Source
r/de_EDV•
Maxopoly

Sicherheitslücke gemeldet, aber ignoriert. Was nun?

Sicherheit/Datenschutz

Servus,

ich bin Student und suche zum Spaß Sicherheitslücken. Ich habe auf einer deutschsprachigen Webseite, die in einem vielgesuchten Thema eines der Top Google Resultate ist, eine XSS Lücke gefunden. Mit dieser kann ich beliebiges Javascript ausführen für jeden der mein Profil aufruft (inklusive selbigen Schadcode in das Profil des Nutzers integrieren). Zudem lassen sich alle persönlichen Daten dieser Nutzer (Adresse, Name, Arbeitgeber etc.) auslesen.

Mit dem Gedanken von Resposible Disclosure habe ich dem Betreiber unter der einzigen Kontaktadresse vor ~3 Wochen und noch einmal vor ein Paar Tagen eine Mail geschrieben, ohne jeglich Antwort. Laut Google arbeitet der als hauptverantwortlich gelistete garnichtmehr dort, trotzdem wird die Seite relativ aktiv genutzt.

Wie sollte ich nun also weiter vorgehen? Full Disclosure? Ich habe nicht das Gefühl, dass das Kontakt zu den Betreibern wahrscheinlicher machen würde, eher nur das jemand mit schlechteren Absichten als ich das Ganze anwendet. Zudem war ich in der Kontaktaufnahme mit dem Anbieter nicht anonym genug um die Lücke nun anonym veröffentlichen zu können.

Was nun also? Interessiert sowas den Datenschutzbeauftragten?

Posted Sep 3, 2021, 10:46 AM UTC · edited

20137
GhostSierra117•

Golem und Heise haben soweit ich weiß ein Postfach für Sicherheitslücken. Wenn ein Fachmagazin anklopft ist es ggf. nochmal was anderes, auch wenn's für dich natürlich nervig ist. Für Heise kann evtl. u/iXMagazin weiterhelfen.

Full disclosure geht natürlich auch. Ob da etwas beachtet werden muss weiß ich aber nicht.

146
ctmagazinVerifiziert ✔️•

Wie u/GhostSierra117 schon geschrieben hat: Wir freuen uns sehr über solche Informationen und behandeln sie absolut vertraulich. u/johnnymetoo hat schon den richtigen Link zum anonymen Briefkasten / Kontaktformular und die Hinweise für Tippgeber gespostet, danke dafür!

Edit: Wording, zweiten Link ergänzt.

127
[deleted]•

[deleted]

3
johnnymetoo•

Hier:

https://www.heise.de/investigativ/

Siehe auch: https://www.heise.de/select/ct/2016/17/1471512888075482

36
geek_at•

Ist mir auch mal passiert. Beim Kauf einer Autowindschutzscheibe habe ich eine massive Lücke gefunden (hätte die Online Zahlung aller Kunden auf ein anderes Konto lenken können).

1. Meldung (Selbe Woche)

Habe im Geschäft gleich gemeldet und nach der Tel. des IT Verantwortlichen gefragt. Die wollte man mir nicht geben und war irgendwie grantig "Du hast uns gehackt? - NEIN aber ihr habt eine gefährliche Lücke, die man aber sehr einfach schließen kann". Dann hab ich meine Karte da gelassen, hat sich nie wer gemeldet

2. Meldung (2 Wochen vergangen)

Dann direkt zum CERT gegangen. Die haben wochenlang versucht die Besitzer zu erreichen, die haben aber nie geantwortet

3. Meldung (1 Monat vergangen)

Habe dann einen Blog post drüber geschrieben und eine Zeitung hat den veröffentlicht. Immer noch keine Meldung der Firma

4. Meldung (6 fucking Monate später)

Hatte schon aufgegeben und war mir schon wurscht. Habe dann mal zufällig auf Facebook werbung von der Firma gesehen und dort beim Chat geschrieben. Da saß dann der IT Verantwortliche, der das innerhalb von 3 min fixen konnte.

Danach hat mich der Chef der Firma auf FB angeschrieben und wollte mich anzeigen. 🤦‍♂️

​

Quellen:

107
faustianredditor•

Da saß dann der IT Verantwortliche, der das innerhalb von 3 min fixen konnte.

Ohh, also einfach nur verkackt unorganisierte Zuständigkeiten, wo du die Nachricht nicht zum richtigen Ort kriegen kannst. Immerhin verhalten sie sich letzten Endes anständig.

Danach hat mich der Chef der Firma auf FB angeschrieben und wollte mich anzeigen. 🤦‍♂️

record scratch Oh

55
MaxopolyOP•

Gruselig bis zum Ende.

