Das System zur Autovervollständigung von Feldern und Formularen in Browsern hat sich als äußerst praktisch erwiesen, insbesondere für Nutzer, die es leid sind, immer wieder dasselbe einzugeben. Doch die Autovervollständigung kann zu einem Sicherheitsrisiko werden, wenn sie nicht korrekt implementiert ist. Der Entwickler Viljami Kuosmanen entdeckte, dass Autovervollständigungsprofile in Opera, Chrome und Safari ihren vollständigen Inhalt jedes Mal offenlegen, wenn sie aktiviert werden – und ein Angreifer muss lediglich versteckte Felder in einer Webseite anlegen, um die restlichen Daten zu extrahieren.
Formulare auszufüllen ist... mühsam, ja. Das lässt sich nicht leugnen. Manche Nutzer müssen das täglich tun, und die Frustration wächst. Doch die Funktionen zur Autovervollständigung und Textvorhersage kommen zur Rettung. Name, Nachname, Geburtsdatum, physische Adresse, E-Mail-Adresse, Telefonnummer – mit ein paar Klicks oder einem Tastaturkürzel werden all diese Felder automatisch ausgefüllt. Zweifellos wird die Autovervollständigung nicht verschwinden ... aber wie sicher ist ihre Implementierung? Immerhin befinden sich in ihren Profilen persönliche Daten. Dem finnischen Entwickler Viljami Kuosmanen zufolge lässt die Autovervollständigung viel zu wünschen übrig, und er erstellte eine einfache Seite, um das zu demonstrieren.
So funktioniert der Angriff
Die Seite hat nur zwei Felder, Name und E-Mail-Adresse. Die Idee ist, dass Nutzer der Autovervollständigungssysteme in Opera, Safari und Chrome ihre automatischen Profile verwenden, um die Daten auszufüllen, und auf „Submit“ klicken. Doch was anschließend angezeigt wird, sind Daten, für die es ursprünglich gar keine Felder gab. Was ist passiert? Im Wesentlichen enthält die Seite versteckte Felder, die die Autovervollständigungsprofile trotzdem ausfüllen, ohne dass der Nutzer es merkt. Diese „Täuschung“ funktioniert auch mit einigen Erweiterungen, die Autovervollständigung unterstützen (wie zum Beispiel LastPass).
Empfehlung
Die Empfehlung lautet, das Autovervollständigungssystem zu meiden, bis die Entwickler der betroffenen Browser eine Lösung eingeführt haben, um zu verhindern, dass die Profile versteckte Felder ausfüllen, oder es zumindest nur auf vertrauenswürdigen Portalen zu verwenden. Der einzige Browser, der sozusagen „immun“ ist, ist Firefox, da er nur die Autovervollständigung Feld für Feld unterstützt (obwohl das Unternehmen eine ausgefeiltere Autovervollständigung für zukünftige Versionen bestätigt hat).
