Sichere Internet-Anwendungen:
Forscher wollen Verfallsdatum für Web-Browser

von Bernd Reder (bernd.reder@networkcomputing.de)

Share
02.07.2008

Mehr als 45 Prozent aller Internet-User weltweit nutzen veraltete Versionen von Web-Browsern, die Sicherheitslücken aufweisen. Deshalb fordern Forscher der ETH Zürich, von IBM und Google, dass Browser ein Verfallsdatum erhalten, so wie Lebensmittel.

In der Studie Understanding the Web Browser Threat [1] setzen sich Forscher der Eidgenössischen Technischen Hochschule (ETH) Zürich [2] sowie von Google [3] und IBM [4] mit der Gefahr auseinander, die durch veraltete Versionen von Web-Browsern entsteht.

Nach ihren Erkenntnissen nutzten Anfang Juni 2008 nur 59,1 Prozent aller Internet-User die aktuellsten Ausgaben ihres Lieblings-Browsers. Als Musterschüler erwiesen sich dabei die Nutzer von »Firefox«: An die 92,2 Prozent verwendeten die damals aktuelle Ausgabe 2 der Software. Mittlerweile ist Version 3 verfügbar.


Ingesamt verwenden mehr als 640 Millionen der
1,4 Milliarden Internet-User veraltete Browser-Versionen.

Dagegen arbeiteten nur 52,2 Prozent der Anwender von Microsofts Internet-Explorer mit der neuesten Ausgabe (IE 7). Noch nachlässiger waren die Nutzer von Opera und Safari.

Bezogen auf die Zahl der weltweit vorhandenen 1,4 Milliarden Internet-Nutzer bedeutet dies, dass fast 640 Millionen von ihnen eine unsichere Software verwenden. Damit sind diese User ein potenzielles Ziel von Angriffen mithilfe infizierter Web-Seiten (Drive-by-Download-Attacken).

Löcher durch Plug-ins nicht erfasst

Doch auch diejenigen, die eine aktuelle Internet-Software verwenden, sollten sich nicht in Sicherheit wiegen, so Stefan Frei von der Communication Systems Group am Institut für technische Informatik und Kommunikationsnetze (TIK) der ETH Zürich. Dafür sorgten Schwachstellen in den unzähligen Browser-Plug-Ins, durch die auch aktuelle Browser-Versionen gehackt werden könnten.

Diese Plug-ins machten den nicht sichtbaren Teil des Eisbergs unter der Wasseroberfläche aus. »Mit unserer Methode konnten wir zwar erstmals die Spitze des ‚Insecurity Iceberg‘ quantifizieren, aber der zusätzliche Anteil, der durch unsichere Plug-Ins verursacht wird, lässt sich mit unserer passiven Testmethode nicht ermitteln«, bedauert Frei.

Die wichtigste Erkenntnis der Untersuchung ist, dass die bisherigen technischen Ansätze nicht genügen, um eine optimale Sicherheit der Browser zu gewährleisten. Um dieses Ziel zu erreichen gilt es, das Sicherheitsbewusstsein der Internetnutzer stärker zu entwickeln.

Software mit Verfallsdatum kennzeichnen

»Viele Benutzer sind heute einfach überfordert; sie wissen gar nicht, ob sie überhaupt die aktuellste Version ihres Browsers benutzen«, ist Frei überzeugt. Dem Nutzer müsse deshalb auf einfache Weise klar gemacht werden, dass die Verwendung von veralteter Software im Internet mit erheblichen Risiken verbunden sei.

Frei vergleicht Software mit einem Sandwich. »Bei einem Sandwich, dessen Haltbarkeitsdatum überschritten ist, kann das Brot durchaus noch genießbar sein. Aber um Schaden zu verursachen, reicht bereits eine verdorbene Zutat aus.«

Die Autoren der Studie schlagen deshalb eine Art Verfallsdatum für kritische Softwarekomponenten vor, speziell für Internet Anwendungen. Dieses Verfallsdatum müsste deutlich sichtbar im Browser erscheinen. An gleicher Stelle sollte auch der Hinweis auf verfügbare Updates zu finden sein.

Anwendungen sollen unsichere Browser erkennen

Dies wäre technisch leicht umzusetzen, betonen Dr. Martin May und Dr. Thomas Dübendorfer, Co-Autoren der Studie. Sie können sich durchaus vorstellen, dass insbesondere bei sicherheitsrelevanten Transaktionen von den Betreibern zusätzlich auf einen abgelaufenen Browser hingewiesen wird.


Die meisten Internet-Explorer-User verwenden eine
veraltete Ausgabe der Software.

»Eine Banking-Applikation könnte beispielsweise entscheiden, die Transaktion eines Bankgeschäfts durch zusätzliche Sicherheitselemente abzusichern, wenn der Browser abgelaufen ist«, so die Forscher. Nach ihrer Meinung der Forscher ermöglicht nur eine solche Transparenz, dass Nutzer und Betreiber von Webdiensten die Risiken erkennen und richtig beurteilen können.

Die Studie hat die ETH Zürich auf dieser Web-Seite [1] veröffentlicht. Der Beitrag ist in Englisch abgefasst.

[1] http://www.techzoom.net/publications/insecurity-iceberg/index.en
[2] http://www.ethz.ch/
[3] http://www.google.de/
[4] http://www.ibm.de/
[5] http://www.techzoom.net/publications/insecurity-iceberg/index.en

Verwandte Artikel