"Du hast uns gehackt? - NEIN aber ihr habt eine gefährliche Lücke, die man aber sehr einfach schließen kann". Dann hab ich meine Karte da gelassen, hat sich nie wer gemeldet

Ich denke ein großer Aspekt davon ist ein Kommunikationsproblem. Der Durchschnittsmensch der in einem Büro arbeitet hat keine Ahnung was eine Sicherheitslücke überhaupt ist oder bedeutet. Die Vorstellung geht eher in die Richtung, dass so wie man eine Tür mit roher Gewalt oder Werkzeug aufbrechen kann, auch im digitalen mit speziellem Werkzeug oder fokusiertem Arbeitsaufwand offensiv 'gehackt' wird. Das Konzept von offenen Lücken als Bombe unter dem Stuhl des Chefs, die nur darauf wartet von irgendjemanden angezündet zu werden, ist zu unbekannt und auch schwierig zu erklären wenn das gegenüber nichts mit IT zu tun hat.

Begriffe wie responsible disclosure, sowie die Motivation dahinter, sind der großen Mehrheit ein Fremdwort. Bei Kontaktaufnahmen bezüglich derartigen Dingen, denken die je nachdem eher, dass du sie irgendwie über den Tisch ziehen willst, weil sie durchaus schon von Scamming gehört haben und das gefühlt erstmal da einordnen.

Ist aber natürlich auch einfach Inkompetenz, wenn man nicht zumindest die Anfrage an die IT weiterleitet, sondern ohne jegliches Verständnis direkt blockiert.

26
scorcher24•

Und deswegen hoste ich JS selber. Aber nein, man soll ja unpckg und sonstwas nutzen, weil alles an einem Ort ist ja so viel sicherer, nicht wahr?

5
CMDR_WDX•

Jetzt auf das Beispiel bezogen: du kannst in der HTML im Script-Tag ein Attribut setzen welches die Checksum der JS beinhaltet. Der Browser wird den Spaß dann nur dann ausführen wenn die Checksums übereinstimmen.

https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity

3
scorcher24•

Ich weiss. Hätte in dem Fall nix gebracht, da er die Domain hijacken konnte. Und da in dem Script jede Menge anderer Urls geladen werden, könnte man da eingreifen, ohne die Subresource Integrity zu beschädigen.

1
RuleMaster3•

Ich empfehle dir die Lücke an das BSI zu melden. Die kümmern sich dann um alles weitere und nehmen Kontakt mit dem Unternehmen auf. Wenn das BSI Unternehmen anschreibt sind die auch eher gewillt darauf zu Antworten.

Einfach dazu das Formular ausfüllen und "Mit der Bitte um Übernahme, Einleitung und Koordinierung des Coordinated Vulnerability Prozesses" auswählen.

Link: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/IT-Schwachstellen/Online\_Meldung\_Schwachstellen/schwachstellenmeldung\_node.html

42
MaxopolyOP•

Das hört sich von den bisherigen Vorschlägen am angemessensten und zielgerichtesten an. Ich werds mal versuchen.

Vielen Dank

17
[deleted]•

[deleted]

6
[deleted]•

[deleted]

2
RudolphMutch•

Du kannst dich auch z. B. per [email protected] an den CCC wenden.

39
[deleted]•

[deleted]

6
Solariener•

Ach du meine Fresse. Die Wollens doch oder?

3
[deleted]•

[deleted]

30
K4iUW3•

So so, Datenlecks machen den Datenschutzbeauftragten also glücklich.

15
[deleted]•

[deleted]

8
FuriousFurryFisting•

klingt super. Würde mich sehr glücklich machen.

3
Malossi167•

Wobei so was meiner Erfahrung nach auch eher im Sande verläuft. Da spielen die Ämter dann Ping Pong, bis sich vielleicht dann doch mal wer zuständig fühlt und dann kommt nicht viel bei rum.

2
Fuehrung•

umso öfter ich über sowas lese umso öfter denke ich, dass das einzige was hilft vollkommene veröffentlichung ist.

29
[deleted]•

Sonst lernen die Firmen es nie.

14
[deleted]•

[deleted]

7
payl0ad•

Abgesehen davon, kann man sich so einen Namen machen in der InfoSec Welt.

Protipp: Die Rechtsschutzversicherung (die man dann brauchen wird) mehrere Jahre vor der Disclosure abschließen, damit die auch wirklich greift.

Responsible Disclosure heißt dass man sich unnötigen rechtlichen Risiken aussetzt, der Vorteil ist in der Tat dass man Reputation sammelt wenn man das tut. Ob's das wert ist muss jeder selbst wissen.

8
[deleted]•

[deleted]

5
[deleted]•

[deleted]

4
justaDN•

exploiten und reich werden über darknet =)

9
[deleted]•

[deleted]

3
justaDN•

/s vergessen?

2
[deleted]•

[deleted]

3
justaDN•

hahahah okay freut mich, dich zum lachen gebracht zu haben. kuss auf die nuss

1
Schnittlauch01•

Ggf das BSI mit involvieren https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Buergerinnen-und-Buerger/buergerinnen-und-buerger.html

3
[deleted]•

[deleted]

3
Schnittlauch01•

Huch

1
[deleted]•

[deleted]

2
Schnittlauch01•

Auch nach Jahren in der IT ist Sicherheit gefühlt ein Thema voller Tretminen und Fettnäpfchen. ;)

1
gedditrerman•

Auch hier ist das beste, wie so oft: gar nichts machen. Deren Problem. Wir sind nicht die Retter der Welt. Im Gegenteil: je öfter sowas passiert desto größer die Sensibilisierung.

