Thread by @HonkHase

#LucaApp: Sicherheitslücke nährt weitere Zweifel an Luca-System

"In der Bar eingecheckt mit Luca? Durch eine Schwachstelle konnten auch Unbefugte erfahren, wo sich Nutzer aufhalten."

Sicherheitslücke #LucaTrack via @JakobStruller & @evawolfangel /1
zeit.de/digital/datens…

"Der #CCC fordert, die App nicht länger zu verwenden." /2

"trotz Corona-Pandemie bald wieder ein normales Leben möglich sein. Das ist das Versprechen der Macher hinter der Luca-App und des Luca-Schlüsselanhängers. Doch die Daten waren offenbar nicht immer gut gesichert. Durch eine Schwachstelle in der Software des Luca-Systems..." /3

"soll es möglich gewesen sein, auszulesen, wann und wo Personen mit dem Schlüsselanhänger eingecheckt hatten. Damit hätten Angreifer Bewegungsprofile erstellen oder einzelne Personen in Echtzeit verfolgen können." /4

"Die Lücke wurde von einer Gruppe unabhängiger IT-Expertinnen und Experten entdeckt und in einer Analyse, die ZEIT ONLINE vorab vorlag, dokumentiert." /5
lucatrack.de/LucaTrack%20Pr…

"Laut der Gruppe, die sich selbst #LucaTrack nennt, war es mit einfachen Mitteln möglich, die Software, die Luca selbst zur Registrierung und zum Scannen der QR-Codes anbietet, so zu manipulieren, dass alle besuchten Orte einer bestimmten Person ausgelesen werden konnten." /6

"Alles, was man für den Missbrauch der Daten benötigte, war ein Foto des QR-Codes, der auf dem Anhänger aufgedruckt ist." /7

"Minimale Programmierkenntnisse seien ausreichend gewesen, um die Lücke auszunutzen, sagte #LucaTrack-Mitglied @rvnstn /8

"Damit lässt sich ein Programm schreiben, das dem Angreifer in Echtzeit mitteilt, wo sich ein Nutzer gerade aufhält." /9

"In einem Video zeigen er, die Software-Entwicklerin @bkastl und weitere ungenannte Mitstreiter, wie sich in wenigen Sekunden die Bewegungshistorie eines Nutzers auf einer Karte visualisieren lässt, wenn dessen QR-Code bekannt ist." /10

https://twitter.com/bkastl/status/1382056373823868932

"Auch andere, beispielsweise Stalker, hätten die Lücke ausnutzen können, so @rvnstn. Dazu hätten sie nur einmal unbemerkt den Anhänger einer Person fotografieren müssen." /11

"Daraufhin hätte man "30 Tage in die Vergangenheit schauen und alle künftigen Check-ins dieser Person in Echtzeit verfolgen" können, sagte er." /12

"Potentiell sei eine solche Schwachstelle auch für #Geheimdienste oder #Strafverfolgungsbehörden interessant. "Eine Lücke, die systembedingt vorhanden ist, kann auch von legalen Mächten missbraucht werden", so @rvnstn" /13

"Erst vor wenigen Tagen hatte der innenpolitische Sprecher der CDU-Fraktion Baden-Württemberg laut der Deutschlandfunk-Korrespondentin Katharina Thoms vorgeschlagen, Demonstrationsteilnehmer per Luca-App zu registrieren..." /14

https://twitter.com/mediathoms/status/1381592999726039041?s=20

"Der #CCC fordert eine "Bundesnotbremse" für #LucaApp /15
ccc.de/de/updates/202…