Zweifel an Tracing-APPS

[joe4565]

Hin und wieder sollte man auch der Wissenschaft Vertrauen schenken

Sicherheitslücke : Zweifel an Tracing-Apps

• Von Sonja Jordans
• -Aktualisiert am 13.06.2020-07:06

Wissenschaftler aus Rhein-Main haben eine Schwachstelle im Sicherheitssystem der Corona-Tracing-Apps gefunden. Durch die Lücke lassen sich sensible persönliche Daten einsehen und verändern.
Ist die Technologie, die hinter Corona-Tracing-Apps steckt, wie sie auch von der Bundesregierung in Auftrag gegeben worden sind, womöglich doch nicht so sicher wie gedacht? Wissenschaftler der Technischen Universität Darmstadt (TU), der Universität Marburg und der Universität Würzburg haben anhand praktischer Versuche herausgefunden, dass bislang nur theoretisch bekannte Risiken tatsächlich mit gängigen technischen Mitteln ausgenutzt werden können. Demnach könne ein Angreifer detaillierte Bewegungsprofile von Infizierten erstellen und unter Umständen die Betroffenen identifizieren. Zum anderen könnten die Kontaktinformationen manipuliert werden, was die Genauigkeit und Zuverlässigkeit des Kontaktnachverfolgungssystems beeinträchtigen könne.
Das Problem liege im sogenannten Google-Apple-Protokoll (GAP), einer Schnittstelle zum Betriebssystem. Sie diene, laienhaft ausgedrückt, dazu, dass App und Betriebssystem miteinander Daten austauschen. Das Protokoll ist im Betriebssystem der jeweiligen Handys installiert, wie Bernd Freisleben, Professor für Mathematik und Informatik an der Philipps-Universität Marburg, erläutert. Als Ausgangspunkt für die Forschungen der IT-Sicherheitsexperten dienten Berichte über mögliche Datenschutz- und Sicherheitsrisiken von GAP. Freisleben und seinen Kollegen ist es aber gelungen, diese theoretischen Risiken innerhalb von zwei Wochen in der Praxis nachzuweisen.

Bluetooth-Daten manipulierbar

Dazu nutzten die Wissenschaftler einen Code, der jenem, der in den Betriebssystemen von Apple und Google verwendet wird, sehr ähnlich ist. Heraus kam: GAP ist offenbar anfällig für die Erstellung von Bewegungsprofilen. Außerdem seien sogenannte Relay- oder Wurmloch-Angriffe möglich, wodurch Angreifer falsche Kontaktinformationen herstellen könnten. Dadurch könnten unter anderem die Daten Infizierter dupliziert werden. Angreifer könnten die sogenannten Bluetooth-Benutzer-IDs, die von einer Kontaktnachverfolgungs-App erzeugt werden, sammeln und zu Orten umleiten, obwohl sich die Person, die hinter den Daten steckt, dort nie aufgehalten hat. Den Forschern gelang es, Bluetooth-IDs zwischen zwei 40 Kilometer voneinander entfernten Städten zu übertragen.
Außerdem war es ihnen möglich, in einem bestimmten Gebiet die Bewegungen einzelner Personen detailliert zu rekonstruieren. Zwar brauche es dazu technische Hilfsmittel, sagte Freisleben. Aber man müsse auch sagen, dass es Telekommunikationsunternehmen oder anderen Konzernen, die über entsprechende Daten verfügten, jetzt schon möglich sei, Bewegungsprofile zu erstellen.
Das Experiment der Forscher zeige, dass Nachbesserungsbedarf bestehe, was Sicherheit und Datenschutz der Protokolle betreffe. Zudem sehen es die Forscher aus Darmstadt, Marburg und Würzburg kritisch, dass die deutsche App nur mit Hilfe der von den beiden amerikanischen Konzernen gelieferten Betriebssysteme funktioniere. Die Gefahr, dass die Unternehmen dadurch Zugriff auf medizinische relevante Daten der hiesigen Nutzer erhalten könnten, sei nicht auszuschließen.

Quelle: https://www.faz.net/aktuell/rhein-ma...-16812694.html

[wüstenwind]

Der Zusammenhang ist mir durchaus bewusst. Das ist eine nationale App. Das funktioniert ziemlich sicher noch nicht mal mit einem französischen Kollegen, der die französische App installiert hat.
War ein doofes Beispiel von mir mit den chinesischen Kollegen. Streiche "chinesisch". Einfach nur "Kollegen".

Es geht mir nur darum:
Erhalte ich als infizierte hiesige Person die Möglichkeit, die eigene Infektion über mehrere Smartphones mitzuteilen?

[¡Latinas!]

Zitat von wüstenwind

Nicht unbedingt auf allen identisch - wenn ich in der Geschäftsbesprechung mit chinesischen Kollegen das geschäftliche Smartphone dabei habe, min privates Smartphone liegt aber am Arbeitsplatz - dann bekomme ich die Warnung über einen infizierten Kontakt in der Besprechung natürlich nur auf dem geschäftlichen Smartphone.

