"Wortsalat" bei Yahoo

Werden E-Mails im "Web enhanced"-Format gesendet, kann sich das ein potenzieller Angreifer zu Nutze machen, indem er zum Beispiel mittels JavaScript-Anweisungen versucht, Programme auf dem Rechner des Empfängers zu aktivieren.

Um seine Nutzer vor solchen Skriptsprachen-Angriffen zu schützen, nutzt Yahoo eine Filter-Software, um bestimmte Wörter, die zu JavaScript gehören, einfach gegen vermeintlich gleichbedeutende auszutauschen.

JavaScript ist eine Web-Programmiersprache, die dazu dient, in HTML-Seiten ein ausführbares Script zu integrieren. Es kann Kommandos erteilen, die ein neues Browser-Fenster öffnen oder einen Dienst starten, um zum Beispiel ein Passwort zu ändern. JavaScript wurde von Netscape zunächst unter dem Code-Namen "mocha", dann unter dem Namen "Live-Script" entwickelt.

"Web-Bugs" bedrohen Privatsphäre

Wörter werden einfach ausgetauscht

Gibt man im Adressfeld eines Netscape-Browsers "mocha:" oder "javascript": ein, erscheint ein Eingabefeld, in dem man JavaScript-Anweisungen eingeben kann. Ein Angreifer könnte über diese Kommandozeile ein Programm aktivieren, das zum Beispiel das Passwort des Nutzers ohne sein Wissen ändert.

Um dies zu verhindern, tauscht Yahoo die betreffenden Wörter einfach aus. Wird zum Beispiel das Wort "mocha" in einem E-Mail verwendet, ändert die Software es automatisch in "espresso".

Seit zwei Jahren im Einsatz
Schätzungsweise seit zwei Jahren soll die Filtersoftware schon im Einsatz sein, Yahoo will das genaue Einführungsdatum jedoch nicht bekannt geben. Und auch die Nutzer, die ihre E-Mails über das Web-Interface abrufen, wurden von Yahoo über diese Maßnahme nie informiert.

Yahoo-Mail

Ergebnis: Neue Wortkreationen

Durch den simplen Austausch der "gefährlichen" Wörter kommt es mitunter zu wagemutigen Wortkreationen.

Der Begriff "eval", ein JavaScript-Kommando, das Ausdrücke auswertet oder einzelne oder mehrere zusammengesetzte JavaScript-Anweisungen ausführt, wird nach dem Schema von Yahoo durch "review" ersetzt. So wird aus dem Wort "evaluate" [auswerten] ganz einfach das nichts sagende "reviewuate", aus "Medieval" [Mittelalter] wird das geheimnisvolle "Medireview" und aus "expression" wird "statement".

Und obwohl die neuen Wortkreationen noch in keinem Wörterbuch aufgetaucht sind, scheinen sie doch langsam in den allgemeinen Sprachgebrauch überzugehen.

Google kennt die kryptischen Wörter
Sucht man in Google nach dem vermeintlichen Mittelalter, spuckt die Suchmaschine immerhin 1.170 Treffer aus. Bei "reviewuate" sind es immer noch beachtliche 171 Treffer.

Google-Suche nach "Medireview"

Buggy Software

Nach Angaben von Sicherheitsexperten ist es mittlerweile üblich, bei Web-basierenden E-Mail-Services wie Yahoo und Hotmail, JavaSript aus HTML-Mails zu filtern. Doch die Methode von Yahoo sei doch etwas merkwürdig.

"Man muss den Text eines E-Mails nicht austauschen ," erklärt der Sicherheitsexperte Richard Smith. "Man muss nur die Script-Tags verändern. So macht es jeder." Hotmail zum Beispiel filtert die JavaScript-Kommandos, ohne dabei Wörter in dem betreffenden HTML-Mail zu verändern. Viele andere Services wie Foren oder Chat-Rooms erlauben auch keine JavaScript-Befehle.

Laut Yahoo will das Unternehmen mit seiner Maßnahme den User weder verwirren noch Big Brother in dessen E-Mails spielen, es sei einfach ein sinnvoller Weg, um Skriptsprachen-Angriffen vorzubeugen.

"So, wie die Filter von Yahoo funktionieren, sieht das für mich aber nach einer fehlerhaften Software-Lösung aus", meint Smith.