Hin und wieder sollte man auch der Wissenschaft Vertrauen schenken
Sicherheitslücke : Zweifel an Tracing-Apps
• Von Sonja Jordans
• -Aktualisiert am 13.06.2020-07:06
Wissenschaftler aus Rhein-Main haben eine Schwachstelle im Sicherheitssystem der Corona-Tracing-Apps gefunden. Durch die Lücke lassen sich sensible persönliche Daten einsehen und verändern.
Ist die Technologie, die hinter Corona-Tracing-Apps steckt, wie sie auch von der Bundesregierung in Auftrag gegeben worden sind, womöglich doch nicht so sicher wie gedacht? Wissenschaftler der Technischen Universität Darmstadt (TU), der Universität Marburg und der Universität Würzburg haben anhand praktischer Versuche herausgefunden, dass bislang nur theoretisch bekannte Risiken tatsächlich mit gängigen technischen Mitteln ausgenutzt werden können. Demnach könne ein Angreifer detaillierte Bewegungsprofile von Infizierten erstellen und unter Umständen die Betroffenen identifizieren. Zum anderen könnten die Kontaktinformationen manipuliert werden, was die Genauigkeit und Zuverlässigkeit des Kontaktnachverfolgungssystems beeinträchtigen könne.
Das Problem liege im sogenannten Google-Apple-Protokoll (GAP), einer Schnittstelle zum Betriebssystem. Sie diene, laienhaft ausgedrückt, dazu, dass App und Betriebssystem miteinander Daten austauschen. Das Protokoll ist im Betriebssystem der jeweiligen Handys installiert, wie Bernd Freisleben, Professor für Mathematik und Informatik an der Philipps-Universität Marburg, erläutert. Als Ausgangspunkt für die Forschungen der IT-Sicherheitsexperten dienten Berichte über mögliche Datenschutz- und Sicherheitsrisiken von GAP. Freisleben und seinen Kollegen ist es aber gelungen, diese theoretischen Risiken innerhalb von zwei Wochen in der Praxis nachzuweisen.
Bluetooth-Daten manipulierbar
Dazu nutzten die Wissenschaftler einen Code, der jenem, der in den Betriebssystemen von Apple und Google verwendet wird, sehr ähnlich ist. Heraus kam: GAP ist offenbar anfällig für die Erstellung von Bewegungsprofilen. Außerdem seien sogenannte Relay- oder Wurmloch-Angriffe möglich, wodurch Angreifer falsche Kontaktinformationen herstellen könnten. Dadurch könnten unter anderem die Daten Infizierter dupliziert werden. Angreifer könnten die sogenannten Bluetooth-Benutzer-IDs, die von einer Kontaktnachverfolgungs-App erzeugt werden, sammeln und zu Orten umleiten, obwohl sich die Person, die hinter den Daten steckt, dort nie aufgehalten hat. Den Forschern gelang es, Bluetooth-IDs zwischen zwei 40 Kilometer voneinander entfernten Städten zu übertragen.
Außerdem war es ihnen möglich, in einem bestimmten Gebiet die Bewegungen einzelner Personen detailliert zu rekonstruieren. Zwar brauche es dazu technische Hilfsmittel, sagte Freisleben. Aber man müsse auch sagen, dass es Telekommunikationsunternehmen oder anderen Konzernen, die über entsprechende Daten verfügten, jetzt schon möglich sei, Bewegungsprofile zu erstellen.
Das Experiment der Forscher zeige, dass Nachbesserungsbedarf bestehe, was Sicherheit und Datenschutz der Protokolle betreffe. Zudem sehen es die Forscher aus Darmstadt, Marburg und Würzburg kritisch, dass die deutsche App nur mit Hilfe der von den beiden amerikanischen Konzernen gelieferten Betriebssysteme funktioniere. Die Gefahr, dass die Unternehmen dadurch Zugriff auf medizinische relevante Daten der hiesigen Nutzer erhalten könnten, sei nicht auszuschließen.
