News Luca-App: BSI hält Angriffs-Szenario per Code-Injection für plausibel

[bondki]

Der gute Smudo wird hier aber zerrissen. Der hat die App vorgestellt und ja vermarktet als die Warn-App noch keine solche Funktion anbot.
Wenn die Politiker aber nicht selbst auf dem Trichter kommen ähnliches in die CWA zu integrieren und unser Steuergeld zu schützen dann bedankt euch mal wieder bei denen.

Die offizielle App kann das ja inzwischen. Von daher sehe ich keinen Grund diese Schund-App weiterhin im Appstore anzubieten, wenn deren Betreiber nicht mal was gegen schwere Sicherheitslücken unternehmen.

Und diese Vorwürfe gibt es nicht erst seit Heute. Siehe Meldungen vom CCC von vor Monaten.

 

[Trefoil80]

Ganz ehrlich: Man kann bei jedem Gesundheitsamt froh sein, wenn die was Moderneres als ein Faxgerät nutzen. Dann wahrscheinlich auch noch unterschiedliche Software.

Ich finde den Ansatz der Luca-Entwickler, die Daten deswegen einfach als CSV bereitzustellen, legitim.
Für einen sicherheitsgerechten Umgang mit Excel (hallo Makros!) sehe ich in der Tat eher die IT der Gesundheitsämter (Schulungen!!!) am Zug.

Das Ding auf die Luca-Entwickler abzuwälzen, halte ich nicht für zielführend.

Wer weiter Lust hat, bei jedem Restaurantbesuch Zettel auszufüllen...bitte. Muss jeder für sich selbst entscheiden.

 

[SIR_Thomas_TMC]

Wenn man die Verordnungen dahingehend anpassen konnte um den Luca Quatschmüll zu forcieren, könnte man dies genau so gut in Richtung CWA. Sachsen zum Beispiel hat dies bereits getan, dort ist explizit die CWA in der Verordnung genannt für Check-Ins.

Da empfehle ich dir die letzte Ausgabe der Heute-show (21.05.21).

Von den Machern von „Wir haben uns leider zu spät um Masken gekümmert“ und „Wir haben uns leider zu spät um Tests gekümmert“ -->
„Wir haben uns leider zu spät um den digitalen Impfpass gekümmert!“

Mit etwas Humor fällt dann auch der Puls vielleicht wieder (Stichwort: lügender Wicht Smudo).

 

[Ein_Freund]

Die offizielle App kann das ja inzwischen. Von daher sehe ich keinen Grund diese Schund-App weiterhin im Appstore anzubieten, wenn deren Betreiber nicht mal was gegen schwere Sicherheitslücken unternehmen.

Und diese Vorwürfe gibt es nicht erst seit Heute. Siehe Meldungen vom CCC von vor Monaten.

Wie gesagt beschwer dich bei den Politikern die Verträge unterschrieben haben als das schon vom CCC bekannt war. Als Betreiber der Software würde ich diese jetzt nicht runternehmen und auf mein Geld verzichten.

 

[areiland]

Die CWA ist in jeder Hinsicht die bessere App. Hat eine viel sicherere Infrastruktur und ist wesentlich datensparsamer. Ihr Hauptproblem ist die schlechte Presse.

Das Hauptproblem der CWA ist doch eher, dass gefühlt 80 Millionen Bundestrainer in einem Zweiwochenkurs zu Softwarentwicklern mutierten und dann auf allen Ebenen ihre Einschätzung zur CWA kund taten. Die besondere Expertise hatten naürlich die Koryphäen, die die App auch nicht mal von weitem gesehen hatten.

 

[BalthasarBux]

Wer installiert sich eigentlich freiwillig alle möglichen Staatstrojaner?

Das ist von einer GmbH entwickelt, die vom Staat 20 Mio Abogebühren dieses Jahr bekommen hat.

beschwer dich bei den Politikern die Verträge unterschrieben haben als das schon vom CCC bekannt war.

Und bei den Politikern, die Millionen ausgeben, obwohl sie eine eigene App im Portfolio haben, von der schon bekannt war, dass eine Check-In-Funktion entwickelt wird. Es ist so absurd.
Trotzdem kann man von einer Firma erwarten, dass sie eine einwandfreie Software anbieten statt so einem undurchdachten System mit so vielen Fehlern, wenn sie das Teil an den Staat vermieten.

