20210528 Neue Probleme mit Luca App

28.05.2021 Neue Probleme mit Luca App
Sorry, most articles are not available in English yet

"Wollen Sie der Quelle der Datei vertrauen?"

Und wieder hat es die Luca App erwischt - durch eine neu entdeckte Sicherheitslücke in der dieser App könnten Verschlüsselungstrojaner in die Gesundheitsämter transpotiert werden. "Glücklicherweise" gibt es bei den meisten Gesundheitsämtern nur lokale Datenbestände, so dass es nicht zum Super-Gau der (nicht-existierenden) deutschen Corona-Datenbank kommen kann.

Durch die oder besser eine der Sicherheitslücke/n beim Check-In können nicht nur die persönlichen Daten ausspioniert werden, damit könnten dann ganze Gesundheitsämter lahmgelegt werden. "Aktivieren Sie diese Inhalte nur, wenn Sie der Quelle der Datei vertrauen" – das könnte das Letzte sein, was ein Gesundheitsamtsmitarbeiter sieht, bevor all seine Dateien verschlüsselt werden, schreibt die Zeit.

Diese Warnung gibt Excel immer dann aus, wenn die automatische Prüfung in der Microsoft-Software Auffälligkeiten erkennt. Und die Luca App soll ja angeblich eine Quelle sein, der man vertrauen kann.

Ein "Glück" wäre es dann, wenn die Verschlüsselung nur diesen PC mit der Excel-Datei trifft. Ist das Gerät bereits Teil der Software Sormas X, die z.Zt. (also 1,5 Jahre nach Corona) in den Ämtern implementiert wird, dann sind die Ämter untereinander vernetzt. Welche Teile dann von dem Angriff betroffen sein können, wäre eine spannende Frage ...

Gibt es keinen Schutz, warum ist so ein Angriff nicht abzuwehren? Was in Excel passiert ist eine "CSV-Injection". Excel interpretiert Textinformationen, die mit einem "=" beginnen als Formeln und versucht sie auszuführen, bestenfalls nach der oben beschriebenen Warnung - und schon ist es passiert.

Immer wieder die Luca App?

Wir hatten schon vor Wochen über eine Lücke berichtet und auch der Regensburger IT-Experte Markus Feilner hat sich kürzlich mit einem Offenen Brief an Stadtspitze und Stadtrat gewandt und vor gravierende Sicherheitsmängeln bei Schlüsselanhängern gewarnt. Schlüsselanhänger zur Luca-App in fünfstelliger Anzahl für Menschen, die keine Handys mögen oder keine besitzen haben Städte quer durch die Republik gekauft. Wie Regensburg-Digital berichtet, ist aber völlig unklar, ob diese Schlüsselanhänger jemals funktioniert haben. Der Sprecher der AG KRITIS, eine Arbeitsgruppe von Experten, die sich mit dem Schutz kritischer Infrastrukturen beschäftigt, spricht angesichts der Probleme mit den Schlüsselanhängern von „defekt by design“.

13 von 16 Bundesländer kauften die Lizenzen der Luca App. Die Einnahmen aus Steuergeld für die Firma Nexenio beträgt bisher (Anfang Mai) rund 25 Millionen Euro.

Mehr dazu bei https://www.zeit.de/digital/2021-05/luca-app-gesundheitsaemter-hackerangriff-risiko-kontaktverfolgung-coronavirus
und https://www.regensburg-digital.de/warnen-sie-ihre-buergerinnen-und-buerger-vor-der-luca-app/12052021/
und https://de.wikipedia.org/wiki/Luca_(App)

Kommentar: RE: 20210528 Neue Probleme mit Luca App

Mobil+sicher.de schreibt dazu auf ihrer Webseite:
Mit einer genialen Aktion hat das Peng!-Kollektiv Anfang Mai gezeigt, wie anfällig die Kontaktverfolgungs-App luca für Falschangaben ist. Nun stellt sich heraus, dass mit ihr außerdem Schadsoftware in Gesundheitsämter eingeschleust werden kann.Der zugrundeliegende Fehler ist schon lange bekannt.
... lange bekannt und nichts gemacht ...

Merwan, 30.05.21 06:21