Ansonsten kann ich dir nur sagen, habe ich in Markus weitaus mehr Zutrauen als in Armin.
Vergesst unseren Peter nicht, auch wenn das Partei Buch etwas ungünstig ist.
Und zum App: Ihr habt Sorgen, im LK Güterloh und LK Warendorf interessieren bestimmt andere Dinge des täglichen Lebens im Moment mehr.
Ich nutze das APP einfach und wenn ich positv geteset würde, würde ich es auch eintragen.
Google, Apple und Konsorten wissen eh mehr von uns als wir uns denken.
Und mein Autohersteller weiß immer, wenn mein Auto vorm Puff steht.
Soll er doch, ist mir ganz egal
Gruß von der Elbe.
Piepenreimers
PS
Ich habe gerade gewesen, dass Aldi Nord und Aldi demnächst Aluhüte im Angebot haben. Und die Woche drauf gibt es durchsichtige Bretter und Löschmittel für brennende Luftballons
..................Ich zweifel stark folgenden Punkt an:................Angeblich 12 Mio downloads ok. Müssten aber mindestens 45Mio werden um eine gewisse digitale Herdenimmunität zu erreichen und das auch nur dann wenn dann JEDER Downloader brav seine positive Diagnose in die App einscannt.
Ich zweifel stark folgenden Punkt an: Das durch einen Download irgendeine Herdenimmunität erreicht wird.
Ich zweifel stark folgenden Punkt an: Das du die Funktion der App nicht verstanden hast.
Ich zweifel stark folgenden Punkt an: Das du eine sachdienliche Diskussion suchst.
ähem muss mich revidieren:
Zitat von hindenburg
Reicht das um Infektionsketten aufzuhalten???
Darum gehts bei der App doch gar nicht!!!
Es geht um eine Möglichkeit informiert zu werden...
Zitat von vino
oh Mann es wurde doch schon (auch Dir) erklärt
er ist infiziert, weiß es noch nicht und begegnet anderen
dann wird die Infektion festgestellt, er trägt es in die App ein
und alle anderen mit App denen er begegnet ist werden über die App informiert, dass sie einen Kontakt hatten...
ist doch nicht soo schwer
was hier teilweise geschrieben wird... unglaublich
Ich zweifel stark folgenden Punkt an: Das du die Funktion der App doch verstanden hast!
oh Mann es wurde doch schon (auch Dir) erklärt
er ist infiziert, weiß es noch nicht und begegnet anderen
dann wird die Infektion festgestellt, er trägt es in die App ein
und alle anderen mit App denen er begegnet ist werden über die App informiert, dass sie einen Kontakt hatten...
Ihr seid immernoch beim kleinen Einmal-Eins und wahrscheinlich auch noch stolz darauf, dass ihr das Prinzip der App verstanden habt.
Aber ich habs nun auch schon 2x erklärt, bin einen Schritt weiter und habe dargelegt, was an dem Prinzip an sich nicht stimmt --> Ich zweifel stark folgenden Punkt an: "er trägt es in die App ein" und wenns zu wenige tun, dann ist die App genauso nutzlos, wie wenn die Zahl der Downloader nicht eine gewisse Schwelle erreicht.
Angeblich 12 Mio downloads ok. Müssten aber mindestens 45Mio werden um eine gewisse digitale Herdenimmunität zu erreichen und das auch nur dann wenn dann JEDER Downloader brav seine positive Diagnose in die App einscannt. Und nochmal damits diesmal auch richtig verstanden wird: Die App alleine ohne dass man seine pos. Diagose da einscannt ist nutzlos, genauso wie die pos. Diagnose ohne App für alle anderen nutzlos ist. Beides muss zusammen kommen. Und dass dies so häufig geschieht dass die App nen Nutzen bringt, das ist alles extrem utopisch!
