In der vergangenen Woche haben Mitglieder des CCC Schwachstellen in einer Online-Plattform für Reservierungen und Kontakt-Erfassung in der Gastronomie gemeldet und veröffentlicht. [1] Durch vollmundige Versprechungen auf Twitter erregte ein Konkurrenzangebot ihr Interesse. Dort gefundene Schwachstellen hat der CCC gemeldet, sie wurden durch das Unternehmen zügig behoben.

Verschlüsselte Daten

Die betroffene Plattform verschlüsselt die erfassten Daten jeweils so, dass nur die Gastgeberin diese entschlüsseln kann. Diese Maßnahme verhinderte erfolgreich das retrograde Auslesen der erfassten Daten: Trotz der vorhandenen Schwachstellen blieben so über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt.

Allerdings war es möglich, die zur Verschlüsselung verwendeten Schlüssel unbemerkt auszutauschen.

Die Folge eines solchen Angriffs:

1. Alle zukünftig erfassten Daten wären durch Angreiferinnen zugreifbar gewesen.
2. Die betroffenen Gastronominnen hätten keinen Zugriff mehr auf die Daten gehabt.

Im Ernstfall wäre also eine Kontaktverfolgung nicht mehr möglich gewesen.

Zügige Reaktion

Ein 18-seitiger Bericht über die Schwachstellen wurde dem betroffenen Unternehmen am 2. September um 17:09 Uhr übermittelt. Bereits am nächsten Tag um 12:20 Uhr wurde die Behebung der gemeldeten Schwachstellen schriftlich bestätigt. Wir danken für die Nachtschicht!

Die Schwachstellen waren im Einzelnen:

1. Fehlende Autorisierungsprüfung

Gastgeberinnen konnten die Stammdaten und die öffentlichen Schlüssel anderer Gastgeberinnen überschreiben und dadurch Vollzugriff auf deren Konten erlangen.

Diese Schwachstelle wurde laut Betreiber behoben.

2. Nicht-authentisierter Schlüsselaustausch

Öffentliche Schlüssel der Gastgeberinnen konnten von Besucherinnen nicht auf Echtheit geprüft werden. Ersetzte eine Angreiferin den öffentlichen Schlüssel einer Gastgeberin durch ihren eigenen, so konnte nur noch die Angreiferin – und nicht mehr die Gastgeberin – die damit verschlüsselten Kontaktdaten entschlüsseln.

Diese Schwachstelle verliert durch die Behebung von Schwachstelle #1 ihre akute Kritikalität und wird laut Betreiber zeitnah adressiert.

3. Administrativer Vollzugriff auf Content-Management-System

Unter Ausnutzung veröffentlichter Zugangsdaten des Content-Management-Systems und einer Änderung der Rollenzugehörigkeit gelang administrativer Vollzugriff auf bestimmte Inhalte der Online-Präsenz, die jedoch nicht im Zusammenhang mit der Kontaktverfolgung standen.

Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.

4. Code-Ausführung im Content-Management-System

Durch Hochladen ausführbarer PHP-Skripte konnten Nutzerinnen des Content-Management-Systems beliebigen Code ausführen.

Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.

Bewertung: Verschlüsselung schützt

Nicht selten wird Verschlüsselung von Strafverfolgungsbehörden und Geheimdiensten verteufelt. Am vorliegenden Beispiel zeigt sich einerseits ihre Wichtigkeit für Datenschutz, Privatsphäre und IT-Sicherheit: Dank Verschlüsselung blieben über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt. Weitere 300.000 Datensätze blieben geschützt, weil die Betreiber der Löschpflicht nachkommen.

Andererseits zeigen sich auch übliche Tücken bei der Implementierung: Wenn Schlüssel nicht unabhängig verifiziert werden, können sie unbemerkt ausgetauscht werden. Wenn Daten mit dem falschen Schlüssel verschlüsselt sind, sind sie verloren.

„Wer verschlüsselt, kann auch mal große Klappe haben“, sagte Martin vom CERT mit Bezug auf ein vollmundiges Versprechen der Betreiber von darfichrein.de.

Das CERT (Chaos Emergency Response Team) ist der Brandschutz- und Sanitätsdienst des CCC.

Links:

[1] CCC hackt digitale „Corona-Listen“