Abo
  • Services:
Anzeige
Die Bahn reagiert auf Kritik am neuen WLAN-Portal.
Die Bahn reagiert auf Kritik am neuen WLAN-Portal. (Bild: Patrik Stollarz/Getty Images)

WifionICE: Bahn schließt "vermeintliche Sicherheitslücke" in neuem WLAN

Die Bahn reagiert auf Kritik am neuen WLAN-Portal.
Die Bahn reagiert auf Kritik am neuen WLAN-Portal. (Bild: Patrik Stollarz/Getty Images)

Ein Hacker bezeichnet das neue WLAN-System der Bahn als "zusammengefrickelt" und demonstriert, wie Angreifer Nutzerdaten auslesen können. Die Bahn hat reagiert und will das Problem schnell beheben.

Die Deutsche Bahn AG will Probleme mit ihrem neuen, angeblich verbesserten WLAN beheben. Zuvor hatte ein Mitglied des Chaos Computer Clubs in Hannover Sicherheitslücken demonstriert, die es Webseitenbetreibern unter bestimmten Voraussetzungen ermöglichen können, den Standort der Nutzer auszulesen.

Anzeige

Der Sicherheitsforscher Nexus511 hatte demonstriert, dass die Anmeldeseite für das WLAN im Zug, ein sogenanntes Captive Portal, die Ausführung von Code von externen Skripten ermöglicht. Eigentlich hatte Nexus511 nur versucht, für den eigenen Bedarf ein Skript zu entwickeln, das die Anmeldung im WLAN ermöglicht, ohne dafür den Browser öffnen zu müssen.

Das neue WLAN steht allen Bahnreisenden kostenfrei zur Verfügung, ein Service, den es bislang nur in der ersten Klasse gibt. Nutzer müssen kein personalisiertes Login mehr vornehmen, sondern lediglich die allgemeinen Geschäftsbedingungen akzeptieren.

Code ist "zusammengefrickelt"

Nexus511 zeigte in seinem Blogpost, dass das System den Nutzer mit Redirects von der Domain www.wifionice.de auf das eigentliche Portal www.omboard.info leitet, dabei aber keine Tokens zur Absicherung einsetzt. Somit könnten beliebige URLs in den Header eingetragen werden. Damit könnte die Internetverbindung im Zug für alle Nutzer deaktiviert werden.

Das Portal ist in Ajax entwickelt, das eigentlich keine Ausführung von Code aus fremden Quellen zulässt. Weil der Code für das Portal aber "zusammengefrickelt" sei, schreibt Nexus511, könnten Angreifer Code in ihre Webseite einbauen, die dann automatisch per Jsonp Daten über die Nutzer abruft, etwa den GPS-Standort des Zuges, die IP- und die Mac-Adresse sowie technische Informationen über die vom Zug verwendeten Verbindungen.

Der so feststellbare Standort ist etwas genauer, als das mit Diensten wie Geo-IP möglich wäre. Fraglich ist aber, ob Webseitenbetreibern dies tatsächlich bewusst ist - und entsprechende Angriffe stattgefunden haben.

Bahn spricht von "vermeintlicher Sicherheitslücke"

Die Bahn reagierte innerhalb kurzer Zeit auf die Veröffentlichung. Noch im Laufe des Donnerstags soll eine verbesserte Version der verwendeten Software an alle ICEs, die bereits mit dem neuen System ausgestattet sind, ausgeliefert werden, wie T3N schreibt. Bis Ende des Jahres soll die gesamte ICE-Flotte auf den neuen Standard umgerüstet werden.


eye home zur Startseite
hg (Golem.de) 14. Okt 2016

Aus der Quelle (Zitat): "Die hotspot.cgi erzeugt ihrerseits einen Redirect auf genau die...



Anzeige

Stellenmarkt
  1. Dataport, Halle (Saale), Magdeburg
  2. Wolfgang Westarp GmbH, Beckum
  3. B. Braun Melsungen AG, Melsungen, Tuttlingen
  4. European XFEL GmbH, Schenefeld


Anzeige
Blu-ray-Angebote
  1. 5,94€ FSK 18
  2. 29,99€ (Vorbesteller-Preisgarantie)
  3. 23,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Blackberry Key One

    Android-Smartphone mit Hardware-Tastatur kostet viel

  2. Arrow Launcher 3.0

    Microsofts Android-Launcher braucht weniger Energie und RAM

  3. Die Woche im Video

    Angeswitcht, angegriffen, abgeturnt

  4. Hardlight VR Suit

    Vibrations-Weste soll VR-Erlebnis realistischer machen

  5. Autonomes Fahren

    Der Truck lernt beim Fahren

  6. Selektorenaffäre

    BND soll ausländische Journalisten ausspioniert haben

  7. Kursanstieg

    Bitcoin auf neuem Rekordhoch

  8. Google-Steuer

    Widerstand gegen Leistungsschutzrecht auf EU-Ebene

  9. Linux-Kernel

    Torvalds droht mit Nicht-Aufnahme von Treibercode

  10. Airbus A320

    In Flugzeugen wird der Platz selbst für kleine Laptops knapp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Limux: Die tragische Geschichte eines Leuchtturm-Projekts
Limux
Die tragische Geschichte eines Leuchtturm-Projekts
  1. Limux München prüft Rückkehr zu Windows
  2. Limux-Projekt Windows könnte München mehr als sechs Millionen Euro kosten
  3. Limux Münchner Stadtrat ignoriert selbst beauftragte Studie

Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  2. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom
  3. Intuos Pro Wacom verbindet Zeichentablet mit echtem Papier

Bundesnetzagentur: Puppenverbot gefährdet das Smart Home und Bastler
Bundesnetzagentur
Puppenverbot gefährdet das Smart Home und Bastler
  1. My Friend Cayla Eltern müssen Puppen ihrer Kinder zerstören
  2. Matoi Imagno Wenn die Holzklötzchen zu dir sprechen
  3. Smart Gurlz Programmieren lernen mit Puppen

  1. Re: Ich vermisse die Meckerer...

    motzerator | 06:24

  2. Re: sehr clever ... MS

    quasides | 05:41

  3. Re: Wenn das Gerät wenigstens BlackberryOS hätte...

    mxrd | 05:22

  4. Re: Wie soll man das verstehen?

    GenXRoad | 04:23

  5. Re: Und? Dafür sind sie da.

    bombinho | 02:06


  1. 20:21

  2. 11:57

  3. 09:02

  4. 18:02

  5. 17:43

  6. 16:49

  7. 16:21

  8. 16:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel