Abo
  • Services:

WifionICE: Bahn schließt "vermeintliche Sicherheitslücke" in neuem WLAN

Ein Hacker bezeichnet das neue WLAN-System der Bahn als "zusammengefrickelt" und demonstriert, wie Angreifer Nutzerdaten auslesen können. Die Bahn hat reagiert und will das Problem schnell beheben.

Artikel veröffentlicht am ,
Die Bahn reagiert auf Kritik am neuen WLAN-Portal.
Die Bahn reagiert auf Kritik am neuen WLAN-Portal. (Bild: Patrik Stollarz/Getty Images)

Die Deutsche Bahn AG will Probleme mit ihrem neuen, angeblich verbesserten WLAN beheben. Zuvor hatte ein Mitglied des Chaos Computer Clubs in Hannover Sicherheitslücken demonstriert, die es Webseitenbetreibern unter bestimmten Voraussetzungen ermöglichen können, den Standort der Nutzer auszulesen.

Stellenmarkt
  1. über duerenhoff GmbH, Raum Frankfurt
  2. Hanseatisches Personalkontor, Region Bremen

Der Sicherheitsforscher Nexus511 hatte demonstriert, dass die Anmeldeseite für das WLAN im Zug, ein sogenanntes Captive Portal, die Ausführung von Code von externen Skripten ermöglicht. Eigentlich hatte Nexus511 nur versucht, für den eigenen Bedarf ein Skript zu entwickeln, das die Anmeldung im WLAN ermöglicht, ohne dafür den Browser öffnen zu müssen.

Das neue WLAN steht allen Bahnreisenden kostenfrei zur Verfügung, ein Service, den es bislang nur in der ersten Klasse gibt. Nutzer müssen kein personalisiertes Login mehr vornehmen, sondern lediglich die allgemeinen Geschäftsbedingungen akzeptieren.

Code ist "zusammengefrickelt"

Nexus511 zeigte in seinem Blogpost, dass das System den Nutzer mit Redirects von der Domain www.wifionice.de auf das eigentliche Portal www.omboard.info leitet, dabei aber keine Tokens zur Absicherung einsetzt. Somit könnten beliebige URLs in den Header eingetragen werden. Damit könnte die Internetverbindung im Zug für alle Nutzer deaktiviert werden.

Das Portal ist in Ajax entwickelt, das eigentlich keine Ausführung von Code aus fremden Quellen zulässt. Weil der Code für das Portal aber "zusammengefrickelt" sei, schreibt Nexus511, könnten Angreifer Code in ihre Webseite einbauen, die dann automatisch per Jsonp Daten über die Nutzer abruft, etwa den GPS-Standort des Zuges, die IP- und die Mac-Adresse sowie technische Informationen über die vom Zug verwendeten Verbindungen.

Der so feststellbare Standort ist etwas genauer, als das mit Diensten wie Geo-IP möglich wäre. Fraglich ist aber, ob Webseitenbetreibern dies tatsächlich bewusst ist - und entsprechende Angriffe stattgefunden haben.

Bahn spricht von "vermeintlicher Sicherheitslücke"

Die Bahn reagierte innerhalb kurzer Zeit auf die Veröffentlichung. Noch im Laufe des Donnerstags soll eine verbesserte Version der verwendeten Software an alle ICEs, die bereits mit dem neuen System ausgestattet sind, ausgeliefert werden, wie T3N schreibt. Bis Ende des Jahres soll die gesamte ICE-Flotte auf den neuen Standard umgerüstet werden.



Anzeige
Blu-ray-Angebote
  1. (u. a. John Wick, Sicario, Deepwater Horizon, Die große Asterix Edition, Die Tribute von Panem)

hg (Golem.de) 14. Okt 2016

Aus der Quelle (Zitat): "Die hotspot.cgi erzeugt ihrerseits einen Redirect auf genau die...


Folgen Sie uns
       


AMD Athlon 200GE - Test

Der Athlon 200GE ist ein 55 Euro günstiger Chip für den Sockel AM4. Er konkurriert daher mit Intels Celeron G4900 und Pentium G5400. Dank zwei Kernen mit SMT und 3,2 GHz sowie einer Vega-3-Grafikeinheit schlägt er beide Prozessoren in CPU-Benchmarks und ist schneller in Spielen, wenn diese auf der iGPU laufen.

AMD Athlon 200GE - Test Video aufrufen
Apple Watch im Test: Auch ohne EKG die beste Smartwatch
Apple Watch im Test
Auch ohne EKG die beste Smartwatch

Apples vierte Watch verändert das Display-Design leicht - zum Wohle des Nutzers. Die Uhr bietet immer noch mit die beste Smartwatch-Erfahrung, auch wenn eine der neuen Funktionen in Deutschland noch nicht funktioniert.
Ein Test von Tobias Költzsch

  1. Smartwatch Apple Watch Series 4 mit EKG und Sturzerkennung
  2. Smartwatch Apple Watch Series 4 nur mit sechs Modellen
  3. Handelskrieg Apple Watch und anderen Gadgets drohen Strafzölle

WLAN-Standards umbenannt: Ein Schritt nach vorn ist nicht weit genug
WLAN-Standards umbenannt
Ein Schritt nach vorn ist nicht weit genug

Endlich weichen die nervigen Bezeichnungen für WLANs chronologisch sinnvollen. Doch die Wi-Fi Alliance sollte noch einen Schritt weiter gehen.
Ein IMHO von Oliver Nickel

  1. Wi-Fi 6 WLAN-Standards werden für besseres Verständnis umbenannt
  2. Wifi4EU Fast 19.000 Kommunen wollen kostenloses EU-WLAN
  3. Berlin Bund der Steuerzahler gegen freies WLAN

Künstliche Intelligenz: Wie Computer lernen
Künstliche Intelligenz
Wie Computer lernen

Künstliche Intelligenz, Machine Learning und neuronale Netze zählen zu den wichtigen Buzzwords dieses Jahres. Oft wird der Eindruck vermittelt, dass Computer bald wie Menschen denken können. Allerdings wird bei dem Thema viel durcheinandergeworfen. Wir sortieren.
Von Miroslav Stimac

  1. Innotrans KI-System identifiziert Schwarzfahrer
  2. USA Pentagon fordert KI-Strategie fürs Militär
  3. KI Deepmind-System diagnostiziert Augenkrankheiten

    •  /