Ich meine überschlagt es doch mal selbst. Mal angenommen die Hälfte der Bevölkerung lädt sich die App runter (ist wirklich extrem unwahrscheinlich) und von denen dann scannt nur die Hälfte ihre positive Diagnose in die App ein. Was bleibt am Ende davon übrig? Die Hälfte der Hälfte und das sind schon fast best-case Szenarien. Reicht das um Infektionsketten aufzuhalten??? Ich bezweifle es sehr stark.
Wenn jemand positiv ist und dann in seine App diese Info reinmacht (mit dem o.k. des Gesundheitsamtes), dann werden alle informiert, die in den letzten 14 Tagen länger in der Nähe des Infizierten waren.
FALLS sie die App später als vor 14 Tagen installiert haben, dann zählt nur die Zeit seit der Installation, ob sie da länger in der Nähe des Infizierten waren.
Wer also z.B. vor einer Woche in der U-Bahn gefahren ist und versämt hat, die Adressen mit dem Mitreisenden auszutauschen hat höchstens über die App die Chance, informiert zu werden über ein bestehendes Risiko für einen selbst und für die eigene Famile/das eigene Umfeld
nun postet ich nix mehr in dem Thread egal was noch für ein Stuss von BvK kommt.
Nur so zur Info:
Ja "chaturbaten" und "LH Live Inspector" spielen... Wer in so kurzer Zeit seiner Forenexistenz soviele Einträge hat, soillte verantwortungsvoller mit umgehen. My two cents.
In diesem Forum darf jeder soviel posten wie er möchte solang es den Lusthaus Regeln entspricht.
Evlt. solltest du mal dein eigenes Brett vorm Kopf versuchen ab zubekommen.
Just My 2 cents.
Du bist doch ein Forentroll. wWenn man sieht was du in deinen Post von dir gibst.
Ab und an mal was brauchbares...
__________________
"Ich habe viel Geld für Alkohol, Weiber und schnelle Autos ausgegeben. Den Rest hab ich einfach nur verprasst." George Best, britische Fußball-Legende.
Ich hab noch anderes um die Ohren als 24/7 auf Fehler andere zu lauern und dann denjenigen aufs Butterbrot schmieren zu können als Erfolgserlebnis und/oder sämtliche Threads auswendig zu lernen weil irgendwer wo das geschrieben hat was ich dann jemand zum 2 mal fragt und die Welt anscheinend davon untergeht.
Ja "chaturbaten" und "LH Live Inspector" spielen... Wer in so kurzer Zeit seiner Forenexistenz soviele Einträge hat, soillte verantwortungsvoller mit umgehen. My two cents.
Ich frage nach um zu verstehen wie sie funktioniert.
Ist anscheinend nicht gewünscht. also auch für mich hier: Ich klinke mich aus dem Thread hiermit aus.
Wie oft soll man denn ein und dieselbe Frage noch beantworten?
Warum greifst Du vehement eine App an, die Du nicht nutzen musst? Welche Laus läuft Dir da über die Leber?
Du wolltest wohl eher schreiben die du nicht nutzen möchtest....
Ich frage nach um zu verstehen wie sie funktioniert.
Ist anscheinend nicht gewünscht.
Soll ich Dir jetzt auf jeden entsprechenden Beitrag von Dir schreiben, dass Lusthaus. Live Quatsch ist und ich viel lieber pimpere, als gucke
Ich pimpere auch eher live. Aber eh ich ich mir eine App installiere( für ein gutes Gewissen) und (vermeintlich sicher damit ) aushäusig vögeln gehe und was einfangen. Schaue ich lieber Chaturbate und vögel ab und an zuhause..
Sehr Schwach Wenn man innerhalb keine 30 Minute nicht zu dem steht was man gepostet hat und es löscht
Egal! Ich klinke mich aus dem Thread hiermit aus.
@ BvK Vergess es einfach.