 

[mibbio]

und dann auf allen Ebenen ihre Einschätzung zur CWA kund taten

Was ja auch so ein Kuriosum ist, dass bei Kritik an der CWA Jeder zum "Experten" wurde, während es bei Luca scheinbar keinen (bis auf die echten Fachleute) interessiert, dass Luca im Gegensatz zur CWA Macken ohne Ende hat (zentrale Speicherung bei einem gewinnorientierten Privatunternehmen statt dezentral, Sourcecode nur widerwillig offengelegt mit einer Lizenz, die quasi gar nichts erlaubt, Sicherheitlücken/-probleme).

 

[Ein_Freund]

Trotzdem kann man von einer Firma erwarten, dass sie eine einwandfreie Software anbieten statt so einem undurchdachten System mit so vielen Fehlern, wenn sie das Teil an den Staat vermieten.

Es obliegt dem Staat es entweder vertraglich zu regeln oder aber auch es ausreichend zu prüfen.
Ich meine der Nutzen einer solchen App liegt entweder darin Daten abzugreifen oder aber auch sie staatlich zu nutzen, gab praktisch viele solcher Apps und vermutlich wurde die hier zweigleisig entwickelt.

 

[Markenprodukt]

Dachte halt echt das smudo ein stabiler typ ist. So von meiner oberflächlichen Wahrnehmung her.
Leider will er scheinbar auch nur Profit in Form von Geld daraus schlagen.
Mich enttäuscht sowas total. Er war jetzt nicht mein Idol, ich mochte auch die Musik nicht.
Man wird einfach nur noch verarscht.

 

[areiland]

@mibbio
Naja, die Luca App ist ja auch eine Gute, wenn sie schon von nem hippen Hip-Hopper beworben wird. Dagegen kann die CWA eben nicht anstinken, vor allem weil die ja vom Staat finanziert und auf die Beine gestellt wurde. Da nimmt man es eben nicht so ganz genau mit dem Datenschutz, wegen dem man so gerne auf die Barrikaden geht. Wurde ja schliesslich von nem hippen Hip-Hopper beworben, das wiegt jede Lücke und jedes Datenschutzproblem zehnfach auf.

 

[mibbio]

@areiland Schade, dass die Masse so tickt. Zumal Entwurf und Entwicklung CWA ja auch in Zusammenarbeit mit entsprechenden Fachleuten stattgefunden hat und auch der CCC nicht witklich was zu beanstanden hatte und Luca von einem (unerfahrenen?) StartUp stammt mit Smuda als Sprachrohr und mehrfach von Fachleuten auseinandergenommen wird. Aber was wissen Fachleute schon, wenn ein Promi was anderes sagt?

 

[###Zaunpfahl###]

Das genau kann die Corona Warn App eben nicht (weil sie es nicht können sollte). Es muss doch wirklich einfacher möglich sein, Kontaktnachverfolgung zu betreiben, als mit Zettelwirtschaft.

Wie schon geschrieben ist das garnicht nötig. Wichtig ist zu wissen ob du mehr oder weniger mit jemanden der positiv getestet wurde in Kontakt warst.

? Meinst du "müsste", weil aktuell muss niemand irgendwas bei der Warn App. Und wie willst du das dann sicherstellen? Dann kreuzt man halt beim Test an, nö, hab die App nicht, nichtmal n Handy. Oder dann die App-Pflicht? Ist halt alles nicht ganz so einfach, in der Gesamtschau, wie nur auf einzelne Teilaspekte geschaut.

Oder müsste... bezog mich jetzt aufs funktionieren. Bei Luca muss / müsste das Gesundheitsamt die Arbeit verrichten und bei CWA der User, sonst ist es sinnlos.
Handys setzen beide Apps voraus also das steht so nicht zur debatte.

Ich bin immer für Freiwilligkeit und Überzeugungsarbeit. Ein Zwang sollte immer das letzte Mittel sein.

