
Wenn man schon mal dabei ist: Das CERT des CCC hat ein zweites Mal zugeschlagen und eine weitere digitale „Corona-Liste“ unter die Lupe genommen. Auch hier fanden sich Schwachstellen, allerdings hielt Verschlüsselung den Schaden in Grenzen. Die gemeldeten Schwachstellen konnten laut Betreiber neutralisiert werden.
In der vergangenen Woche haben Mitglieder des CCC Schwachstellen in einer Online-Plattform für Reservierungen und Kontakt-Erfassung in der Gastronomie gemeldet und veröffentlicht. [1] Durch vollmundige Versprechungen auf Twitter erregte ein Konkurrenzangebot ihr Interesse. Dort gefundene Schwachstellen hat der CCC gemeldet, sie wurden durch das Unternehmen zügig behoben.
Verschlüsselte Daten
Die betroffene Plattform verschlüsselt die erfassten Daten jeweils so, dass nur die Gastgeberin diese entschlüsseln kann. Diese Maßnahme verhinderte erfolgreich das retrograde Auslesen der erfassten Daten: Trotz der vorhandenen Schwachstellen blieben so über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt.
Allerdings war es möglich, die zur Verschlüsselung verwendeten Schlüssel unbemerkt auszutauschen.
Die Folge eines solchen Angriffs:
- Alle zukünftig erfassten Daten wären durch Angreiferinnen zugreifbar gewesen.
- Die betroffenen Gastronominnen hätten keinen Zugriff mehr auf die Daten gehabt.
Im Ernstfall wäre also eine Kontaktverfolgung nicht mehr möglich gewesen.
Zügige Reaktion
Ein 18-seitiger Bericht über die Schwachstellen wurde dem betroffenen Unternehmen am 2. September um 17:09 Uhr übermittelt. Bereits am nächsten Tag um 12:20 Uhr wurde die Behebung der gemeldeten Schwachstellen schriftlich bestätigt. Wir danken für die Nachtschicht!
Die Schwachstellen waren im Einzelnen:
1. Fehlende Autorisierungsprüfung
Gastgeberinnen konnten die Stammdaten und die öffentlichen Schlüssel anderer Gastgeberinnen überschreiben und dadurch Vollzugriff auf deren Konten erlangen.
Diese Schwachstelle wurde laut Betreiber behoben.
2. Nicht-authentisierter Schlüsselaustausch
Öffentliche Schlüssel der Gastgeberinnen konnten von Besucherinnen nicht auf Echtheit geprüft werden. Ersetzte eine Angreiferin den öffentlichen Schlüssel einer Gastgeberin durch ihren eigenen, so konnte nur noch die Angreiferin – und nicht mehr die Gastgeberin – die damit verschlüsselten Kontaktdaten entschlüsseln.
Diese Schwachstelle verliert durch die Behebung von Schwachstelle #1 ihre akute Kritikalität und wird laut Betreiber zeitnah adressiert.
3. Administrativer Vollzugriff auf Content-Management-System
Unter Ausnutzung veröffentlichter Zugangsdaten des Content-Management-Systems und einer Änderung der Rollenzugehörigkeit gelang administrativer Vollzugriff auf bestimmte Inhalte der Online-Präsenz, die jedoch nicht im Zusammenhang mit der Kontaktverfolgung standen.
Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.
4. Code-Ausführung im Content-Management-System
Durch Hochladen ausführbarer PHP-Skripte konnten Nutzerinnen des Content-Management-Systems beliebigen Code ausführen.
Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.
Bewertung: Verschlüsselung schützt
Nicht selten wird Verschlüsselung von Strafverfolgungsbehörden und Geheimdiensten verteufelt. Am vorliegenden Beispiel zeigt sich einerseits ihre Wichtigkeit für Datenschutz, Privatsphäre und IT-Sicherheit: Dank Verschlüsselung blieben über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt. Weitere 300.000 Datensätze blieben geschützt, weil die Betreiber der Löschpflicht nachkommen.
Andererseits zeigen sich auch übliche Tücken bei der Implementierung: Wenn Schlüssel nicht unabhängig verifiziert werden, können sie unbemerkt ausgetauscht werden. Wenn Daten mit dem falschen Schlüssel verschlüsselt sind, sind sie verloren.
„Wer verschlüsselt, kann auch mal große Klappe haben“, sagte Martin vom CERT mit Bezug auf ein vollmundiges Versprechen der Betreiber von darfichrein.de.
Das CERT (Chaos Emergency Response Team) ist der Brandschutz- und Sanitätsdienst des CCC.
Links:
[1] CCC hackt digitale „Corona-Listen“Foto:
Fachartikel

Cyber-Eskalation im Nahen Osten: Von Hacktivismus zu ausgeklügelten Bedrohungsoperationen

„Echo Chamber“: Neue Angriffstechnik umgeht KI-Sicherheitsmechanismen mit subtiler Manipulation

KI-Modelle mit Selbsterhaltungstrieb? Experimente zeigen bedenkliches Verhalten

KI auf Abwegen: Wenn der Code Gespenster sieht

Google rüstet KI-Systeme gegen Prompt-Injection-Angriffe mit mehrschichtiger Verteidigung auf
Studien

Studie von Bundesdruckerei und Possible zu Fachverfahren: Wie kann KI in Verwaltungsprozessen effektiv unterstützen?

Gigamon Deep Observability: Neue KI-Funktionen setzen höhere Sicherheits- und Sichtbarkeitsstandards

Neue Studie: Sind Sie auf die sich wandelnde Bedrohungslandschaft für die Cybersicherheit von SAP vorbereitet?

Cybersicherheit bleibt auf der Strecke: Schutzverhalten der Bevölkerung nimmt ab

Quantenkommunikation: Chancen, Risiken und Einsatzfelder im Überblick
Whitepaper

Neue Leitlinien zur Reduzierung von Speicher-Sicherheitslücken veröffentlicht

OWASP veröffentlicht Leitfaden für sichere KI-Tests

BSI-leitet G7-Arbeitsgruppe: Gemeinsames Konzept für eine „SBOM for AI“ veröffentlicht

NIST stellt 19 Modelle für Zero-Trust-Architekturen vor
