News Deutsche Bahn: CCC kritisiert Sicherheitslücke im ICE-WLAN

[TrueAzrael]

zitat von TrueAzrael
auch wenn das die watsapp und facebook fans nicht verstehen wollen. es ist ein himmelweiter unterschied ob diese meine Daten oder die Daten meiner Freunde/Kollegen die mir die Daten im glauben das ich verantwortungsvoll damit umgehe gegeben habe auslesen.
facebocc und watsapp gehören gesezlich verboten! es giebt telegramm oder twitter um nur zwei der vielen alternativen zu nennen.

Was kann Whatsapp/Facebook dafür, dass deine Freunde mit den von dir anvertrauten Daten verantwortungslos umgehen? Ich verklag ja auch nicht die Litfaßsäule bzw. deren Besitzer, weil mein Kumpel da Bilder von mir mit Telefonnummer und Adresse drauf klebt.

Edit: Und es glaubt doch wohl niemand, dass Telegram oder Twitter auch nur im entferntesten sparsamer mit Daten umgehen die ihnen vor die Füße geworfen werden.

 

[textract]

Immer noch das gleiche gezetere?
Mir wäre als CCC wohl schon längst die Hutschnur gerissen und ich hätte sämtliche Sicherheitslücken kostenfrei veröffentlicht.

Ohne Witz, das geht ja mal auf keine Kuhhaut, was die Bahn da treibt. Entweder sie wollen das sinnvoll beheben, oder halt nicht.
Aktuell wollen sie es offenbar nicht.

 

[Smug-P]

Für diejenigen, die es wirklich interessiert: https://hannover.ccc.de/~nexus/dbwifi/

Bei jedem Seitenaufruf im ICE können Positionsdaten (Longitude, Latitude, Speed, etc.) sowie MAC-Adresse des Nutzers abgerufen werden. Dies könnte zur Erstellung von Bewegungsprofilen etc. benutzt werden.

 

[Piktogramm]

Immer noch das gleiche gezetere?
Mir wäre als CCC wohl schon längst die Hutschnur gerissen und ich hätte sämtliche Sicherheitslücken kostenfrei veröffentlicht.

Der CCC hat eine recht gute Reputation, eben weil solche Aktionen kontrolliert Kommuniziert werden.
Ansonsten kommt der chaotische Dunstkreis aus einem Umfeld, wo derartige Probleme (oder schlimmer) Alltag sind. Da stumpft man bei Zeiten ab und handhabt das sehr routiniert. Wer da jedes mal an die Decke geht wenn irgendwo das kleine Sicherheits 1x1 komplett missachtet wurde lebt nicht lang.

 

[mark076]

TrueAzrael " Was kann Whatsapp/Facebook dafür, dass deine Freunde mit den von dir anvertrauten Daten verantwortungslos umgehen?"

die gehen mit meinen Daten schon verantwortungsvoll um! jeder der diese Dienste nutzt hat meine tel. nicht im Telefonbuch
2 haben sogar ein zweitphone gekauft mit denen sie nur wa und fb nutzen und keine andere app oder Kontakte gespeichert sind.
von einem höre ich nichts mehr hat meine tel.ect. nicht gespeichert. macht aber nichts wer solche freunde hat braucht keine feinde.
und ja telegramm ist da besser die geben keine daten weiterund haben eine glaubhafte end zu end verschlüsselung (ich nutze nicht einen messenger! diese fliegen immer als erstes runter.

 

[TrueAzrael]

die gehen mit meinen Daten schon verantwortungsvoll um! jeder der diese Dienste nutzt hat meine tel. nicht im Telefonbuch
2 haben sogar ein zweitphone gekauft mit denen sie nur wa und fb nutzen und keine andere app oder Kontakte gespeichert sind.
von einem höre ich nichts mehr hat meine tel.ect. nicht gespeichert. macht aber nichts wer solche freunde hat braucht keine feinde.

Dann passt doch alles und sie können WA/FB nutzen ohne Daten von Dritten zu kompromittieren. Ich sehe das Problem in dem Szenario nicht.

und ja telegramm ist da besser die geben keine daten weiterund haben eine glaubhafte end zu end verschlüsselung

Das kann und sollte bezweifelt werden. Man sollte da immer mit der Einstellung ran gehen, dass keiner wirklich sicher ist. Vor allem wenn man von der US-Software zum Russland-Pendant wechselt ist man vermutlich nicht wirklich besser dran.

 

[M-X]

.......

Beim dem Ausmaß würde mich mal interessieren welches MobileOS du nutzt. Das kann ja nur ein komplett customized Android sein.

 

[Vindoriel]

Kann deiner Logik nicht folgen.
Wenn ich aus dem ICE-WLAN Webseiten besuche - können die meinen Standort offenbar bestimmen.
Was hat das damit zu tun, ob man den ICE sehen kann?

Dann lies mal den Bericht nur auf CB (Uhrzeit und so...). Wo steht da was von präparierten Seiten usw.? Es war nur die Rede vom ICE-WLAN und um das angreifen zu können, muss man schon dicht ran und der Zug ist dann nicht mehr zu übersehen (außer Smombies, die müssen schon das WLAN hacken, um die Position des Zuges im Bahnhof rauszubekommen, anstatt mal den Blick nach vorne zu richten ).

 

[mark076]

"US-Software zum Russland-Pendant" da verwechselt einer von uns etwas telegram ist schweiz nicht russland, oder meine ich jetzt trema? nutze keinen darum kann das schon sein.

M-X htc 10 stock aber wa und fa lesen die daten von jedem system aus ob android/ios oder windowsspielt keine rolle

 

[alxtraxxx]

Wow sie haben gesehen das im Browser alles per Klartext in der URL übertragen wird x) In 90% der Fälle versanden die Anfragen bei mir aber eh im Nirvana weil der Router wieder nicht funktioniert und gar nichts geht

 

[chithanh]

Das Problem ist, dass der Server der Bahn cross site requests akzeptiert, die von beliebigen Webseiten ausgelöst werden können. Dass bösartige Webseiten damit Positionsdaten und MAC-Adresse auslesen können ist nur Konsequenz davon und wird für die Demo genutzt.

Das Ganze lässt sich auch für gezielte Angriffe nutzen, z.B. kann jemand per Email auf eine präparierte Webseite gelockt werden und so dem Angreifer mitteilen wie weit er von zu Hause entfernt ist.

 

[AndroidBoy]

Wo bleibt das exemplarische "Wir bitten um Entschuldigung." der Bahn?

 

[Vindoriel]

Kommt noch, mit reichlich Verspätung.

Sensiblere Daten würde ich ohnehin nicht direkt übers ICE-WLAN schicken (ebenso im Hotel, da meist unverschlüsselt), sondern über einen VPN-Tunnel über die Fritzbox Zuhause.

 

[alxtraxxx]

@chithahnh: Wer sich von jedem Link den er geschickt bekommt auf Webseiten locken lässt hat andere Probleme als das WLAN in der Bahn.