2
[deleted]•

[deleted]

1
90mhWXH6rr•

Setz dich mit Heise in Kontakt, am besten lasst du die den Kontakt mit der Firma machen, dann bekommst du am wenigsten ab.

2
[deleted]•

[deleted]

2
SeaBrick3522•

Verklagt werden

1
m00n_m30w•

😅 schonmal eine Sicherheitsloch an... sagen wir mal MS... gesendet? Manch ein Unternehmen zahlt 6stellige Beträge dafür, allerdings werden diese von Firmen Jahr(zehnt)e lang ignoriert.

Grund hierfür kann sein, dass das Team nicht existiert, das sich darum kümmert, dass die Lücke zu kostenaufwendig ist, um sie der Schadensabschötzung nach zu stopfen und und und....

Sehr lieb, dass du auf der Seite der whitehacker bist, aber wir werden standardmäßig ignoriert, bis jemand unsere Lücke als seine Erkenntnis für gutes Geld verkauft 😅

1
[deleted]•

[deleted]

1
[deleted]•

[deleted]

1
Luky300•

Wenn die einzige Adresse so eine „info“ Adresse ist, kann ich die Sekretärin bildlich da sitzen sehen: „Ach schon wieder so ein Spam, über die Masche hab ich letzte Woche noch was in der Bild gelesen…“ *zack Papierkorb

1
Hak5Mark•

Daten extrahieren, Sicherheitslücke veröffentlichen und die Firma Datenschutzmässig anscheissen wegen unterlassen… außer du willst bezahlt werden XD

1
[deleted]•

[removed]

1
Tazzl•

Aktiv nach Sicherheitslücken suchen ist strafbar in Deutschland

-10
MaxopolyOP•

Mein Verständnis war, dass das eher Grauzone ist solange man nicht versucht auf irgendwelche Daten zuzugreifen und/oder konkret versucht seinen Zugriff auszuweitern. Das hätte ich zumindest aus dem Wortlaut von 202a-c rausgelesen.

Link meint, dass jemand sich durchgeklagt hat und Recht bekommen hat in dem Sinne, dass es nicht strafbar ist.

Anekdote am Rande: Für Module im Rahmen von Penetrationtesting werden an meiner Uni unter anderem Kali Linux VMs verteilt und auch als Teil der Übungen Metasploit Module und ähnliches für echte Angriffe entwickelt. Das ist unter 202c auch alles klar strafbar, oder?

6
Tazzl•

Unser IT Sec Prof sagte immer dass wir keine Sicherheitslücken suchen oder Pen Tests auf random Seiten machen sollen, weil im Zweifelsfall strafbar ist. Ja in dem Link steht, dass es nicht strafbar ist, aber sobald du Daten bekommst, auch wenn nur aus Versehen, bist du dran. Und selbst wenn es nicht strafbar ist, hast du die finanziellen Möglichkeiten für einen Rechtsstreit? Würde sowas nur mit VPN machen.

Unsere Pen Tests liefen mit ausgewählten Firmen und einem Vertrag.

Metasploit Module zu erstellen ist nur strafbar wenn du vor hast, diese zu verkaufen.

Generell finde ich das Aufdecken von Sicherheitslücken gut und bei heise kannst du das ja melden, aber heise ist auch nicht vorbildlich was das angeht. Die Telefonnummer Seiten von das Telefonbuch (gehört zur heise Gruppe) hatte diese bei Google indiziert. Dadurch konnte man jede Telefonnummer rückwärts suchen, wenn man die im entsprechenden Format bei Google reingeschmissen hat. Als ich die drauf hingewiesen habe, hieß es dass das rechtlich erlaubt wäre, weil meine Nummer nicht über die klassische Rückwärtssuche findbar ist. Als ich noch Mal auf den Umstand mit Google hingewiesen habe, kam keine Antwort mehr. Seltsamerweise war das 2 Wochen später allerdings nicht mehr möglich. Ist also auch was von Wasser predigen und Wein trinken.

4
BuntStiftLecker•

So ein Unsinn.

0
abrams666•

Dieses gefährliche Halbwissen im Rechtswesen immer.Mein Halbwissen ist: die aktive Umgehung von gesicherten Inhalten ist nicht erlaubt (Kopierschutz), und zum anderen die Beeinträchtigung von laufenden Diensten. Beides wäre so nicht gegeben, allerdings gibt es noch die unsachgemäße Handhabung, die aber meines Wissens eher für Versicherungsfälle ist...

naja, man merkt, auch ich habe keine Ahnung, aber genau für solche Fälle ist ja eigentlich responsible disclosure gedacht, oder?

1