Euroweb - Großmäuler können triviales Sicherheitsproblem nicht beseitigen

Das schon am Freitag abend beschriebene Euroweb-Sicherheitsproblem ist eigentlich kaum zu übersehen und auch einfach zu beseitigen. Allerdings nur wenn man sich hierbei mit dem von der Euroweb verwendeten Content-Management-System und natürlich dem Internet an sich auskennt. Vor allem aber muss man dazu wissen, was man tut.

Auf der Webseite Euroweb.de hält die Euroweb Internet GmbH für ihre Kunden ein, eigentlich zwei, Formular(e) bereit. Ich habe mir beide angesehen, beide sind - unter Sicherheitsaspekten gesehen - mit dem Wort "unbenutzbar" richtig bezeichnet.

Figur 1: Formulare mit Javascript

Figur 2: Formulare ohne Javascript

Wozu auch immer diese Unterschiede gut sein sollen - ich vermute ja sogar, der "Oberspezialist von einem Eurobweb-WebDesigner" weiß von diesem zweiten Formular gar nichts... Fakt ist: Beide Varianten führen, wenn man diese benutzt, dazu, dass Anmeldedaten der Kunden Dritten bekannt werden können.

Im folgenden konzentriere ich mich zunächst auf das Mailformular:

Figur 3: Fassung ohne Javascript, aktueller Zustand

Figur 4: Fassung ohne Javascript, Zustand am Freitag vor der Änderung

Hübsch! Nach der Änderung vom Samstag steht hier nicht mehr "http://webmail.euroweb.de/imp/redirect.php" als Empfänger der Daten, sondern eine Raute("#"). Damit gehen die eingegebenen Daten nunmehr nicht im Klartext an "webmail.euroweb.de", sondern an www.euroweb.de - also (diesen "großartigen" Erfolg muss man der Euroweb lassen)  nicht mehr ins Hackerland Bulgarien, sondern in ein Nürnberger Rechenzentrum - das aber nicht der Euroweb gehört.

Aber, wann immer das Opfer dieser unsicheren Praxis (also Euroweb-"Referenzkunden") dieses Formular benutzen, dann gehen die Daten unverschlüsselt durchs Netz und sind von böswilligen Personen (Hacker, Zoll, Polizei, Kinder, Ehegatten - oder Gattinnen, Mitarbeiter, WG-Mitbewohner, Hotelbewohner, Wirt, Betreiber von Lans oder Wlans und deren Mitarbeiter ...) zu lesen, sobald diese die dafür nötige Ausstattung haben und benutzen. Ein Laptop, vielleicht(!) noch ein billiger Switch und Wireshark (kostenlos) genügt.

Für diese "Änderung", die immerhin keine weitere Verschlimmerung darstellt, gibt schon mal ein berechtigtes:

"Dümmer geht es kaum!"

Denn genau dafür gibt es eigentlich das https-Protokoll - und das müsste nur in der URL hinterlegt werden... Das wäre auch kein Problem. Man muss nur wissen, was man zu tun hat. Der Witz ist, der Server "webmail.euroweb.de" beherrscht diese Verschlüsselung, Schlüssel sind hinterlegt und das scheint alles sauber zu funktionieren. Man müsste es also nur wissen und das Wissen dann auch anwenden.

Und das könnte auch die Euroweb, wenn, ja wenn sich diese tolle Firma statt um das Kaufen und anschliesende Bejubeln von Designpreisen und um das Zusammenklicken von Animationen auch mal  um die Sicherheit kümmern würde:

Figur 5: Das ist die aktuelle Fassung des Formulars, das sichtbar wird, wenn Javascript aktiviert ist.

Dieses Formular hat zunächst keine Zieladresse (action="") , also gängen die Daten unverschlüsselt an den Server, auf dem schon das aufgerufene Formular lag. Doch mit dem aktiviertem Javascript wird noch schlimmer:

Figur 6: Mit diesem Skript bekommt das Formular aus Figur 5 eine Zieladresse

Hier wird mit Ajax und anderen Kanonen herumgefuchtelt. Die Daten (hier die Mailadresse) werden durch die Gegend geschickt und zwar zu einem Server, der daraus den vermuteten(!) Name des Webmailservers bastelt. Das dieser längst nicht in allen Fällen stimmt zeigt auch die Figur 7.