 

[SIR_Thomas_TMC]

@areiland Schade, dass die Masse so tickt. Zumal Entwurf und Entwicklung CWA ja auch in Zusammenarbeit mit entsprechenden Fachleuten stattgefunden hat und auch der CCC nicht witklich was zu beanstanden hatte

https://www.computerbase.de/forum/t...njection-fuer-plausibel.2025190/post-25683082 gesehen?
Bzw. https://www.computerbase.de/forum/t...njection-fuer-plausibel.2025190/post-25683156
V.a. die Beispiele wie toll und vor allem zeitnah die staatlichen Akteure überwiegend handeln? Ich bin da grundsätzlich froh über jedes Unternehmen, das selbst was entwickelt. Das da Mio vom Staat kommen, war alles andere als sicher. Trotzdem ist die inhaltliche Kritik an den Fehlern absolut berechtigt. Das muss/sollte auch geändert werden. Geld sollte ja jetzt dafür da sein.
Mich stören die Fehler der App aber genauso, wie teilweise von oben herab hier argumentiert wird. Das sachliche Vortragen von Argumenten sollte doch schon genug Grund zum Feiern sein.

 

[snaxilian]

Das Ding auf die Luca-Entwickler abzuwälzen, halte ich nicht für zielführend.

Das auf die Gesundheitsämter (GA) abzuwälzen grenzt schon ein wenig an Victim Blaming.

Nexenio hingegen labert was von angeblicher Berücksichtigung der OWASP Top 10, die ja Injection Angriffe beinhalten. Die Filterung erfolgte erst nach melden des Bugs. Nix mit vorher. Zumal der "Fix" der Lücke darin endete, dass Mailadressen unbrauchbar wurden, Leute mit Sonderzeichen im Namen nicht korrekt erfasst wurden und einen Tag nach dem Hotfix man die Software auf GA-Seite abstürzen lassen konnte. Also die Luca-Software, nicht Excel oder Sormas.
Aber der Premiumquatsch heute, die Aufforderung an Locationbetreiber doch bitte ihren PRIVATEN Schlüssel hochzuladen, hebt das Ganze echt nochmal auf ein neues Niveau...

@SIR_Thomas_TMC meinem Puls geht es gut, danke Ändert nix daran, dass Smudo ein Lügenwicht und Glücksritter ist auch wenn er nicht der Einzige ist, der versucht aus der Pandemie Geld abzuschöpfen.
Die Liste der Falschbehauptungen oder suggerierte Andeutungen wird ja nicht kürzer. Die kryptographischen Schlüssel der GAs sind doch auch angeblich von der Bundesdruckerei signiert und Luca könne gar nicht in die Daten sehen. Tja äh... schade denn Stand heute generiert Nexenio/Luca diese Schlüsselpaare und signiert diese. Das diesen Schritt eigentlich eine vertrauenswürdige unabhängige dritte CA/PKI machen soll, ist auf der "daran arbeiten wir gerade, das kommt noch irgendwann"-Liste. Sorry aber diese App ist ein Paradebeispiel für Bananensoftware - reift beim Kunden. Kann Smudo gerne machen. Auf seinen Konzerten, die reines Privatvergnügen ist aber nicht mit Bewegungsdaten Millionen von Menschen, wo anhand von Metadaten Rückschlüsse möglich sind, die man ggf. nicht in der Hand von privaten Firmen möchte.

 

[AppZ]

Nutze die Luca App, weils einfach ist.
Und was interessieren mich irgendwelchen dicken, pickeligen Hacker die meinen, mal wieder alles Datenschutzrechtlich aufplustern zu müssen?

Datenschutz ist eh der größte Pain in the Ass und interessiert mich nicht. Sollen sie halt wissen wo ich essen war oder was auch immer.

(Überspitzt formuliert, aber inhaltlich nah an meiner Realität)

 

[snaxilian]

Sollen sie halt wissen, dass der @AppZ immer mittwochs um 18:00 im Gemeindehaus eincheckt wo sich doch mittwochs um 18:00 die anonymen Cracksüchtigen dort treffen.

Blicke mal über deinen Tellerrand hinaus. Wenn man Datenschutz von Anfang an implementiert, ist er keineswegs ein Hindernis. Wenn man nicht unnötigerweise mehr Daten erhebt als zwingend notwendig oder im besten Fall keine Daten erhebt, ist das Missbrauchspotential auch deutlich geringer.

 

[SIR_Thomas_TMC]

Das auf die Gesundheitsämter (GA) abzuwälzen grenzt schon ein wenig an Victim Blaming.

