Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Cookie-Sicherheitslücke in Safari wurde auch von Google genutzt

Wie das Wall Street Journal berichtet, existiert schon seit längerer Zeit in Safari eine Sicherheitslücke bei der Cookie-Sperre, über die auch Fremdseiten Cookies setzen können. Bekannt wurde die Lücke aber erst mit dem Einsatz bei Google, wo die Lücke zur Ermittlung angemeldeter Google-Nutzer verwendet wurde. Kurz nachdem Google allerdings vom Wall Street Journal darauf angesprochen wurde, stellte der Internet-Riese die Umgehung der Cookie-Sperre ein. Die Lücke beruht darauf, dass Cookies von Fremdseiten zwar in den Safari-Einstellungen grundsätzlich gesperrt sind, dies aber nicht bei der Verarbeitung von Formularen gilt. Diese Ausnahme nutzen Google und einige andere Internet-Dienste, um über versteckte Formulare dennoch Cookies zu setzen, mit denen Nutzer über Seiten hinweg verfolgt werden können. Auch in anderen Web-Browsern existieren offenbar Möglichkeiten, derartige Cookie-Einstellungen zu umgehen. Apple hat gegenüber dem Wall Street Journal erklärt, die Sicherheitslücke nun schließen zu wollen, sodass es keine Möglichkeit mehr gibt, die Datenschutzeinstellungen zu umgehen.

Weiterführende Links:

Kommentare

peterli
peterli17.02.12 11:30
...verfolgen und ausspionieren!! ... und damit das 'geistige Eigentum' anderer zu schützen (in dem Fall vielleicht sogar missbrauchen) aber uns will man dann bestrafen dafür
alles muss, nichts kann
0
thomas b.
thomas b.17.02.12 11:40
Oh bitte, die Lücke kennt doch praktisch jeder. Mein Cookie Ordner wird von jedem zugemüllt, der es will, obwohl ich die Einstellung "nur von besuchten Webseiten" gewählt habe. Einfach mal alle Cookies löschen und dann nur auf mactechnews.de gehen und man sieht gleich das beeindruckende Ergebnis.
0
Jordon
Jordon17.02.12 11:46
Naja nachdem selbst meine iPhone Kontakte frei zugänglich sind ist das ja gerade zu lächerlich und kann vorallem verhindert werden.
0
Teddie17.02.12 11:55
Finde es nicht gut, dass ein weltbekanntes Unternehmen diese Lücke(n) ausnutzt.

Von den kleinen Idioten, welche sich einen runterholen, weil sie es können - sich aber keiner dafür interessiert - ist das okay, aber Google - nein.

Was soll es - mit Bing komme ich auch ans Ziel. 😒
0
Dr. Seltsam
Dr. Seltsam17.02.12 12:00
Google is evil.
0
Apfelwickler
Apfelwickler17.02.12 12:22
Bing is god.
0
Dayzd17.02.12 12:24
nur "drauf ansprechen" - Ich finde es hätte jemand gegen Google Anzeige erstatten müssen.
0
DRAGONFLY17.02.12 12:51
Die Verteidigung von Google ist so verräterisch: Wir wollten schauen, ob unter den Safari-Nutzern registrierte Google-Nutzer sind, die sich aber nicht eingelocht haben. Dabei haben wir aber keine persönlichen Daten gesammelt, um sie zu identifizieren.

Die Respektlosigkeit mancher merkt man an den schlampigen Lügen, die sie einem auftischen.

Und dass sie keinen Anstand haben, zeigt sich, dass sie Unbeteiligte ausspionieren, um vermeintlich ihren schrulligen Usern was Gutes zu tun. Genauso wie Facebook, bei Google spürt man Zuckerbergs üblen Mundgeruch...
0
Odyssee17.02.12 12:51
Donnerwetter! Jetzt schon? In den Apple Discussions gab's mal einen Eintrag, daß Safari seit 10.6.x Cookies grundsätzlich akzeptiert, egal wie man die Sperre einstellt. Das kann ich bei meinem Safari nachvollziehen und bestätigen.
0
Igor Detlev17.02.12 13:00
In den Apple Discussions gab's mal einen Eintrag, daß Safari seit 10.6.x Cookies grundsätzlich akzeptiert, egal wie man die Sperre einstellt. Das kann ich bei meinem Safari nachvollziehen und bestätigen.

