Nach missbräuchlichen Check-ins: Luca-App soll mit Signaturen sicherer werden
Das Einchecken anderer Personen über die Luca-App soll erschwert werden. Zum Trollen des Systems hat das Peng-Kollektiv eine Webseite namens Luci-App gestartet.

Missbräuchliche Check-ins über die Luca-App sollen künftig erschwert werden. "Wenn eine Telefonnummer verifiziert wird, wird eine Signatur erzeugt und dem Client zurückgegeben", sagte Patrick Hennig, Chef der Luca-App-Firmen Nexenio und Culture4Life, am Dienstag im Gespräch mit Golem.de. Bei jedem Check-in müsse diese Signatur dann angeben werden. Damit will Nexenio verhindern, dass Check-ins mit gefakten Telefonnummern und Personendaten bei den Gesundheitsämtern ausgewertet werden.
- Nach missbräuchlichen Check-ins: Luca-App soll mit Signaturen sicherer werden
- Luci-App als "netter Gag"
Mit einer eigens geschriebenen Webanwendung hat das Künstlerkollektiv Peng am Dienstag auf das Authentifizierungsproblem bei der Luca-App aufmerksam gemacht. Über die Webseite Luci-App.de lassen sich vorgegebene Personen in beliebige Veranstaltungen per QR-Code einchecken. Auswählen lassen sich "Alle Ministerpräsidenten", "Vier Popmusiker", "25 Hans Mustermänner" und "Nur mich (anonym)". Dann kann mit dem Smartphone der QR-Code einer Veranstaltung oder eines Ortes eingescannt werden.
Falsche Daten über API einschleusen
Zur Begründung heißt es: "Mit unserer Luci App kannst du beliebig oft bei Luca einchecken. Wer und wo du bist, kannst du völlig frei wählen. Das geht, weil die Luca App nicht sicher gebaut wurde. Und wenn die Luca Macher diese Lücke schließen wollen, müssen sie ihr Anonymitätsversprechen brechen. Denn Filtern kann ja nur, wer reingucken kann. Nix reingucken. Nix filter. Alles klar."
Möglich ist dieser Missbrauch, weil die Telefonnummer nur Client-seitig geprüft wird. Wer den Javascript-Code verändert, kann über die Luca-API über den Webclient auch falsche Telefonnummern angeben. Dem Peng-Kollektiv zufolge werden aber de facto kein Check-ins vorgenommen. "Wir haben gezeigt, dass man theoretisch die Luca App mit Datenmüll fluten kann. Dadurch wird deutlich, dass man Luca mit ein paar Zeilen Codeänderungen kaputtmachen könnte."
Gesundheitsämter prüfen Signatur
Hennig will dieses Problem nun über die Signatur beheben. Das sei mit der Berliner Datenschutzbehörde so vereinbart worden. Bis Mitte Mai solle das neue Konzept über ein Update der App umgesetzt werden. "Bei den Gesundheitsämtern wird die Signatur geprüft", sagte Hennig. Wenn diese nicht vorhanden sei, werde der Datensatz nicht angezeigt. Es sei weiterhin nicht geplant, im Backend jeden Check-in-Vorgang einer Telefonnummer zuzuordnen.
Ebenfalls sei nicht vorgesehen, Check-ins in entfernten Orten per Geo-Koordinaten zu verhindern. Das stehe nicht im Verhältnis zum Zweck der Luca-App. Erste Einsätze des Systems in Nordfriesland hätten brauchbare Daten geliefert. "Da stand nicht einmal Mickey Mouse drin", sagte Hennig.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Luci-App als "netter Gag" |
- 1
- 2
Könnte möglich sein.
Oh, wurde direkt gelöscht, dann lasse ich die Vermutung natürlich weg. War mir nicht...