Neue Erkenntnisse zu Skypes Chat-Überwachung

Am vergangenen Montag berichteten wir darüber, dass Skype Nachrichten aus dem Chat mitliest, wie heise security herausgefunden hatte. Heute veröffentliche heise security einen weiteren Artikel zu dem Thema, in welchem die Erkenntnisse aus den letzten Tagen noch ein zusammengefasst werden.

So präsentiert heise security gleich zu Beginn die Fakten:

Wir beobachteten ausschließlich Zugriffe auf https-URLs. Dabei nutzte Microsoft alle übertragenen Informationen – einschließlich der häufig in https-URLs enthaltenen Session-IDs oder Benutzerkennungen. Die Zugriffe erfolgen via HEAD-Request, fragen also lediglich Verwaltungsinformationen ab, nicht jedoch die Inhalte der Seiten.

Neu ist hingegen, dass anscheinend auch http-URLs abgerufen wurden, auch wenn heise security dieses Verhalten selbst nicht beobachten konnte:

Auch wenn wir keine Zugriffe auf die ebenfalls verschickten, ungesicherten http-URLs registrierten, liegen mittlerweile glaubwürdige Berichte vor, dass Microsoft diese in manchen Fällen ebenfalls abruft.

Es stehe allerdings immer noch die Frage im Raum, wozu die URLs überhaupt abgerufen werden. Am wahrscheinlichsten sei immer noch ein Zusammenhang zu einer Schutzfunktion, wie sie beispielsweise Microsofts SmartScreenFilter darstellt. Es gebe jedoch weiterhin eine Reihe von Ungereimtheiten:

Das beginnt mit der Frage, warum der Test nicht unverzüglich sondern mit einem zeitlichen Versatz von mehreren Stunden stattfindet. Bei einer aktiven Spam- oder Phishing-Kampagne ist Zeit ein kritischer Faktor; ein Test von mehreren Stunden alten URLs hat bestenfalls noch dokumentarischen Charakter.

Auch sei es nicht möglich nur durch das abrufen von HEAD-Request, also ohne den Inhalt der Seite zu kennen, eine Webseite auf ihr Sicherheitsrisiko hin zu bewerten:

Als nächstes stellt sich die Frage, wie Microsoft die Seiten bewerten will, ohne den Inhalt zu kennen. Die Verweise auf eine Reputationsdatenbank sind nicht stichhaltig, wenn für die Seiten – wie bei den speziell für den Test erstellten URLs – bislang keinerlei Referenzdaten vorliegen können. Auch der Hinweis, dass es nur darum ginge, mit dem HEAD-Request eventuelle Weiterleitungen auf bekanntermaßen bösartige Seiten zu entdecken, kann nicht überzeugen. Denn zum einen kann eine solche Weiterleitung auch im nicht abgerufenen HTML-Code erfolgen (meta http-equiv=“refresh“). Und zum anderen binden viele Web-Seiten den eigentlichen Schadcode etwa über iFrame-Tags ein – ebenfalls in den HEAD-Daten nicht sichtbar.

Und so kommt heise security zu dem abschließenden Ergebnisse, dass es sich zwar sehr wahrscheinlich um eine Schutzfunktion handele:

Doch wenn es so ist, ist diese wenig durchdacht.

Die positive Nachricht ist, dass heise security bei den letzten Tests keine Abrufe der URLs mehr feststellen konnte, Microsoft die Funktion also anscheinend mindestens vorübergehend deaktiviert hat. Und auch der Test anderer Chats verlief ereignislos:

Unsere analogen Tests mit den Chats von Google, Facebook und ICQ erbrachten übrigens keine Ergebnisse – sprich: es erfolgten keine Zugriffe auf die speziellen URLs, die wir dort verschickten.

Es bleibt also zu hoffen, dass Microsoft aus der Berichterstattung gelernt hat. Also entweder das Abrufen von URLs unterlässt oder zumindest eine Erklärung für das Abrufen liefert. Und sollte es sich tatsächlich um einen Schutzmechanismus handeln, muss erstens der Nutzer darüber informiert werden und zweitens muss der Nutzer die Möglichkeit haben, eine solche Schutzfunktion abstellen zu können.