Möglichkeit offen, das Logo ihrer Site einzubinden und individuelle Nutzungsbedingungen zu verlinken.

Mozilla-Mitarbeiter Dan Callahan erklärte anlässlich der Übergabe, Mozilla werde, Persona auch weiterhin unterstützen. Das ist wichtig, da vorher darüber spekuliert worden war, dass Persona aufgrund der vergleichsweise geringen Resonanz möglicherweise aufgegeben wird. Das im April 2013 ausgegebene Ziel, bis Ende des Jahres die Hälfte der Internetnutzer für Persona zu begeistern, wurde jedenfalls gründlich verfehlt.

Mozilla selbst will sich künftig vorrangig um Firefox-Accounts für den Firefox-Browser und Firefox OS kümmern, die sich mit Mozilla Sync, dem Mozilla Marketplace und dem Dienst Find My Device nutzen lassen. “Wir glauben, dass diese Anforderungen dringender sind und von daher eine höhere Priorität haben als Persona”, so Callahan.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de