die datenschleuder. - Chaosradio - CCC

• Wie sicher ist die ausgeführte Anwendung?
• Wie sicher ist die Infrastruktur (Hardware und Netzwerk),
die dieser Anwendung zugrunde liegen.
Soll heißen: Wenn ich meine Wertsachen sicher deponieren
möchte, ist es für mich nicht nur wichtig, dass das
Schließfach sicher ist, sondern das Gebäude drum herum
sollte einen höheren Sicherheitsstandard als das Schließfach
haben.
Die Sicherheit der Anwendung
Es fällt mir schwer, im Zusammenhang mit OBSOC von
Sicherheit zu sprechen, auch wenn die Telekom mir gegenüber
nicht müde wird, das Gegenteil zu behaupten. Im
Laufe eines Jahres, habe ich immer wieder feststellen müssen,
dass meine Daten zu 0% geschützt wurden.
Es fing damit an, dass ich eines einen Webhosting-Vertrag
im OBSOC administriert habe. Der Link, der mich in
meinen Vertrag führte, produzierte folgende URL in meinem
Browser:
http://www.t-mart-web-service.de/contractview/
frameset.asp?ConPK=xyz
Wobei xyz für die Vertragsnummer des Vertrages steht,
der gerade administriert wurde.
Neugierig wie ich war, änderte ich willkürlich die Vertragsnummer
und bestätigte mit Enter die nun von mir geänderte
URL. Ergebnis: Ich bekam einen anderen Vertrag eines
anderen Kunden zum administrieren dargestellt. Exakt so,
als ob ich meinen eigenen Vertrag verwalte. Ich brauchte
also nur mein Schließfach aufschließen, eine neue Nummer
darauf schreiben und schon hatte ich Zugriff auf das
Schließfach, dessen Nummer ich auf mein Schließfach
geschrieben hatte. Wie im Märchen. Die Telekom brauchte
einen Tag, um den Fehler zu beheben.
Wenn man einen solchen Fehler findet, fängt man doch an,
sich Sorgen um seine Daten zu machen.
Ein aufmerksames Studieren der Seite, die mich in die Vertragsverwaltung
führte, brachte unter dem Link ZUKAUF
folgenden Text zu Tage:
http://www.t-mart-web-service.de/SalesFrontend/
initializeSalesfrontend.asp?intPurchaseType=2&intConPK=xyz
Da nach dem Anklicken des Links sofort der so genannte
Konfigurator gestartet wurde, und damit die Adresse nicht
mehr in der Ziel-URL auftauchte, kopierte ich den Link von
die datenschleuder
T-COM MACHTS MÖGLICH!
#83 / 2004
der Eigenschaftenseite in die Zwischenablage. Von dort aus
fügte ich den Link in die Adresszeile meines Browsers ein,
änderte die intConPK und bestätigte die Eingabe.
Was sollte Anderes passieren, als dass ich den entsprechenden
fremden Vertrag nun im Zukaufsmodul dargestellt
bekam.
Ich brauchte also nur in meinem Vertrag die Vertragsnummer
ändern, mit dem Vertrag zum Schließfachvermieter
gehen, und sagen, dass ich für diesen Vertrag etwas
dazukaufen möchte. Nicht nur, dass ich das ohne weitere
Überprüfung durfte: Durch ein noch später erklärtes
Sicherheitsloch, durfte ich auch noch direkt den Inhalt des
Schließfachs mitnehmen. Auch hier war der Fehler von der
Telekom schnell behoben.
Das waren jetzt zwei Schnitzer zuviel, als das ich der Telekom
vertraut hätte, dass die Welt jetzt in Ordnung sei und
meine Daten sicher sind.
Da der letzte Fehler im Zukaufsmodul lag, unterzog ich dieses
Modul einer gründlichen Überprüfung. Da ich durch
die Überprüfung x-mal den Prozess durchmachte, den ein
Neukunde zu durchlaufen hat – oder auch ein Telekommitarbeiter,
der Verträge für Neukunden anlegt – fiel mir
irgendwann Folgendes auf: Das System schlug mir immer
einen Benutzernamen vor, der auf dem von mir verwendeten
Nachnamen basierte. Basierte heißt, dass wenn ich z.B.
Schmidt angegeben hatte, ich nicht den Benutzer Schmidt
vorgeschlagen bekam, sondern z.B. Schmidt99. Übersetzt
hieß das: Es gab schon den Benutzer Schmidt, sowie die
Benutzer Schmidt1 – Schmidt98. Neben dem Benutzernamen
musste man sich noch ein Passwort vergeben. Die
Mindestanforderung daran war, dass es mindestens 8 Zeichen
lang sein musste und davon mindestens eine Zahl.
Stellen Sie sich nun einen unmotivierten Telekommitarbeiter,
oder einen – durch das Vertragsabschlussprozedere –
genervten Kunden vor – welche Kombinationen aus Benutzername
und Passwort mögen da herauskommen?
Ich probiere ein paar häufige Familiennamen aus und
notiere, welche Benutzer schon angelegt wurden. Ich
wechselte zur Anmeldeseite und probierte meine Liste
durch. Die Trefferquote war erschreckend hoch. Ein passenderer
Vergleich, als dass das Schließfach eine Tür aus
Pappe hatte, fällt mir nicht ein.
Als ich spaßeshalber noch ein paar beliebte Begriffe probierte,
wurde es richtig interessant. Den Benutzern Telekom1
mit dem Passwort telekom1 und Internet2 mit dem
17
17