Phishing-Forschung stößt in der Praxis auf einige Hürden, wenn man erkennen möchte, wie Menschen Phishing-Emails bearbeiten und ob sie sie erkennen. Um diese Probleme zu lösen, haben Oliver D. Reithmaier und Thorsten Thiel haben zusammen PhishyMailbox entwickelt, eine Web-App, die ein E-Mail-Postfach simuliert. Damit können Studienteilnehmende in ihrer eigenen Umgebung an Phishing-Studien teilnehmen und ein relativ realistisches Erlebnis der E-Mail-Bearbeitung erfahren. Die Software loggt fast alle Nutzerinteraktionen, ist sicher in der Ausführung und hat exzellente Usability-Evaluationen von Nutzenden als auch Forschenden bekommen. PhishyMailbox ermöglicht es, realistischere Forschungsergebnisse zu erhalten, die dennoch in einer relativ gut kontrollierten Umgebung entstanden sind. Die Software ist kostenlos verfügbar, einfach zu nutzen und skaliert gut. Der Code und Anleitungen sind hier zu finden: https://github.com/Enterprize1/phishy-mailbox. Das Papier dazu findet sich unter dem folgenden Link: https://www.ndss-symposium.org/wp-content/uploads/usec25-37.pdf 

Die Software wird von Hanna Köster, Oliver D. Reithmaier und Thorsten Thiel aktiv weiterentwickelt. 

PAKE (Password Authenticated Key Exchange)-Protokolle sind Methoden zur Authentifizierung, die es schon seit den 1990er Jahren in verschiedenen Formen gibt. Sie ermöglichen es, einen Anmeldeversuch ohne die Übermittlung von Passwörtern im Klartext durchzuführen, wie er sonst sehr häufig bei Login-Masken vorkommt. Moderne PAKE-Protokolle können prüfen, ob die anmeldende Partei das richtige Passwort besitzt, müssen es dabei aber nicht an den Server übertragen oder es im Klartext auf dem Server speichern. Damit sind moderne PAKE-Protkolle wie beispielsweise OPAQUE, sicher gegen Man-in-the-middle Angriffe, als auch gegen Dictionary Angriffe. Der einzige Nachteil, den moderne Protokolle zeigen ist die Schwäche gegen Downgrade-Attacken, da immer noch ein Passwort eingegeben werden muss. Bei einer Downgrade-Attacke erschafft ein Angreifer eine Seite, die statt einem PAKE-Feld ein "normales" Passwort-Anmeldefeld zeigt. Hier gibt die angegriffene Person dann womöglich ihr Passwort ein, und der Angreifer kann dieses dann nutzen, um sich auf der echten Seite anzumelden.

Solche Downgrade-Attacken sind ein Problem, das sich vermutlich mit einer Kombination aus Interface Design und Sicherheitsdesign lösen lässt. Zusammen mit Hanna Köster arbeitet Oliver D. Reithmaier daran, Lösungen für diese Probleme zu erforschen. 

Projektleiter: Oliver D. Reithmaier

Zeitraum: 2023-2025