Merkwürdig: Das Web hackt Facebook - Spezialausgabe zu Firesheep

Eric Butler heisst der jüngste Star im Web. Mit Firesheep hat der Softwareentwickler aus Seattle das Hacken von Accounts auf Facebook zum Volkssport gemacht: Nur einen Tag nach der Veröffentlichung seiner Firefox-Erweiterung, die das Sammeln von Cookie-Daten erlaubt, wurde diese bereits über 129'000 mal heruntergeladen.

Doch damit nicht genug: Nachdem mittlerweile nicht nur sämtliche grossen Techblogs, sondern auch renommierte Zeitungen wie der Spiegel, das Wall Street Journal und die Washington Post über das Hobby-Hacker-Tool berichtet haben, dürfte die Marke von 1 Million Downloads schon bald gesprengt werden.

Dabei ist HTTP Session Hijacking eigentlich ein alter Hut. Mit Butlers Tool aber wird es auch für Nicht-IT-Profis zum Kinderspiel: Man wählt sich in ein offenes WLAN ein, klickt auf "Start Capturing" und lehnt sich entspannt zurück. Sobald sich nun ein User auf dem gleichen Netzwerk auf Seiten wie Amazon, Facebook, Flickr, Google oder Twitter einloggt, ist sein Benutzerkonto geknackt. Der Account-Diebstahl ist somit salonfähig geworden.

[1] "Die wirkliche Story ist nicht der Erfolg von Firesheep, sondern die Tatsache, dass so etwas überhaupt möglich ist", schreibt Butler in seinem neusten Blogeintrag - und schlägt auch gleich Massnahmen vor, um sich vor seinem Tool zu schützen.

[2] Auch Last.fm-Hacker Jonty Wareing ist offenbar fasziniert von Firesheep. Mit Idiocy hat er ein ähnliches Tool zum Download bereitgestellt, das unvorsichtige Benutzer von Twitter gnadenlos entblösst. Besucht ein User in einem offenen WLAN den Microblogging-Dienst, übernimmt Idiocy automatisch den Account und publiziert folgenden Tweet: "I browsed twitter insecurely on a public network and all I got was this lousy tweet."

[3] Wer sich immer noch fragt, warum Gmail seit über acht Monaten per default auf HTTPS setzt, sollte mit dem Release von Firesheep eine Antwort bekommen haben. "HTTPS hilft, Daten vor Schnüffelei Dritter zu schützen, zum Beispiel bei der Verwendung von öffentlichen WLAN Hotspots", begründete Google den Wechsel damals. Wir verlinken nochmals den Blogeintrag vom Januar 2010.