Dieser vermutete Name wird dann als Bestandteil der Zieladresse für die Daten in das Formular eingetragen. Als Protokoll steht da "http://" - also schon wieder das falsche, unverschlüsselte. In den meisten Fällen (tatsächliche Mailadresse eines Euroweb-Kunden) mit dem Ergebnis, dass der Browser die unverschlüsselten Daten dann an die Adresse "http://webmail.[MX- oder Domainname des Euroweb-Kunden]./imp/redirekt.php" schickt.

Also unverschlüsselt ins Hackerland Bulgarien, so wie schon am Freitag:

Figur 7: So oder so ähnlich landen die Daten beim Hacker.

Betroffen sind in gleicher Weise auch das Login für den "Counter", den "Editor", das Gästebuch, den Immomanager und das Online-Werbesystem. Die von der Euroweb gemachten und betriebenen Webseiten der Webstyle GmbH und der WAZ-Onlineservice GmbH haben dieselben Probleme.

Für diese Zirkussnummer bekommt die Euroweb Internet GmbH folgenden Anschiss:

"Dümmer geht es nimmer!"

Der Gag!

Figur 8: Das Problem ist der Euroweb bekannt und die Lösung bewusst

Die Euroweb kennt durchaus die Wirkung eines "https", weiß also, das Daten verschlüsselt übertragen werden können und sollen. Es ist wohl eher so, dass diese "tolle" Firma hier grob fahrlässig oder gar vorsätzlich einfachste Sicherheitsregeln ("Transportiere Zugangsdaten nicht unverschlüsselt im Internet") nicht einhält weil, das unterstelle ich hier mal das deren "Spezialisten" in dem selbst inszeniertem  "Javascript und Drupalgefuchtel" gar nicht mehr durchsehen, also nicht wissen was diese eigentlich wo ändern müssten. Statt sich das einzugestehen und die Kunden nicht mehr weiter zu gefährden, in dem die Formulare gelöscht werden, macht die Euroweb einfach weiter. Die offenbar benötigte externe Hilfe holen sich diese "Preisgewinner" auch nicht.


Fazit:

Mit enormen Aufwand, einem ungeheuren Javascript, Ajax - und JQuery-Gefuchtel erreicht die Euroweb nur eines. Nämlich dass deren "Spezialisten" den Durchblick verlieren und das Ergebnis derer Bemühungen die Daten der Kunden gefährdet. Ein Fachmann ist nicht der, der mit gigantischem Aufwand ein Schiff baut, dass gleich untergeht - sondern derjenige der billig und schnell das Schiff baut, mit dem Mensch und Ladung sicher über das Meer kommen. Mit den von der Euroweb gebauten "Flaggschiffen" würde ich nicht mal im flachen Bach schippern wollen. Die Dinger sind zwar reich mit Stuck verziert, mit viel Gold- und Purpurfarbe beschmiert, die bezahlten Claqueure jubelten eifrig beim Stapellauf - aber deren "Schiffe" sind eben nicht dicht.

Empfehlung an die Euroweb-Kunden:

Ändern Sie, wenn Sie das Formular jemals benutzt haben, alle Ihre Passwörter. Diese sind potentiell "gehackt". Wie Sie das tun können erklärt Ihnen "gern" der Euroweb-Kundensupport. Wenn das nicht kostenlos geht, dann kündigen Sie und wenn Ihnen schon wieder eine Adresse eines Webformulars genannt wird, dann sollten Sie erst mal jemanden fragen, ob das sicher ist.

Aber um Gottes Willen nicht die Euroweb. Die labert Bullshit und hat Sie schon mehrfach belogen.

Sinnbild: "Goldener Bullschit": Der Preis fürs größte Werbemaul bei schrottigster Leistung.