Ich hab noch anderes um die Ohren als 24/7 auf Fehler andere zu lauern und dann denjenigen aufs Butterbrot schmieren zu können als Erfolgserlebnis und/oder sämtliche Threads auswendig zu lernen weil irgendwer wo das geschrieben hat was ich dann jemand zum 2 mal fragt und die Welt anscheinend davon untergeht.
__________________
"Ich habe viel Geld für Alkohol, Weiber und schnelle Autos ausgegeben. Den Rest hab ich einfach nur verprasst." George Best, britische Fußball-Legende.
Wie oft denn noch ein und dieselbe Frage in dreifach gedrehter Form? Wurde dir und Hindenburg jetzt wirklich oft genug wiederholt dargestellt...
Ja du wirst informiert. Weitestgehend anonym. In deinem Beispiel nach 12+2= 14 Tagen!
Einmal noch, Vino erklärt es ganz gut - aufs einfachste runtergebrochen:
Zitat von vino
oh Mann es wurde doch schon (auch Dir) erklärt
er ist infiziert, weiß es noch nicht und begegnet anderen
dann wird die Infektion festgestellt, er trägt es in die App ein
und alle anderen mit App denen er begegnet ist werden über die App informiert, dass sie einen Kontakt hatten...
ist doch nicht soo schwer
was hier teilweise geschrieben wird... unglaublich
Ich hatte vorher gedacht. Man steht mit einem Infizierten in der U-Bahn oder beim Bäcker an und
ich werde unter 5 Min informiert.
@¡Latinas! #40
Wenn der weiß, dass er infiziert ist, dann darf er auch nicht mehr beim Bäcker anstehen.
Auf den ersten Blick klingt deine Antwort logisch.
Aber er ist in den 14 Tagen Inkubationszeit läuft mir am 12 Tag über den Weg und meldet sich dann 2 Tage später in der App als infiziert.
Schlägt dann bei mir der Alarm an oder nicht?
__________________
"Ich habe viel Geld für Alkohol, Weiber und schnelle Autos ausgegeben. Den Rest hab ich einfach nur verprasst." George Best, britische Fußball-Legende.
Ich denke, dass das mit der "Freiwilligkeit" der App auch ihr Haupt-Schwachpunkt ist.
Ich gehe davon aus, dass denjenigen SDL, die in den vergangenen Monaten-aus welchen Gründen auch immer- "illegal" weitergemacht haben, ihre Gesundheit und die deutschen/lokalen Gesetze ziemlich unwichtig sind (genau wie jenen, die AO anbieten) und die App nicht installieren werden. Die anderen dagegen, die die App installiert haben, werden in dem Moment, in denen die App ihnen mitteilt, dass sie Kontakt mit einem Infizierten hatten, vor dem Dilemma stehen, entweder die Mitteilung zu ignorieren und zu hoffen, dass es schon gut gehen wird, oder, wie es ja der Intention der App entspricht, sich zum Arzt begeben, einen Termin für die Testung ausmachen, den Test dann machen und auf das Ergebnis warten und solange bis dieses Ergebnis kommt, sich in "freiwillige Quarantäne" begeben und keine Gäste mehr zu empfangen- da kommen unabhängig vom Testergebnis leicht 3 Tage Verdienstausfall zusammen. Und falls der Test positiv ausfällt, ist es immer noch ihrer Freiwilligkeit anheimgestellt, ob sie diesen Befund in die App eingibt und so dann ihre Kunden der letzten 14 Tage warnt.... da wird schon viel Idealismus von der SDL erwartet..
Mit "Sim rein" meinte ich, dass das Gerät mal für ein paar Tage mein Haupthandy wird.
Ja, das hatte ich durchaus verstanden. Ist aber unnötig. Du zeigst einfach die App am Zweithandy, gänzlich ohne SIM - Du musst je niemandem auf die Nase binden, dass das das Zweithandy ist.