Die bekommst du in dem Fall wahrscheinlich gar nicht. Denn der chinesische Kollege wird die deutsche App nicht installiert haben. Selbst wenn, dann hat er keinen Code zum eingeben, sollte er daheim positiv getestet werden. In dem Falle wird er dich über die Firma aber wahrscheinlich ohnehin direkt benachrichtigen.

Viel spannender wird doch, wie viele sich wirklich melden, wenn sie eine Warnung per App bekommen.

[¡Latinas!]

Zitat von Coolman2

Ich erinnere mich gelesen zu haben, dass die angekündigte APP auf IPhone und iPad installierbar ist.
Allerdings soll es eine Beschränkung geben, ab welcher Version (IOS),
oder auch Geräteversion, die APP installiert werden kann.

Smartphone unter Android, da habe ich keine Ahnung!

Ja. Die App setzt auf Schnittstellen auf, die von iOS oder Android geliefert werden.

Bei iOS musst du auf 13.5 updaten, was es nicht für ältere Geräte gibt. Bei Android brauchst du meines Wissens mindestens Version 6.

[wüstenwind]

Es ging mir nicht um die Android/iOS Version. Das ist klar, dass das erfüllt sein muss um die App auf dem Smartphone zu installieren.
Android ab 6, iOS ab 13.5 gilt für die "staatliche" App.

[joe4565]

Zitat von wüstenwind

Installieren lässt sich die App natürlich zunächst mal auf allen Geräten.

Ich erinnere mich gelesen zu haben, dass die angekündigte APP auf IPhone und iPad installierbar ist.
Allerdings soll es eine Beschränkung geben, ab welcher Version (IOS),
oder auch Geräteversion, die APP installiert werden kann.

Smartphone unter Android, da habe ich keine Ahnung!

Welche personenbezogenen Daten verarbeitet die Corona-Warn-App?

Grundsätzlich sammelt die Corona-Warn-App so wenige Daten wie möglich. Wichtig ist dabei, dass die App keine Informationen erfasst, die es dem Robert-Koch-Institut oder anderen Nutzern ermöglichen, auf Ihre Identität, Ihren Gesundheitsstatus oder Ihren Standort zu schließen.

Die App erfasst folgende Daten:

Zugriffsdaten
• IP-Adresse
• Datum und Uhrzeit des Abrufs (Zeitstempel)
• übertragene Datenmenge (bzw. Paketlänge)
• Meldung über erfolgreichen Abruf
• anfragende Domain
• verwendetes Betriebssystem
• Gerätetyp (Smartphone), der Hersteller und das Modell Ihres Smartphones (z. B. „iPhone 7“ oder „Galaxy“)

Begegnungsdaten
• Datum des Kontakts
• Dauer des Kontakts
• Bluetooth-Signalstärke des Kontakts

Gesundheitsdaten
• Wenn die Risiko-Ermittlung erkennt, dass Sie möglicherweise Kontakt zu einer Person hatten, die sich mit dem Corona-Virus infiziert hat
• Wenn Sie einen Test registrieren
• Wenn Sie ein positives Testergebnis teilen

Quellle

[wüstenwind]

Manche haben vielleicht ein dienstliches/vom Arbeitgeber gestelltes Smartphone und ein privates.
Andere haben zusätzlich ein "Fickhandy".

Installieren lässt sich die App natürlich zunächst mal auf allen Geräten. Und gewarnt werde ich dann auch grundsätzlich auf jedem der Geräte. Nicht unbedingt auf allen identisch - wenn ich in der Geschäftsbesprechung mit chinesischen Kollegen das geschäftliche Smartphone dabei habe, min privates Smartphone liegt aber am Arbeitsplatz - dann bekomme ich die Warnung über einen infizierten Kontakt in der Besprechung natürlich nur auf dem geschäftlichen Smartphone.

Wenn aber bei mir bei einem Test rauskommen sollte, dass ich positiv bin - funktioniert die TAN die man erhält auf mehreren Geräten? Oder kann man mehr als eine TAN erhalten?

[joe4565]

Ein ebefalls lesenswerter Artikel:

Entwicklung der TU Darmstadt : Corona-App mit eingebautem Fake-News-Filter
• Von Astrid Ludwig
• -Aktualisiert am 20.05.2020-09:25 FAZ

Forscher der Technischen Universität Darmstadt haben eine App zur Bekämpfung von Covid-19 entwickelt. Sie soll mehr können, als nur vor Ansteckungsgefahren zu warnen.
Es klingt nach der Lösung, die alle schon seit Wochen suchen. Und ein bisschen wie die Grimmsche Geschichte vom Hasen und dem Igel, der „Ich bin schon da“ ruft. Die Forscher des Profilbereichs Cybersicherheit der TU Darmstadt jedenfalls halten sich für Igel. Sie haben eine App für die Rückverfolgung von Corona-Infektionen entwickelt, die Nutzer bald auf ihr Smartphone herunterladen können. Cybersicherheit ist ein Schwerpunkt der Darmstädter Universität. Rund 300 Forscher, darunter 31 Professoren und viele internationale Partner, arbeiten seit 2008 in dem vom Bund und Land geförderten Zentrum für Daten- und IT-Sicherheit.