Mich hätte es gefreut, wenn du die anderen 5-7 Sätze des von dir zitierten posts von @Trefoil80 https://www.computerbase.de/forum/t...n-fuer-plausibel.2025190/page-2#post-25683149 wenigstens beiläufig als inhaltlich absolut richtig kommentiert hättest.

Das auf die Gesundheitsämter abzuwälzen ist aber auch meiner Meinung nach nicht die richtige Konsequenz. Aber selbst darin steckt zu 50% was richtiges, denn das man dort keine Excel mit Makro aufmacht, sollten man dort wissen (ich hoffe das weiß man, hab aber ganz starke Zweifel) / sollte technisch abgefangen werden.

Sorry aber diese App ist ein Paradebeispiel für Bananensoftware - reift beim Kunden. Kann Smudo gerne machen. Auf seinen Konzerten, die reines Privatvergnügen ist aber nicht mit Bewegungsdaten Millionen von Menschen, wo anhand von Metadaten Rückschlüsse möglich sind, die man ggf. nicht in der Hand von privaten Firmen möchte.

Da stimme ich dir zu, und habe deswegen die App auch nicht. Ist ja kein Zwang. Von daher, für Informierte gibt es das Problem eigentlich nicht. Das grundlegende Problem bleibt leider immer noch bestehen, ohne Papierkram, kein Freizeitvergnügen. Das ist für mich viel schlimmer als ne nicht gut programmierte App. Die lass ich halt im Regal verstauben.

 

[Sun_set_1]

Man kann wohl davon ausgehen, dass die Corona Warn wohl sogar noch deutlich kritischer Betrachtung unterlag und mehr oder minder in allen Bereichen (besser) Stand gehalten hat, als Luna.

Sollte der ein oder andere an der Stelle ggf. über seine Kritik letzten Jahres mal nachdenken, anscheinend haben die Jungs von der Telekom nicht alles verkehrt gemacht.

 

[SIR_Thomas_TMC]

Man kann wohl davon ausgehen, dass die Corona Warn wohl sogar noch deutlich kritischer Betrachtung unterlag und mehr oder minder in allen Bereichen (besser) Stand gehalten hat, als Luna.

Sollte der ein oder andere an der Stelle ggf. über seine Kritik letzten Jahres mal nachdenken, anscheinend haben die Jungs von der Telekom nicht alles verkehrt gemacht.

Absolut richtig, leider war das ganze nur unsääääglich lahmarschig, aus meiner Sicht. In Relation zu dem volkswirtschaftlichen Schaden hätte man meinetwegen 10 Apps parallel entwickeln lassen dürfen, und dann die beste/passendste ausgewählt. Wäre immer noch um den Faktor 1000+ günstiger, wenn man damit dann wenigstens einen gewissen Freizeitbetrieb (Essen, Kino, Kultur) hätte aufrecht halten können oder auch nur wenige Wochen wieder früher hätte starten können.
Also das Geld in die Corona Warn App war gut investiert. Tendenziell einfach noch zu wenig. Mehr Geld, mehr Entwickler, schnelleres Ergebnis (nicht 1:1 aber grundsätzlich schon).

EDIT: Da sehen wir aber an dem Diskussions-Verlauf hier im Forum, warum sowas in Deutschland nicht gemacht wird. Fehler oder gar Scheitern = Verriss. Erfolgreich und/oder Geld verdienen = Neid.
Das ist leider sehr oft so. Ausnahmsweise mal nicht bei der Impfstoffentwicklung (erfolgreich und Geld verdient). Aber das kommt wahrscheinlich noch.

 

[AppZ]

@snaxilian

Na und? Sie kennen dann meinen Namen, meine Adresse und den Ort an dem ich war. Wenn eine Crack-Selbsthilfegruppe LUCA anbietet, selbst schuld. Aber das Restaurant, Kino, Einzelhandel um die Ecke? Mir doch egal. Sollen sie halt wissen dass ich bei Saturn einkaufe, bei Pasta XY esse. Was solls?

So wie ich das mitbekomme, ist LUCA niorgendswo Pflicht sondern immer Bonus zum Zettel.
Du bist Datenschutzinteressiert? Nimm halt einen Zettel. Dir ists egal und du möchtest es bequem haben? Nimm halt Luca.