Wer sich im Internet möglichst anonym bewegen oder auf Inhalte zugreifen möchte, die im eigenen Land gesperrt sind, greift üblicherweise zu einem VPN. Dieser führt den Nutzer über verschlüsselte Verbindungen und Server in anderen Ländern ans Ziel und verschleiert somit seine digitale Herkunft.

Die Verwendung eines solchen Dienstes setzt allerdings Vertrauen zum Anbieter voraus. Dieses könnte der kostenlose Service Hotspot Shield nun aufs Spiel gesetzt haben. Wie der Sicherheitsforscher Paulos Yibelo herausgefunden hat, ermöglicht ein Sicherheitsleck es, wichtige Daten der Nutzer zu erhaschen.

Lokaler Serverdienst verrät IP und WLAN

Konkret soll es Angreifen möglich sein, eine Anfrage an den Serverdienst von Hotspot Shield zu schicken und in der Antwort die kritischen Angaben zu erhalten. Diese erlauben es, die IP des Nutzers zu identifizieren und somit auch festzustellen, aus welchem Land er sich verbindet. Sofern der User auch gerade verbunden ist, lässt sich außerdem der Name des WLANs auslesen, in dem er sich befindet. ZDNet konnte die Schwachstelle in Tests verifizieren.

Mit diesen Informationen – etwa unter Zuhilfenahme von Online-Karten, die WLAN-Hotspots ausschildern – ist unter Umständen sogar eine recht genaue Standortbestimmung von Nutzern möglich. Grundsätzlich kann das Sicherheitsleck vor allem für Nutzer in autoritär geführten Ländern zu einem sehr ernsten Problem werden.

Massenhafte Speicherung möglich

Ein Skript, das die entsprechenden Informationen vom VPN-Dienst abfragt, umfasst nur wenige Zeilen an Code. Laut Yibelo ließe sich beispielsweise auch eine Website manipulieren, um die Daten automatisiert zu sammeln.

Der Fehler wurde bereits im Dezember an die Betreiber von Hotspot Shield, das Unternehmen Anchrofree, übermittelt, das allerdings nicht reagierte. (red, 07.02.2018)