Nein, kannst du nicht, weil es schlicht und einfach nicht stimmt. Man muss die Lücke aktiv ausnützen.
0
Rosember17.02.12 13:02
@Odyssee: Ganz so einfach ist es dann doch nicht. Insbesondere bei Baukasten-Homepages merke ich immer wieder, dass diese nicht mehr funktionieren, wenn ich die Cookies auf solche tatsächlich besuchter Seiten einschränke.
Trotzdem ist das mal wieder eine Riesennachlässigkeit von Apple und eine Riesensauerei von Google und Co. *sick*
0
sierkb17.02.12 13:09
DRAGONFLY:

heise (17.02.2012): Bericht: Google trickst Apples Cookie-Sperre im Safari aus

Bzgl. Ausspionieren/User Tracking:
heise
Nachdem Google von den Recherchen der Zeitung erfahren hatte, wurde der Mechanismus entfernt. Google wies jedoch den Vorwurf zurück, damit User Tracking betrieben zu haben. Vielmehr habe man für angemeldete Google-Nutzer Funktionen bereitstellen wollen. Das passt zu den Verfallsdaten innerhalb von 24 Stunden, mit denen Google die Cookies versehen hatte. Tracking-Cookies gelten üblicherweise sehr viel länger.

Auch sonst zeichnet der heise-Artikel ein etwas differenzierteres und breiter gestreuteres Bild. Offenbar ist Google nicht das einzige Unternehmen gewesen, das hier zugegriffen hat; der Trick, wie man das macht, ist zudem öffentlich und für jedermann einsehbar u.a. hier abschaubar: .

Dass Google da unter den Zahlreichen ist, die diese von Apple (bewusst oder unbewusst offengelassene Hintertür) ausgenutzt haben, ist alles andere als zu begrüßen, alles andere als eine kleine Nichtigkeit (solchen Versuchungen darf Google nicht anheim fallen, so verlockend und frei zugänglich sie auch sein mögen!) und in der Tat sehr verurteilenswert, da beißt die Maus keinen Faden ab.

Allerdings gehören dazu zwei, und Apple sollte da auch nicht aus der Verantwortung genommen bzw. sollte gleichzeitig auch Apples Nachlässigkeit gerügt werden; diese Meldung ist jetzt schon die zweite gravierende innerhalb weniger Tage in puncto Nachlässigkeit in Sachen unzureichendem Datenschutz seitens Apple (ich ziele auf die Adressbuch-Panne bzw. das mögliche unerlaubte Abgreifen und Hochladens auf fremde Nicht-Apple-Server des kompletten persönlichen Adressbuchs via Apps).
Da hat Apple ja ebenfalls schon Besserung und einen Fix zugesagt.
0
Odyssee17.02.12 13:15
Sorry guys, ich kann das hier tatsächlich rekonstruieren. Selbst bei der Einstellung „Cookies blockieren: Immer“ (Cookiespeicher selbstverständlich vorher geleert) sammelt Safari die Kekse fröhlich weiter.
0
o.wunder
o.wunder17.02.12 13:33
Das Google solche Schweinereien mitmacht....
0
Aronnax17.02.12 15:29
Früher, konnte man ja noch Google verteidigen, weil alles eine hätte, wäre, wenn Diskussion war und Google auch noch, in erster Linie, anonymisierte Daten erhob - war zumindest alles durchaus noch glaubwürdig.

Jetzt allerdings, haben sie ihre jahrelange wiederholten Versprechungen schon längst gebrochen und setzen voll auf personalisierte Daten und Nutzerprofile. So eine Trickserei, ist dann zwar nur noch die Spitze des Eisberges, aber zeigt wohl wie kaum ein anderes Beispiel, dass ihren nicht zu trauen ist.
Mit Facebook das Gleiche. Apple ist auch vom sympathischen Underdog zum alles kontrollierenden, bevormundenden Unsympathen mutiert.
Irgendwie sind alle aktuell die Szene dominierenden IT-Firmen ekelig - einfach nur widerlich.

