zerforschung

zerforschung, 1 month ago

CanGuard ist ein Anbieter solch einer Rundum-Sorglos-Lösung für die Cannabis-Clubs. Neben Social-Club-Features werben sie auch mit Datensicherheit. Trotz diesen Versprechungen haben wir den Dunst der Stunde 💨 genutzt, uns als CSC registriert und nebenbei ein bisschen in die Entwicklungs-Tools unseres Browsers geguckt 👀

zerforschung, 1 month ago

Dabei fällt uns eine Anfrage an die CanGuard-Server auf, mit der die Mitglieder unseres Clubs abgerufen wurden:

/user/all?club=[CLUB_ID]&invitation=accepted&role=user

Bei einem Endpunkt mit "all" im Namen werden wir immer ein bisschen hellhörig 🔦👂.
Was passiert wohl, wenn man die Filter club, invitation und role einfach wegließe? 🤔
Der einfachste Weg, das herauszufinden, ist es auszuprobieren…

zerforschung, 1 month ago

😱 Tatsächlich bekommen wir als Antwort eine Liste aller Nutzer*innen, mit Name, E-Mail-Adresse, gehashtem Passwort, Geburtsdatum und Postleitzahl.

Und das war nicht die einzige Lücke, die wir gefunden haben, mehr dazu im Blogpost.

zerforschung, 1 month ago

@CyberPunker oh, natürlich. danke für den hinweis, ist gefixt.

zerforschung, 1 month ago

@atarifrosch schau mal fußnote 5 ;)

zerforschung, 1 month ago

Solch gravierende Lücken müssen schnellstmöglich geschlossen werden. Daher haben wir wie immer einen Report geschrieben und diesen an das Unternehmen, die zuständige Datenschutzbehörde und das CERT-Bund geschickt.

Schnell bekamen wir eine Eingangsbestätigung, doch bis die Lücken wirklich geschlossen waren, brauchte es mehr als eine Woche und mehrere zusätzliche Meldungen von uns. Erst dann entschied CanGuard sich, ihre Software erstmal offline zu nehmen und die Lücken damit sicher zu schließen.

zerforschung, 1 month ago

Doch hier nur CanGuard die Schuld für das Datenleck zu geben greift zu kurz: Denn dass sie so viel Daten überhaupt sammeln, liegt auch am Gesetz. Nach dem KCanG müssen Anbauvereinigungen viele Daten über ihre Mitglieder erheben: Name, Geburtsjahr, abgegebene Menge, etc.
Diese Daten müssen zudem 5 Jahre aufbewahrt und teilweise sogar an die zuständige Behörde übermittelt werden.

zerforschung, 1 month ago

Dabei sollte auch bei Cannabis-Clubs sollte Datensparsamkeit gelten und so wenig Daten wie möglich gespeichert werden müssen:
Denn Daten, die gar nicht erst gesammelt und aufbewahrt werden, können auch nicht wegkommen.

So müssten sich 🥦-Connoisseur*innen keine Sorgen um ihre Daten machen und könnten sich auf wichtigere Dinge konzentrieren.

zerforschung, 1 month ago

Wer die ganze Geschichte mit allen Details (inkl. weiter Lücken und einer genauen Timeline) nachlesen möchten, kann das auf unserem Blog tun: https://zerforschung.org/posts/canguard/

zerforschung, 1 month ago

Unsere Rechercheergebnisse haben wir mit @daniellaufer und Carla Spangenberg vom rbb geteilt, deren Artikel ihr hier lesen könnt: https://www.tagesschau.de/investigativ/kontraste/cannabis-clubs-daten-100.html

zerforschung, 9 months ago

Leider hat Rosenbauer in ihrer Software nicht genau geprüft, wer alles auf diese Daten zugreifen kann. So hatten wir plötzlich die Position von mehr als 4300 Fahrzeugen von 356 Brandbekämpfungsorganisationen von Los Angeles bis Tokyo 🌏
Wie es dazu kam und wie Rosenbauer darauf (nicht) reagiert hat, lest ihr hier: https://zerforschung.org/posts/rosenbauer/

zerforschung, 11 months ago

Um die deutsch-französische Freundschaft zu feiern, haben sich Bundesverkehrsminister Wissing und sein französischer Kollege Beaune etwas Besonderes ausgedacht:

Je Land 30.000 kostenlose Interrail-Tickets für Reisen in 🇩🇪 und 🇫🇷 für junge Erwachsene zwischen 18 und 27.

Die Tickets waren im Online-Portal schnell vergeben – doch wer ein paar technische Kenntnisse hatte, kam auch nach Ende der Registrierung noch an einen Pass.

Im Video sehen wir, wie zuerst links ein neuer Code generiert wird. Der wird dann rechts in den Browser kopiert, in dem sich daraufhin das Bestellformular des Freundschaftspasses öffnet. Dieses wird ausgefüllt und am Ende sieht man die Bestätigung, dass die Anmeldung für den Freundschaftspass erfolgreich war.

zerforschung, 11 months ago

Damit nicht genug: Die gleiche Agentur, die den Freundschaftspass umgesetzt hat, hat auch ein ganz ähnliches Projekt für die EU-Kommission entwickelt: DiscoverEU. Dabei können 18-Jährige einen kostenlosen Interrail-Pass gewinnen & Zug durch Europa fahren.

Leider haben wir auch im Portal von DiscoverEU eine Sicherheitslücke gefunden: Über die Plattform standen die Daten von rund 245.000 Registrierungen nahezu ungeschützt im Netz (siehe Screenshot im ersten Toot oben).

GIF: Stoffmaus, die facepalmed

zerforschung, 11 months ago

Wir waren fassungslos und haben die Schwachstellen natürlich gemeldet. Nach einigen turbulenten Tagen sind die Lücken jetzt gestopft und wir haben die ganze Reise hier aufgeschrieben:
https://zerforschung.org/posts/freundschaftspass-de

zerforschung, 2 years ago

Wenn sich Wissing die fehlenden Schilder nicht nur ausgedacht hat, müsste es ja Dokumente dazu geben. Also haben wir beim Ministerium nachgefragt, was dazu bekannt ist.
https://fragdenstaat.de/a/245597/