21.02.2024 eID des ePerso nicht mehr sicher?
IdentitÀt lÀsst sich auch hier stehlen
Die Antwort ist JEIN, denn ein anonymer Sicherheitsforscher mit dem Namen CtrlAlt hat zwar ein Beispiel aufgezeigt, wie ein EndgerĂ€t eines Anwenders durch eine ĂŒber eine Pishing Mail erhaltene verseuchte App kompromittiert werden kann. Aber in so einem Fall gilt, wie bei allen FĂ€llen, wo Menschen aus eigener "Dummheit" auf Angriffe hereinfallen - selbst schuld.
Mit dieser schnellen Antwort wollte sich JĂŒrgen Schmidt, Leiter heise Security, nicht zufrieden geben und hat das Problem nĂ€her untersucht. Er geht vom Anspruch des eID-Verfahrens aus, den sich die Bundesregierung mal gestellt hatte und sagt: Doch der Anspruch des eID-Systems war und ist es, eine digitale Ausweisfunktion bereitzustellen, die auch dann noch sicher ist, wenn das EndgerĂ€t des Anwenders kompromittiert wurde â etwa wie hier mit einem Trojaner. Da hĂ€lt die eID ihr Versprechen als unabhĂ€ngiger Vertrauensanker nicht ein.
Im weiteren nennt er zwei Verbesserungsmöglichkeiten, eine davon lĂ€sst sich schnell anwenden. Es wĂ€re bereits eine Hilfe, wenn die Nutzer eine Liste des BSI einsehen könnten, welche Apps und welche Updates vertrauenswĂŒrdig seien und eventuell auch Hinweise zu aktuellen Fake Apps als Warnung. Das BSI prĂŒft diesen Vorschlag zur Zeit.
Der zweite Vorschlag geht ans Eingemachte. Dazu muss man wissen, dass eine ID-Feststellung in der eID App mit einer URL der Form eid://... beginnt. Solche URL-Schemes gelten bereits seit einigen Jahren nicht mehr als sicher, vor allem, wenn sich jede App, also auch ein Trojaner, dort registrieren kann. Sowohl fĂŒr iOS als auch fĂŒr Android gibt es sogenannte Universal URLs, bei denen definierte Deep-Links zum Anbieter den Aufruf einer App triggern, wie Heise Security vorschlĂ€gt. Die Antwort des BSI auf diesen Vorschlag ist wesentlich zurĂŒckhaltender, denn der Ansatz der Universal Links wĂŒrde "das Ziel der InteroperabilitĂ€t und Offenheit/Transparenz des eID Systems deutlich einschrĂ€nken".
Die eID fĂŒr den ePerso war ja vor vielen vielen Jahren aus der Taufe gehoben worden, um auch Firmen die Möglichkeit zu geben eine sichere Identifikation ihrer Nutzer sicherzustellen. Ăber Jahre gab es praktisch keine sinnvollen Anwendungen und auch heute kommen die immer noch wenig genutzten aus dem Ăffentlichen Dienst. Selbst der vor 2 Jahren eingefĂŒhrte und von uns verurteilte Zwang zur Freischaltung der eID in jedem neu ausgegebenen Personalausweis hat die Nutzerzahlen kaum beflĂŒgelt.
Wir zitieren hier gern eine Meldung aus dem Jahr 2010: Notbremse beim E-Personalausweis ziehen âDie ĂŒbereilte EinfĂŒhrung des neuen Personalausweises fĂ€llt der Bundesregierung schneller auf die FĂŒĂe als befĂŒrchtet" (Die Linke fordert Verzicht auf ePerso ) und verweisen auf ĂŒber 50 Artikel (s.u.) in denen wir uns mit dem Thema "ePerso" beschĂ€ftigen mussten. Wir geben allerdings gerne zu, dass eine verlĂ€ssliche und sichere Identifikation immerhin eine sinnvollere Anwendung als die ebenfalls staatlich eingefĂŒhrte (und inzwischen beerdigte) DE-Mail mit stĂŒckweise verschlĂŒsselten Nachrichten wĂ€re.
Mehr dazu bei https://www.heise.de/hintergrund/eID-und-AusweisApp-kritische-Sicherheitsluecke-aber-auch-gefaehrlich-9632374.html
und alle unsere Artikel zum ePerso https://www.aktion-freiheitstattangst.org/cgi-bin/searchart.pl?suche=ePerso&sel=meta
Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3z6
Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8689-20240221-eid-des-eperso-nicht-mehr-sicher.html
Link im Tor-Netzwerk: http://a6pdp5vmmw4zm5tifrc3qo2pyz7mvnk4zzimpesnckvzinubzmioddad.onion/de/articles/8689-20240221-eid-des-eperso-nicht-mehr-sicher.html
Tags: #eID #ePerso #Fingerabdruck #ElektronischerPersonalausweis #ElektronischerPass #IdentitÀtsdiebstahl #Verbraucherdatenschutz #Datenschutz #Datensicherheit #DE-Mail #Ergonomie #Datenpannen #Vertrauen #Pishing #Unschuldsvermutung #VerhaltensÀnderung #BSI #URL #App-Liste
Mozilla is aware of this attack being used in the wild against Tor Browser users.
The Persistent Storage on the USB stick will be lost if you install instead of upgrading.