Dann sparst Du Dir die Komplikation, dass Ruflisten, SMS etc. auf zwei Handies verteilt sind. Auch den Ärger mit WhatsApp
Weshalb so kompliziert? Weshalb ein Wechsel der SIM?
Ein jungfräuliches Smartphone ohne SIM reicht dafür, im heimischen WLAN die App zu installieren.
Mit "Sim rein" meinte ich, dass das Gerät mal für ein paar Tage mein Haupthandy wird.
Zitat von wüstenwind
(was schon irgendwie ein Verstoß gegen die Freiwilligkeit der App wäre)
Die Freiwilligkeit ist nirgendwo gesetzlich so festgeschrieben. Und selbst wenn, dann dürfte das unter Hausrecht und Vertragsfreiheit fallen.
Zitat von wüstenwind
Meine Meinung: Die App sollte sowieso nur dann einen grün Status auswerfen, wenn sie am Tag mindestens einmal online gehen kann.
Die App zeigt an, wann die letzte Risikoberechnung erfolgt sind.
Das bringt aber auch wenig. Der Austausch der IDs erfolgt auf Betriebssystemebene und die App kommt nicht an die empfangenen Schlüssel ran. Es wird auch keine Information über deren Anzahl ausgegeben. D.h., die App tappt über die soziale Aktivität ihres Nutzers komplett im Dunkeln.
__________________
Moralische Entrüstung besteht in den meisten Fällen aus 2% Moral, 48% Hemmungen und 50% Neid (François de La Rochefoucauld).
Weshalb so kompliziert? Weshalb ein Wechsel der SIM?
Ein jungfräuliches Smartphone ohne SIM reicht dafür, im heimischen WLAN die App zu installieren.
Wer das Ding ums Verrecken nicht auf seinem "normalen" Gerät installieren will oder kann - falls man ohne App nicht ins Restaurant rein darf (was schon irgendwie ein Verstoß gegen die Freiwilligkeit der App wäre) - das würde ich dann auch als Notlösung ansehen. Darf nur nicht unmittelbar vorher gemacht werden, denn sonst gibt es keinen "grün" Status.
Meine Meinung: Die App sollte sowieso nur dann einen grün Status auswerfen, wenn sie am Tag mindestens einmal online gehen kann.
Mal gucken wie lange App-Verweigerer noch App-Verweigerer bleiben wenns ans Feierabendbier in der Stammkneipe geht...
Noch schlimmer als Leute, die alles ignorieren, sind die, die unbrauchbare Mittel wählen und sich dann sicher fühlen.
Wenn ich sich verscheißern lassen will, dann kann man das natürlich tun.
Da kommt das Zweithandy mit laufender App in die Schublade und falls die App auf dem Ersthandy wirklich anschlägt, dann kommt die Sim in das Zweithandy und schon habe ich wieder eine weiße Weste. Ich kann sogar zeigen, dass die App die letzten 14 Tage komplett durchgelaufen ist. Nach spätestens 14 Tagen kann ich problemlos auf mein Haupthandy zurückwechseln. Da sind die kritischen ID garantiert raus und ich habe auch dort wieder eine weiße Weste.
Wahrscheinlich würde eine Fiebermessung beim Reingehen mehr Sicherheit bringen.
__________________
Moralische Entrüstung besteht in den meisten Fällen aus 2% Moral, 48% Hemmungen und 50% Neid (François de La Rochefoucauld).
Mein Arbeitgeber schlägt auch vor sie zu installieren.
11 Mio Downloads.
Da sind auch etliche Zweithandys dabei. (Dienstlich und privat) Auch Leute die die App testen und wieder herunterschmeißen.
Die 15 Minuten bis die App greift.
Ich hatte vorher gedacht. Man steht mit einem Infizierten in der U-Bahn oder beim Bäcker an und
ich werde unter 5 Min informiert.