Man wünscht sich fast die guten alten Zeiten zurück, wo Microsoft noch das geschehen dominierte. Haben zwar auch irgendwie mit ihre Qualität die Kunden beschissen, aber so richtig ekelig wurden sie nur zu konkurrierenden Firmen und nicht zu ihren Kunden.
Ja ja, gute alte Zeiten waren das noch
0
smeiko
smeiko17.02.12 15:30
Apple hat angekündigt, die Lücke zu schließen, sieht sich aber ebenfalls Kritik ausgesetzt: Der renommierte Autor John Battelle wirft auf seinem Blog die Frage auf, ob der IT-Konzern wirklich aus Nutzerfreundlichkeit Cookies von Drittanbietern blockiert. "Vielleicht betrachtet Apple jeden iOS-Nutzer als als Apple-Kunden, selbst wenn er das Web nutzt?", fragt er. So könnte die Anti-Tracking-Funktion der Versuch sein, den Konkurrenten den Werbezugang zu seinen Kunden zu verwehren - was wiederum negative Konsequenzen für Googles Geschäftsmodell zur Folge hätte.

Sapere aude
0
Aronnax17.02.12 15:37
Apple hat angekündigt, die Lücke zu schließen, sieht sich aber ebenfalls Kritik ausgesetzt: Der renommierte Autor John Battelle wirft auf seinem Blog die Frage auf, ob der IT-Konzern wirklich aus Nutzerfreundlichkeit Cookies von Drittanbietern blockiert. "Vielleicht betrachtet Apple jeden iOS-Nutzer als als Apple-Kunden, selbst wenn er das Web nutzt?", fragt er. So könnte die Anti-Tracking-Funktion der Versuch sein, den Konkurrenten den Werbezugang zu seinen Kunden zu verwehren - was wiederum negative Konsequenzen für Googles Geschäftsmodell zur Folge hätte.

Das ist ja wohl von vorne bis hinten hundert Prozent reiner Schachsinn

Gib mal einen Link dazu bzw. ist ja kaum zu glauben, das ein renommierter Autor so ein These vertritt.
0
sierkb17.02.12 16:06
Aronnax:

John Battelle's Search Blog (17.02.2012): A Sad State of Internet Affairs: The Journal on Google, Apple, and “Privacy”

Wikipedia (en): John Battelle
0
Aronnax17.02.12 16:32
John Battelle's Search Blog (17.02.2012): A Sad State of Internet Affairs: The Journal on Google, Apple, and “Privacy”

Ja dann, er wirft ja durchaus berechtigte Fragen auf.
Etwas, was im Kontext der Mactecknews Meldung und der kurzen Zusammenfassung von smeiko so nicht ersichtlich war

P.S.
Danke für den Link.
0
filitheyo17.02.12 17:19
mmmhhhhh ... Cookie
0
Luzifer
Luzifer17.02.12 17:27
Wann kommt endlich Safari 6?

Wie lange soll man in Zeiten, wo andere alle paar Wochen Browserupdates herausbringen, bei Apple denn noch warten!?
Cogito ergo bumm!
0
sierkb17.02.12 17:30
Luzifer:

Erstmal noch sind derzeit Safari 5.1.4 (Lion, Snow Leopard, Windows) sowie Safari 5.2 (Lion) in der Pipeline und mit großen Schritten im Anmarsch und liegen für die Entwickler zum Testen bereit...
0
o.wunder
o.wunder17.02.12 19:59
Gegen Tracking einfach die Safari Erweiterung "Ghostery" (unter Sicherheit) installieren.
0
Tuco17.02.12 20:27
Seit längerer Zeit? Seit 4 Jahren!

http://stackoverflow.com/questions/408582/setting-cross-domain-cookies-in-safari

0
Tuco17.02.12 20:36
Ähh, Blödsinn! Seit 3 Jahren.
0
sierkb20.02.12 20:17
Leider eben drüber gestolpert -- bestätigend und ergänzend zu dem, was John Battelle bereits hier (siehe obige Verlinkung) sagte:

Kristian Köhntopp (20.02.2012): C is for Cookie, G is for Google

aus gegebenem Anlass als Fortsetzung von:

Kristian Köhntopp (05.02.2012): C is for Cookie

0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.