Hacker zeigen, wie einfach sich TikTok manipulieren lässt

Sicherheitsforscher haben eine Lücke in dem populären Videodienst entdeckt, die sich leicht ausnutzen lässt. Tommy Mysk und Talal Haj Bakry haben in einem ausführlichen Blogpost erklärt, wie sie vorgegangen sind, um echte Clips in fremden Accounts gegen Fake-Videos zu ersetzen. 

Möglich ist das durch ein Content Delivery Network (CDN), das TikTok verwendet. CDNs erlauben großen Mengen an Daten zu verarbeiten und zu transportieren. Das Problem ist, dass TikTok ein CDN verwendet, das aus Performance-Gründen auf HTTP anstelle des sicheren HTTPS setzt. 

Um zu demonstrieren, wie eine derartige Attacke ablaufen könnte, haben die Forscher gezeigt, wie sie ein Video mit falschen Informationen über das Coronavirus scheinbar auf dem offiziellen TikTok-Account der Weltgesundheitsorganisation (WHO) platzieren.

Durch das Proof-of-Concept wurden aber nicht wirklich Fake News verbreitet, weil nichts auf dem offiziellen TikTok-Server manipuliert wurde. 

Stattdessen brachten die Forscher die TikTok-App, die auf einem Gerät im selben Netzwerk installiert war, dazu, Requests zu einem manipulierten Server zu schicken. Jener tarnte sich als offizieller TikTok CDN und trickste die App so aus.

In der Realität besteht die Gefahr also darin, dass populäre DNS-Server manipuliert werden könnten, um TikTok-Usern so falsche Inhalte zu präsentieren. 

Konkurrenz nutzt HTTPS

Verhindern könnte man eine derartige Attacke, indem TikTok auf CDNs mit HTTPS setzt. Konkurrenten wie YouTube, Instagram oder Facebook nutzen derartig abgesicherte Server, wie die Forscher anmerken.