„Darmstadt hat weltweit einen Namen“, sagt Ahmad-Reza Sadeghi, Sprecher des Profilbereichs.

Schon vor der Pandemie haben Sadeghi und sein Team an sogenannten kontextbasierten Anwendungen geforscht. Dabei erkennt beispielsweise ein Smartphone, von wo der Nutzer seine Daten abruft. Daheim muss er kein Passwort eingeben, von unterwegs dagegen schon. Diese Technik nutzen die TU-Forscher auch für ihre Trace-Corona-App. Das Team arbeitet dabei mit internationalen Partnern zusammen – dem Intel Collaborative Lab, dem Wormser Unternehmen Kobil, das eine sichere Kommunikations-Plattform entwickelt hat, und der University of California in San Diego, wo die App im Mai erprobt wird. „In Kalifornien sind die Datenschutz-Gesetze ähnlich streng wie in Deutschland“, sagt Sadeghi.

„Keine Konkurrenz zur offiziellen Tracing-App“

Die App soll europaweit und in den Vereinigten Staaten zur Verfügung stehen. Eine Konkurrenz zu der offiziellen Tracing-App, deren Entwicklung die Bundesregierung vorantreibt, sei sie nicht, sondern eine „Alternative“, betont Sadeghi.
In Darmstadt bündelt sich Fachwissen für solche Entwicklungen. „Wir haben unsere Hilfe angeboten“, sagt der Professor. Angenommen habe sie bisher keiner. Große Konzerne wie Google oder Apple einzubinden, davon rät der Computerwissenschaftler wegen deren ohnehin schon übergroßen Datenmacht ab. Privatheit und Datenschutz seien wichtig, damit die Menschen Vertrauen hätten und sich freiwillig eine solche App herunterladen, die im Hintergrund auf ihrem Smartphone mitläuft. „Wir sind eine neutrale Uni, keine Lobbyisten. Wir wollen forschen, nicht verkaufen“, so Sadeghi.

Die von den TU-Wissenschaftlern mitentwickelte, unentgeltliche Anwendung arbeitet auf anonymer Basis. Sie gleicht Infizierte und ihre Kontakte ab und warnt diejenigen, die sich über eine bestimmte Zeit in einem bestimmten Abstand zu einem am Covid-19 Erkrankten aufgehalten haben. Die Kontakte von App-Nutzern werden anonym und dezentral über verschlüsselte Kontakt-Tokens erfasst, die laut Sadeghi sicher sind, nicht zurückverfolgt werden können und die Privatheit schützen. „Die Nutzer behalten die Kontrolle über ihre Daten.“ Wer die App herunterlade, müsse keine Informationen über sich preisgeben, wenn er nicht wolle. Sie sei zudem leicht bedienbar. „Man muss nur einen Button drücken und eine Tan eingeben, wenn man positiv getestet wurde.“

Plattform für Fragen, Informationen und Service

Gleichzeitig wollen die Darmstädter mit ihrer App eine sichere Kommunikationsplattform für Fragen, Informationen und Service rund um das neue Coronavirus bieten. „Wer infiziert ist oder Kontakt hatte zu einem Erkrankten, der hat Ängste und viele Fragen etwa zur Quarantäne“, sagt Sadeghi. Die Forscher haben sich im Lauf ihrer App-Entwicklung dazu mit Kollegen in China und Amerika, Spanien und Deutschland ausgetauscht. Sie nutzen auch Informationen wie beispielsweise groß angelegte Umfragen aus Spanien zur Dynamik der Pandemie und wie die Bevölkerung sie wahrnimmt. App-Nutzer sollen nach einer Kontaktwarnung nicht allein gelassen werden, wie Sadeghi hervorhebt. „Wir wollen Orientierungshilfe geben und die Möglichkeit, sich sicher und privat mit Experten wie Ärzten, Apotheken oder Krankenhäusern auszutauschen, Fragen zur Quarantäne stellen oder vielleicht anonym an Umfragen teilnehmen zu können.“

Fake News und Verschwörungstheorien, wie sie massenhaft im Netz kursieren, wollen die Darmstädter außen vor halten. Die Trace-Corona-App soll Nutzer dagegen zu vertrauenswürdigen Informationsquellen führen. Grundlage ist ein sicherer Browser, der in die App integriert ist und Fake-News-Webseiten erkennen soll. Unterbunden haben die TU-Experten nach eigenen Angaben auch das Einstreuen von verfälschten Signalen über Bluetooth, die die Genauigkeit des Tracing-Systems stören könnten.
Doch ist die App der Darmstädter Forscher auch kompatibel mit anderen Tracing-Programmen? Für Ahmad-Reza Sadeghi ein wichtiger Punkt: „Unser System ist interoperabel, das heißt, es erlaubt anderen Tracing-Apps, an die serverbasierte Plattform anzudocken.“ Der Professor ist zuversichtlich, dass die Trace-Corona-App noch im Mai aufs Handy geladen werden und so zur Eindämmung der Pandemie beitragen kann.

Quelle: https://www.faz.net/aktuell/rhein-ma...-16775611.html