Hallo, @rki_de. Ich habe dann also heute einen QR-Code für ein digitales Impfzertifikat in der Apotheke erhalten. Dieser liess sich auch problemlos in die Apps "#CovPassApp" und @coronawarnapp importieren, die ich jetzt verwenden kann, um meinen Impfschutz nachzuweisen.
Ob beim shoppen, im Restaurant oder am Flughafen. So weit, so gut.
Aber offenbar ist das kein Public/Private Key-Verfahren. Ich habe es mal getestet: Wenn ich den zur Kontrolle gedachten QR-Code vorzeige, dann kann ich beim Scannen mit einem anderen Telefon den Code importieren.
Aber offenbar ist das kein Public/Private Key-Verfahren. Ich habe es mal getestet: Wenn ich den zur Kontrolle gedachten QR-Code vorzeige, dann kann ich beim Scannen mit einem anderen Telefon den Code importieren.
Heisst: Ich brauchte gar nicht das ausgedruckte Zertifikat, um meinen Impfstatus vom Telefon meiner Frau in mein Telefon zu importieren. Ohne Sicherheitsabfrage, ohne Freigabe auf meinem Telefon, *zack* einfach da.
Heisst auch: Jedem, dem ich den Code wohlmeinend zeige, um meinen Impfstatus nachzuweisen, könnte statt einer lesenden Kontrollapp auch meinen Impfstatus einfach importieren. Und ich würde es nicht merken. Sicher, mein Name und Geburtsdatum sind gespeichert.
Aber das macht es nicht wirklich besser, wenn der Code bei einer einfachen Kontrolle "entführt" werden kann. Dann sind meine persönlichen Daten geklaut mitsamt dem Impfstatus. Und wo, ausser vielleicht am Flughafen, wird denn der Personalausweis dazu noch kontrolliert?
Das kann doch so nicht gemeint sein, das ist failure by design...und es wäre ja einfach, mit einem public key QR-Code den Impfstatus sicher nachzuweisen, ohne ihn zum Import verwenden zu können.
Bitte sagt mir, dass ich irgendwo einen riesigen Denkfehler habe.
Bitte sagt mir, dass ich irgendwo einen riesigen Denkfehler habe.
Ping @chaosupdates @netzpolitik_org @heiseonline @heisec @tagesschau @zeitonline @spiegelonline @jensspahn @BMG_Bund
Ping @AnonNewsDE @LarsWienand
Da es hier viel Resonanz und Erklärungen gab: danke!
Ich verstehe, dass man sich offenbar bewusst so entschieden hat und die Kontrolle der Identität zwingend dazu gehört.
Da diese aber in der Realität oft nicht stattfindet, halte ich es weiter für problematisch.
Ich verstehe, dass man sich offenbar bewusst so entschieden hat und die Kontrolle der Identität zwingend dazu gehört.
Da diese aber in der Realität oft nicht stattfindet, halte ich es weiter für problematisch.
• • •
Missing some Tweet in this thread? You can try to
force a refresh
