PII in der URL

Was ist PII in der URL?

Eine URL ist eine Adresse, und Adressen werden kopiert: Browserverlauf, Zugriffsprotokolle, Link-Vorschau-Entfalter und der Referer -Header, der an jedes Drittanbieter-Asset auf der Seite gesendet wird. HTTPS schützt die Anfrage während der Übertragung, nicht die Parteien, die die URL rechtmäßig erhalten. Sie lesen eine E-Mail-Adresse, ein Geburtsdatum und die letzten vier Ziffern eines Personalausweises aus der Abfragezeichenfolge eines Verifizierungslinks. Dann ersetzen Sie sie durch ein undurchsichtiges, kurzlebiges Token, das serverseitig aufgelöst wird, und prüfen jeden Reset-, Magic-Link- und Share-Invite-Generator für dieselbe Form.

Was Sie lernen in PII in der URL

• Erkennen, dass die URL ein quasi öffentlicher Identifikator ist, der viele Vertrauensgrenzen überschreitet: Browserverlauf, Zugriffsprotokolle, Referer-Header, Link-Vorschauen, Bildschirmaufzeichnungen
• Verstehen, dass HTTPS die URL während der Übertragung schützt, aber ihre Protokollierung oder Weiterleitung durch Zwischenstellen nicht verhindert
• Die Umstellung auf ein undurchsichtiges Token anwenden: PII in URLs durch ein zufälliges Token mit kurzer TTL ersetzen, das serverseitig zum Nutzer aufgelöst wird
• Erkennen, dass E-Mail-Adresse, Geburtsdatum und die letzten vier Ziffern der SSN zusammen ein Trio für die wissensbasierte Identitätsprüfung (KBA) bilden, das ein Angreifer massenhaft aus gekauften Referrer-Protokollen ernten kann
• Jeden Generator für E-Mail-Links und SMS-Links (Verifizierung, Passwortzurücksetzung, Magic Login, Freigabeeinladung) auf dasselbe Anti-Pattern prüfen

PII in der URL — Trainingsschritte

1. Den Verifizierungsprozess finden

   Bob hat das öffentliche Lieferantenportal von Westmark Industrial auf mögliche Offenlegungen untersucht. Der Schritt zur Kontoverifizierung fällt ihm auf: Er sendet einen Link zur Bestätigung des Kontos per E-Mail. Bob registriert sich mit einem von ihm kontrollierten Wegwerfpostfach und erfundenen Identitätsdaten, damit er genau beobachten kann, wie dieser Verifizierungslink aussieht. Er beginnt auf der Anfrageseite.

2. Einen Verifizierungslink anfordern

   Führen Sie den Prozess wie ein echter Nutzer aus: Geben Sie die Wegwerfadresse ein und senden Sie die Anfrage. Das Portal nimmt sie entgegen und stellt eine Verifizierungs-E-Mail an dieses Postfach in die Warteschlange.

3. Die Verifizierungs-E-Mail öffnen

   Die Verifizierungs-E-Mail trifft in Bobs Wegwerfpostfach ein. Er öffnet sie und klickt auf den Link, genau wie ein echter Nutzer. Der Browser ist direkt neben dem Postfach geöffnet.

4. Die PII in der Adressleiste sehen

   Bob hat auf den Link geklickt und er wurde im Browser geöffnet. So sieht jeder Verifizierungslink aus, den Westmark per E-Mail versendet. Bob muss nun nirgends einbrechen. Er braucht nur Zugriff auf die Stellen, an denen sich diese URLs ansammeln.

5. Die Referrer-Protokolle auswerten

   Bob ist Datenhändler, kein Hacker. Er sendet nicht eine einzige Anfrage an Westmark. Stattdessen kauft er bei einem Analytics-Reseller Referrer-Protokolle eines Monats – einem Anbieter, dessen Tracking-Tag auf der Verifizierungsseite von Westmark eingebunden ist und unbemerkt die vollständige verweisende URL jedes Besuchers aufzeichnet. Er öffnet neben dem Browser ein Terminal und durchsucht diesen Datenstrom mit grep nach Verifizierungslinks.

6. Wissenscheck

   Bob besitzt diese Daten nun von Tausenden Menschen. Überlegen Sie, was diese drei Felder tatsächlich bedeuten.

7. Eine Datenschutzwarnung geht ein

   Sie verantworten den Service zur Kontoverifizierung von Westmark. Über Nacht markierte die Überwachung auf Datenverluste die von ihm versendeten Links und schickte Ihnen den Befund per E-Mail. Lesen Sie, was sie erkannt hat, und öffnen Sie dann den Code.

8. Den Link-Generator öffnen

   Sie müssen den Handler ändern, der den Verifizierungslink erstellt und per E-Mail versendet. Öffnen Sie ihn und sehen Sie sich an, wie er die URL zusammensetzt.

9. Die Offenlegung erkennen

   Der Handler schreibt E-Mail-Adresse, Geburtsdatum und SSN-Fragment des Kontos direkt in den Query-String und versendet anschließend den resultierenden Link per E-Mail. Es gibt kein Token und keine indirekte Referenz: Die URL selbst enthält die personenbezogenen Daten.

10. Wissenscheck

    Sie haben gesehen, wohin die Daten gelangen und welche Zeilen sie dorthin bringen. Prägen Sie sich ein, warum die URL der falsche Übertragungsweg ist.