OAuth “Hintertür” bei Twitter zusätzlich schließen
OAuth ermöglicht es Diensten Zugang zu einem Twitter -Account zu gewähren, ohne dass man dem Anbieter sein Passwort anvertrauen muss. Diese Erlaubnis bleibt auch bestehen, wenn man sein Passwort ändert.
Terence Eden änderte sein Twitter-Passwort, weil man ihn warnte, dass es möglicherweise kompromittiert worden sei. In seinem Blog berichtet er, dass die OAuth-Anmeldung nach wie vor funktionierte.
Das OAuth Verfahren muss man bei Twitter für das eigene Twitter-Profil freischalten. Warum ist das problematisch? Ein Angreifer, der im Besitz des Passworts ist kann sich so eine Hintertür installieren und auch nach dem Passwortwechsel weiterhin auf das Profil zugreifen.
Um dieser Gefahr zu begegnen, sollte man die OAuth Einstellungen im Twitter-Account nach dem Passwortwechsel ebenfalls überprüfen und gegebenenfalls zurücksetzen.
