Abo
  • Services:
Anzeige
Mit dem Handtuch zur Konferenz? Theoretisch ist das bei der RSA möglich.
Mit dem Handtuch zur Konferenz? Theoretisch ist das bei der RSA möglich. (Bild: Jerry Gablin)

Sicherheitslücken bei Securitymesse: Ein Handtuch als Konferenz-Badge

Mit dem Handtuch zur Konferenz? Theoretisch ist das bei der RSA möglich.
Mit dem Handtuch zur Konferenz? Theoretisch ist das bei der RSA möglich. (Bild: Jerry Gablin)

Douglas Adams hätte sich gefreut: Bei der RSA 2016 kann man sich mit einem Handtuch Zutritt verschaffen. Es ist nicht die einzige Sicherheitslücke bei der diesjährigen Konferenz.

Bei der Sicherheitskonferenz RSA haben Hacker einige Schwachstellen in der Infrastruktur gefunden. Eine davon betrifft die App, die genutzt wird, um die Badges der Teilnehmer vor den Konferenzräumen und auf der Ausstellungsfläche abzuscannen. Eine andere betrifft die Badges mit RFID-Chip selbst. Im Vorfeld der Konferenz wurden Teilnehmer außerdem gebeten, ihren Twitter-Account samt Passwort auf der Webseite einzutragen.

Anzeige

Weil der RFID-Chip des Konferenz-Badges den unsicheren Mifare Ultralight C-Chip verwendet, gelang es dem Hacker Jerry Gablin, die Daten vom Badge-Chip auf den RFID-Chip eines Handtuchs aus seinem Hotel zu übertragen. Viele Hotels verwenden mittlerweile solche Chips in den Handtüchern, um die Kontrolle des Inventars zu erleichtern. Prinzipiell könnte er also leicht Kopien des Tags herstellen und für den Einlass zur Konferenz nutzen. Details zu dem Hack will er erst veröffentlichen, wenn die Konferenz vorbei ist. Das dürfte den Veranstalter freuen, denn die Tickets kosten teilweise mehrere tausend Euro.

App für Aussteller hat ein festes Passwort

Aber auch die App, die bei der Konferenz verwendet wird, hat offenbar ein Sicherheitsproblem. Aussteller verwenden ein spezielles Galaxy S4 und eine App, um Kontaktdaten der Besucher von den Badges abzufragen und sie so zum Beispiel zu einem Newsletter hinzuzufügen. Doch die App hat ein hardgecodetes Passwort, wie der Hacker Andrew Blaich von der Sicherheitsfirma Bluebox Security herausgefunden hat. "Mit diesem Passwort könnte ein Angreifer die App in den Entwickler-Modus schalten, das Gerät rooten, Daten abgreifen oder sogar Malware installieren", sagte Blaich bei The Register.

Bereits vor einigen Wochen hatte ein Feature auf der Anmeldeseite der Konferenz für Erheiterung bei den geladenen Sicherheitsexperten gesorgt: Nutzer wurden gebeten, sich mit ihrem Twitter-Account einzuloggen und dabei auch das Passwort einzugeben. Die Konferenz verwendete dabei nicht wie üblich die API von Twitter, sondern wollte den vollen Zugang haben. Jetzt gibt es eine Liste der Sicherheitsinteressierten, die freiwillig ihr Passwort zur Verfügung gestellt haben.


eye home zur Startseite
Der Held vom... 08. Mär 2016

Wobei "Rechner" und "Netz" kontextabhängig unterschiedliche Bedeutungen haben...

Peter(TOO) 05. Mär 2016

Du musst hier etwas unterscheiden: 1. Es gibt da eine Organisation welche einen Kongress...



Anzeige

Stellenmarkt
  1. Dussmann Service Deutschland GmbH, Berlin
  2. HANSA-HEEMANN AG, Rellingen
  3. IT-Dienstleistungszentrum Berlin, Berlin
  4. Dataport, Altenholz bei Kiel


Anzeige
Blu-ray-Angebote
  1. 139,99€ (Vorbesteller-Preisgarantie)
  2. 36,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  3. Mehr dazu im aktuellen Whitepaper von Bitdefender


  1. Keysniffer

    Millionen kabellose Tastaturen senden Daten im Klartext

  2. Here WeGo

    Here Maps kommt mit neuem Namen und neuen Funktionen

  3. Mesuit

    Chinesischer Hersteller bietet Android-Hülle für iPhones an

  4. Pokémon Go

    Pikachu versus Bundeswehr

  5. Smartphones

    Erste Chips mit 10-nm-Technik sind bei den Herstellern

  6. Nintendo

    Wii U findet kaum noch Käufer

  7. BKA-Statistik

    Darknet und Dunkelfelder helfen Cyberkriminellen

  8. Ticwatch 2

    Android-Wear-kompatible Smartwatch in 10 Minuten finanziert

  9. Hardware und Software

    Facebook legt 360-Grad-Kamera offen

  10. Licht

    Osram verkauft sein LED-Geschäft nach China



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Amoklauf in München: De Maizière reanimiert Killerspiel-Debatte
Amoklauf in München
De Maizière reanimiert Killerspiel-Debatte

Schwachstellen aufgedeckt: Der leichtfertige Umgang mit kritischen Infrastrukturen
Schwachstellen aufgedeckt
Der leichtfertige Umgang mit kritischen Infrastrukturen
  1. Tor Hidden Services Über 100 spionierende Tor-Nodes
  2. Pilotprojekt EU will Open Source sicherer machen
  3. Mobilfunk Sicherheitslücke macht auch Smartphones angreifbar

Core i7-6820HK: Das bringt CPU-Overclocking im Notebook
Core i7-6820HK
Das bringt CPU-Overclocking im Notebook
  1. Stresstest Futuremarks 3DMark testet Hardware auf Throttling

  1. bleibt für mich immer map24.de

    devman | 04:10

  2. Re: Microsoft will W32 Programme in Windows Store...

    Cyber | 03:53

  3. Re: Was ist an diesem Thema jetzt NEU?

    Tomar | 03:52

  4. Re: Ms macht wieder ein Fehler

    Cyber | 03:50

  5. Re: alte Prozessoren?

    plutoniumsulfat | 03:46


  1. 19:16

  2. 17:37

  3. 16:32

  4. 16:13

  5. 15:54

  6. 15:31

  7. 15:14

  8. 14:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel