Nach wie vor ungeschützte Zertifikatsausstellungsinterfaces zu finden

Wir fanden bei unseren Recherchen weiterhin funktionierende Webinterfaces von zwei Nicht-EU-Ländern. Wir haben die dortigen CERTs informiert, nach wie vor sind die Interfaces jedoch komplett ungeschützt online. Auch andere Personen haben diese Interfaces inzwischen gefunden und es wurden bereits Screenshots auf Twitter veröffentlicht.

Im Code der Webinterface-Anwendung war bis vor wenigen Tagen eine Beispielkonfiguration mit einem voreingestellten Passwort zu finden. Das Passwort ist gehasht, daher ist es nicht trivial möglich, das Passwort herauszufinden. Es ist aber denkbar, dass sich das Passwort mit einem Brute-Force-Angriff knacken lässt. Wir fanden ein offenes Webinterface eines weiteren Nicht-EU-Landes, das offenbar mit dieser Beispielkonfiguration geschützt ist. Ob das Standardpasswort dort funktioniert, konnten wir nicht prüfen.

In der Liste der gültigen Ausstellerzertifikate, die von Apps zur Prüfung von Impfzertifikaten genutzt werden kann, wurde das entsprechende nordmazedonische Zertifikat am Freitag entfernt. Auch in der CovPassCheck-App des Robert Koch-Instituts werden demnach diese Zertifikate nicht mehr als gültig angezeigt. Allerdings besteht das Problem weiterhin für die Zertifikate, die von anderen Stellen signiert wurden.

CovPassCheck-App zeigt falsche Impfnachweise weiterhin als gültig an

So werden nach wie vor das französische und polnische Adolf-Hitler-Zertifikat von der CovPassCheck-App als gültig angezeigt. Auch ein vom Robert Koch-Institut signiertes Zertifikat, das als Inhalt einen finnischen Text, der offenbar für den Verkauf von gefälschten Zertifikaten über den Messenger Wickr wirbt, wird weiterhin als gültig angezeigt.

Die in Deutschland verantwortlichen Behörden haben bislang auf unsere Anfragen nicht oder nur ausweichend geantwortet. Das Robert Koch-Institut hat unsere Fragen nicht beantwortet und uns ans Bundesgesundheitsministerium verwiesen.

Das Gesundheitsministerium schrieb uns: "Wir haben eine Lösung gefunden, um alle gefälschten Zertifikate sperren zu können." Man werde jedoch keine Details des Sperrverfahrens kommunizieren.

Wir haben beim Gesundheitsministerium erneut nachgefragt und darauf hingewiesen, dass die CovPassCheck-App weiterhin offensichtlich falsche Zertifikate als gültig anzeigt. Auf diese erneute Nachfrage haben wir bislang keine Antwort erhalten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Gefälsche Impfzertifikate: Impfzertifikatsausstellung ungeschützt im Netz
  1.  
  2. 1
  3. 2


bw71236196231 03. Nov 2021

Man entfernt unsichere Default pw. Ja. Aber er entfernt auch den Zwang zur auth. Also...

Mandri 02. Nov 2021

... Wahrscheinlichen auf den netten Vermarkter des krassen StartUps mit dem man schön...

fabiwanne 02. Nov 2021

Nein. Es gibt diverse Webseiten die weiter falsche Zertifikate ausstellen. Die jetzt in...



Aktuell auf der Startseite von Golem.de
Entwickler
ChatGPT könnte Google-Job mit 183.000 Dollar Gehalt kriegen

Google hat ChatGPT mit Fragen aus seinem Entwickler-Bewerbungsgespräch gefüttert. Die KI könne demnach eine Einsteigerposition erhalten.

Entwickler: ChatGPT könnte Google-Job mit 183.000 Dollar Gehalt kriegen
Artikel
  1. Politische Ansichten auf Google Drive: Letzte Generation mit Datenschutz-Super-GAU
    Politische Ansichten auf Google Drive
    Letzte Generation mit Datenschutz-Super-GAU

    Die Aktivisten der Letzten Generation haben Daten von Unterstützern mitsamt politischer Meinung und Gefängnisbereitschaft ungeschützt auf Google Drive gelagert.

  2. Windkraft-Ausbauplan: Scholz will vier bis fünf neue Windräder pro Tag
    Windkraft-Ausbauplan
    Scholz will vier bis fünf neue Windräder pro Tag

    Die Energiewende in Deutschland soll durch einen massiven Ausbau der Windkraft-Anlagen vorangetrieben werden. Bundeskanzler Scholz will Tempo machen.

  3. Telekom-Internet-Booster: Hybridzugang der Telekom mit 5G ist verfügbar
    Telekom-Internet-Booster
    Hybridzugang der Telekom mit 5G ist verfügbar

    Die 5G-Antenne der Telekom hängt an einem zehn Meter langen Flachbandkabel. Die zugesagte Datenrate reicht bis 300 MBit/s im Download.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Logitech G915 Lightspeed 219,89€ • ASUS ROG Strix Scope Deluxe 107,89€ • Gigabyte B650 Gaming X AX 185,99€ • Alternate Weekend Sale • MindStar: be quiet! Dark Rock 4 49€, Fastro MS200 2TB 95€ • Mindfactory DAMN-Deals: Grakas & CPUS u. a. AMD Ryzen 7 5700X 175€ • PCGH Cyber Week [Werbung]
    •  /