Auf «HTTP Shaming» zeigt er die unsichere Kommunikation teils verbreitet genutzter Dienste wie Scribd auf. «Aus meiner Sicht gibt es keinen Grund, warum nicht alle Webseiten und mobile Apps HTTPS verwenden sollten», betont Webster gegenüber Ars Technica.
Aus Experten-Sicht wirkt die Aktion durchaus sinnvoll. «Ich denke, das ist gut für die allgemeine Awareness», meint Jürgen Eckel, Entwicklungsleiter von IKARUS Security Software. Zudem steigt der Druck auf Unternehmen, etwaige Probleme zu beheben. «Solch öffentlichkeitswirksame Aktionen können zum Kippen der User-Meinung führen», erklärt der Experte. Einen dadurch bedingten Nutzerschwund werden Anbieter eher nicht riskieren.
Verschlüsselungs-Mangel
Wenn Daten unverschlüsselt übertragen werden, sind sie gerade in offenen WLANs für Dritte leicht mitlesbar. Dennoch ist SSL-Verschlüsselung auch 2014 längst nicht universell im Einsatz. So hat ein Test von 40 Banking-Apps durch IOActive Anfang des Jahres ergeben, dass 90 Prozent teilweise unverschlüsselte Links nutzen.
Auch Webseiten verzichten nach wie vor oft auf HTTPS. So kritisiert Webster auf HTTP Shaming, dass der Dokument-Sharing-Dienst Scribd standardmässig nur unverschlüsselte Links nutzt.
Unsichere Websites entlarvt /
Der Reiseplaner TripIt wiederum synchronisiert über unverschlüsselte Verbindungen mit Kalendern.
Der virtuelle Pranger ist erst am Wochenende gestartet, dennoch gibt es schon Berichte über Sicherheitsmängel, die andere User an Webster herangetragen haben. Dieser betont, dass er in eher kritischeren Fällen die Informationen nicht veröffentlicht, sondern erst damit an das jeweilige Unternehmen herantritt.
«Das kann ich nur begrüssen. Das ist wie beim Ethical Hacking», meint dazu Eckel. Dort ist es üblich, dass Experten zunächst nur betroffene Unternehmen auf gefundene Sicherheitslücken aufmerksam machen und ihnen so die Chance geben, diese zu lösen. Denn eine breite Veröffentlichung wäre unverantwortlich, da sie Angriffe provozieren könnte.
Transparenz zeigt Wirkung
Für den IKARUS-Sicherheitsexperten ist klar, dass eine aktionistische Webseite wie HTTP Shaming durchaus etwas bewirken kann. «Je transparenter Probleme gemacht werden, umso mehr Druck auf Unternehmen besteht», erläutert er.
Denn Datensicherheit ist für User letztlich auch ein Kriterium, welche Angebote sie nutzen. Anbieter, die auf Bedenken nicht eingehen, müssen also befürchten, dass sie Nutzer an die Konkurrenz verlieren.
Tatsächlich scheint der virtuelle Pranger zu wirken. Denn Webster zufolge hat er TripIt schon im November 2013 bezüglich seiner Bedenken kontaktiert, aber nie eine Antwort erhalten. Nach dem Start von HTTP Shaming ging es dann doch. Gegenüber Ars Technica gab ein Sprecher des Reiseplaner-Dienstes an, dass man eifrig daran arbeite, die Kalender-Feeds auf HTTPS umzustellen und das möglichst ohne Störungen für Nutzer.