Soll jeder halten wie er er will ob er sie nutzt. Die 60% Nutzer die als sinnvoll angesehen wird,werden nicht erreicht werden.
Es steht ca. 50 zu 50 ob man sie nutzten will.
__________________
"Ich habe viel Geld für Alkohol, Weiber und schnelle Autos ausgegeben. Den Rest hab ich einfach nur verprasst." George Best, britische Fußball-Legende.
Vermutlich ist es so, dass diese Downloads nicht uniform über alle Altersschichten der Bevölkerung verteilt sind. Dass z.B. im Altersheim unterdurchschnittlich viele die App haben. Und dass bei Jüngeren die App häufiger zu finden sein wird.
Gut wäre es im Hinblick auf den Nutzen der App, wenn in der Gruppe diejenigen mit mehr sozialen Kontakten die App häufiger installiert wäre (ich vermute, dass das auch tatsächlich so ist, dass die jüngeren mehr soziale Kontakte pflegen und auch häufiger die App installiert haben).
Und so jemand würde weil er so fair ist ohnehin nicht mehr draußen rumlaufen die nächsten 14 Tage. Was ist also der eigentliche Nutzen der App?
oh Mann es wurde doch schon (auch Dir) erklärt
er ist infiziert, weiß es noch nicht und begegnet anderen
dann wird die Infektion festgestellt, er trägt es in die App ein
und alle anderen mit App denen er begegnet ist werden über die App informiert, dass sie einen Kontakt hatten...
ist doch nicht soo schwer
was hier teilweise geschrieben wird... unglaublich
__________________ Che fantastica storia è la vita!!!
Der Fair`ness halber wegen...
Gegenfrage: Wieso solltest du das Handy "nicht" auf krank schalten?
Das ist doch der Punkt. Jemand der ohnehin nie vor hat seine Corona-Diagnose in seine App zu laden, wird sich die App an sich nicht herunter laden. Und der Rest der beides tun würde ist einfach in der Minderheit, somit erreicht die App nie eine kritische Nutzer-Schwelle. Und so jemand würde weil er so fair ist ohnehin nicht mehr draußen rumlaufen die nächsten 14 Tage. Was ist also der eigentliche Nutzen der App?
Selbst wenn man die technischen Fragen mal außen vor lässt, die App macht schon vom "Nutzerverhalten" her gesehen überhaupt gar keinen Sinn und der große Aufwand mit a) die App runter zu laden und b) seine App mit seiner Diagnose zu koppeln plus die restlichen Probleme die die App mit sich bringt, die ich weiter unten aufgezählt habe, macht aus der App eine ziemliche Luftnummer.
Sehr guter Witz, hätte ich jetzt von H. nicht gedacht!
Die App wurde vom ChaosComputerClub abgesegnet und gilt allgemeinhin als sauber. Wegen einer Fake-App die nächste Wahl zu riskieren ist Dummfug, das macht nicht mal der dümmste Politiker. Das ist eher der Punkt, nicht dass wir fremden Leuten (Politikern, Bänkern, Ärzten, dem Metzger ums Eck oder sonstwem vertrauen sollten). Ein Witz ist das daher nicht und auch nicht naiv. Es wäre eher naiv der App insofern zu vertrauen, dass sie überhaupt einen Nutzen bringt. Verwanzt ist sie sehr wahrscheinlich nicht. Oder anders ausgedrückt, wer würde schon eine App verwanzen die eh nur eine Minderheit der Menschen runterlädt? Da gibts sicher viel bessere Wege.
Wenns rauskommt dass da was drin versteckt ist, davor hat jeder Politiker mit Grips doch Angst (siehe Diesel-Skandal, die Kacke am Schuh wird man so schnell nicht mehr los).
Sehr guter Witz, hätte ich jetzt von H. nicht gedacht!
__________________
es grüßt
der Szarte *** Wer andern in die Möse beißt, ist böse meist! ***
Login
Zweifel an Tracing-APPS
