Abo
  • IT-Karriere:

Stewart International Airport: New Yorker Flughafen wohl ein Jahr schutzlos am Netz

Ein Flughafen bei New York lagerte seine Backups offenbar ungewollt in einer öffentlichen Cloud. Unter den Daten sollen sich E-Mails, Passwortlisten für Flughafensysteme und Personalakten befinden.

Artikel veröffentlicht am ,
Die IT des Flughafens Stewart International bei New York war nur unzureichend abgesichert.
Die IT des Flughafens Stewart International bei New York war nur unzureichend abgesichert. (Bild: Martin Wolf/Golem.de)

Die Backup-Systeme des New Yorker Flughafens Stewart International Airport waren offenbar für mehr als ein Jahr ungeschützt am Netz. Unberechtigte Personen hätten so vertrauliche Daten, Passwörter und andere Informationen einsehen können, berichtet Zdnet und beruft sich auf Informationen des Sicherheitsforscher Chris Vickery von Mackeeper. Vickery hatte die Systeme des Herstellers Air IT nach eigenen Angaben über die Suchmaschine Shodan gefunden.

Stellenmarkt
  1. Topos Personalberatung Hamburg, Nordrhein-Westfalen
  2. Oxfam Deutschland e.V., Berlin

Der Stewart International Airport liegt rund 100 Kilometer nördlich von Manhattan und wird vor allem für Charterflüge und vom Militär genutzt. Nach Angaben von Vickery agierte das ohne Passwortschutz eingebundene Backup-System "letztlich wie ein öffentlicher Web-Server". Das System soll von einem externen IT-Dienstleister installiert worden sein.

Elf Images, mehrere Hundert Gigabyte

Die im Netz verfügbaren Daten bestanden aus elf Disk-Images mit mehreren Hundert Gigabyte an Dateien. Darunter befanden sich nach Angaben von Zdnet E-Mails des Personals, Akten der Personalverwaltung, interne Memos, Gehaltsabrechnungen und eine Finanzabrechnung. Viele der Dateien sollen mit einem "Vertraulich"-Hinweis gekennzeichnet sein.

Auch Informationen der Behörde für Transportsicherheit (Transportation Security Administration) über mögliche Verstöße gegen die Sicherheitsrichtlinien durch Mitarbeiter des Flughafens sind in den Daten enthalten.

Noch problematischer könnte ein Ordner sein, der eine Liste von Nutzernamen und Passwörtern für eine Reihe von Systemen des Flughafens enthalten soll. Unklar ist, ob diese Systeme ebenfalls über das Internet erreichbar waren oder nicht. Zu den Systemen gehört auch die von Air IT bereitgestellte Infrastruktur zur Passagierverwaltung, die Flughafenmitarbeitern unter anderem Zugriff auf die Passenger Name Records der Passagiere gibt. So war es laut Zdnet theoretisch möglich, Informationen auf Boarding-Pässen zu verändern.

Das Backup wird weiter bei Shodan gelistet, wurde aber mittlerweile mit Nutzernamen und Passwort versehen. Bereits im vergangenen Jahr hatten wir über gravierende Sicherheitsprobleme bei Flugbuchungssystemen berichtet, auch auf dem 33C3 wurden die Schwachstellen thematisiert.



Anzeige
Spiele-Angebote
  1. (-81%) 3,75€
  2. 1,19€
  3. 2,99€
  4. 1,12€

Anonymer Nutzer 27. Feb 2017

... bis halt ein Sicherheitsforscher des Weges kam ... Außer ihm hat's wohl auch keinen...

fapo 26. Feb 2017

Jeder macht Fehler aber für irgendwas gibt es Tests wenn die Sicherheit getestet wird...


Folgen Sie uns
       


Teamfight Tactics - Trailer (Gameplay)

Die Helden kämpfen automatisch, trotzdem sind Dota Unerlords und League of Legends: TeamfightTactics richtig spannende Games - die Golem.de im Video ausprobiert hat.

Teamfight Tactics - Trailer (Gameplay) Video aufrufen
FPM-Sicherheitslücke: Daten exfiltrieren mit Facebooks HHVM
FPM-Sicherheitslücke
Daten exfiltrieren mit Facebooks HHVM

Server für den sogenannten FastCGI Process Manager (FPM) können, wenn sie übers Internet erreichbar sind, unbefugten Zugriff auf Dateien eines Systems geben. Das betrifft vor allem HHVM von Facebook, bei PHP sind die Risiken geringer.
Eine Exklusivmeldung von Hanno Böck

  1. HHVM Facebooks PHP-Alternative erscheint ohne PHP

In eigener Sache: Neue Workshops zu agilem Arbeiten und Selbstmanagement
In eigener Sache
Neue Workshops zu agilem Arbeiten und Selbstmanagement

Wir haben in unserer Leserumfrage nach Wünschen für Weiterbildungsangebote gefragt. Hier ist das Ergebnis: Zwei neue Workshops widmen sich der Selbstorganisation und gängigen Fehlern beim agilen Arbeiten - natürlich extra für IT-Profis.

  1. In eigener Sache ITler und Board kommen zusammen
  2. In eigener Sache Herbsttermin für den Kubernetes-Workshop steht
  3. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung

LEDs: Schlimmes Flimmern
LEDs
Schlimmes Flimmern

LED-Licht zu Hause oder im Auto leuchtet nur selten völlig konstant. Je nach Frequenz und Intensität kann das Flimmern der Leuchtmittel problematisch sein, für manche Menschen sogar gesundheitsschädlich.
Von Wolfgang Messer

  1. Wissenschaft Schadet LED-Licht unseren Augen?
  2. Straßenbeleuchtung Detroit kämpft mit LED-Ausfällen und der Hersteller schweigt
  3. ULED Ubiquitis Netzwerkleuchten bieten Wechselstromversorgung

    •  /