20161227 Sicherheitslücke für Freiflug zu Weihnachten

27.12.2016 Sicherheitslücke für Freiflug zu Weihnachten
Sorry, most articles are not available in English yet

Wo liegen die Informationen zu meinem Flug?

Vor einem Jahr haben die Staaten der EU beschlossen, wie die USA, die Daten aller (Flug-)Reisenden zu speichern. Über die sogenannten PNRs (Passenger Name Records) sollen natürlich Terrorverdächtige gefunden werden. Das ist selbst den USA nicht gelungen, wo das System schon seit Jahren existiert. (Hier geht es zu unserer Kampagne gegen PNRs.)

Aber einen Freiflug kann man sich dadurch "organisieren" - natürlich illegal. Auf der Webseite der Fluglinien müssen nur der sechstellige Buchungscode und der Nachname des Reisenden eingegeben werden. Buchungscode und Nachname sind Nutzername und Passwort - das würde jedem Sicherheitsexperten die Haare ausfallen lassen - ist aber so.

Jeden Tag werden zwischen ein bis zwei Millionen neue sechsstellige Buchungscodes vergeben, für einen Compuer eine Sache von ca. 2 Minuten, wie die Demonstration zeigt. Nun ist es leicht Umbuchungen der Reise vorzunehmen, die auch automatisch bezahlt werden, wenn die Kreditkarte hinterlegt ist. Im System würde dann stehen, dass der Reiseplan "auf Kundenwunsch hin" geändert wurde. Einbrecher können die Flugdaten auch für den ungestörten Einbruch nutzen.

Mehr dazu bei http://www.golem.de/news/fluggastdatenspeicherung-wer-wo-welche-daten-ueber-passagiere-sammelt-und-wie-1604-120344-2.html
und http://www.tagesschau.de/wirtschaft/hacker-flugbuchungen-101.html

Anmerkung: Es wurde dem EU-Parlament verprochen: Die Verwendung der PNRs durch US-Behörden sollte für EU-Bürger unter dem Schutz des Safe Harbor Abkommens stehen. Dieses wurde jedoch vom EUGh als unsicher für nichtig erklärt. Die Nachfolgevereinbarung Privacy Shield sieht dies jedoch nicht mehr vor ...
Wir sehen: Privacy Shield ist keinen Deut besser als Safe Harbor - es ist sogar schlechter!

Alle Artikel zu