SZ titelt "Sicherheitslücke...in Flugzeuge einszeigen ohne zu zahlen" -

ANZEIGE

XT600

Erfahrenes Mitglied
16.03.2009
22.375
1.998
ANZEIGE
Amadeus könnte ihre Systeme allerdings sichern indem man Systeme gegen massenweise Anfragen einbaut (soweit ich weiß macht Checkmytrip das beispielsweise schon) und indem man eine weitere Information über die Buchung verlangt (z.B. Zielort, Airline, Vorname, Geburtsmonat, etc...).

Wird das nicht im Artikel vorgeschlagen? Ist wohl zuviel Aufwand für ein GDS aus den 70ern? Andererseits sollte man nicht vergessen, dass die Airline Buchungssysteme lange vor Internet und Smartphone zuverlässig eine geordneten WELTWEITEN Flugbetrieb zuliessen. Das ist auch eine Leistung!
 
Zuletzt bearbeitet:

Worldtraveler42

Erfahrenes Mitglied
15.02.2015
3.885
36
MRS
Wird das nicht im Artikel vorgeschlagen?

Den Teil des Artikels stelle ich ja auch nicht in Frage. Wenn man Beispielsweise zufällig eine weitere Information fordert, wären Brute Force Attacken wirkungslos. Ich könnte mir z.B. sehr gut vorstellen, dass man neben Nachnamen und Buchungscode den Abflugort, die erste/letzte Flugnummer, Destination, Vorname, Geburtstag (also 13./21./6. etc...) oder Geburtsmonat anfragt.

All dies hilft allerdings nichts gegen die Intelligenzbestien die ihre Bordkarten unzensiert ins Netz stellen. Z.B: https://www.instagram.com/explore/tags/boardingpass/
 
  • Like
Reaktionen: frabkk

Travelling_Geek

Erfahrene Reiseschreibmaschine
17.05.2009
1.846
3
HKG
Plakativ UND wertend ist vollkommen oK wenn ich Marketing / Werbung
betreibe.

Die Art und Weise wie im konkreten Fall unter einem "altruistischen" Deckmantel
imho Eigenwerbung betrieben wird (werden soll) lehne ich ab
Natürlich vermischen sich bei Nohl & Co kommerzielle Aspekte mit der ursprünglichen Motivation der Hacker-Gemeinde. Letztere stammt aber auch aus den 70er Jahren und die Welt hat sich weiter gedreht. Erwartest Du ernsthaft, dass jemand mit einer solchen Qualifikation sein Wissen in Gänze verschenkt?
Oder wärs Dir lieber, er (und die anderen hellen Köpfe, die sich bei solchen Konferenzen auf Bühnen stellen) würde sein Wissen ausschließlich gegen Geld und hinter verschlossener Tür "der Industrie" zur Verfügung stellen? (die Anführungszeichen stehen da, weil es in diesem Umfeld keine Trennung mehr gibt zwischen kommerzieller Nutzung und militärischer/staatlicher Nutzung)
Und ich würde sogar noch ergänzen: Der nicht ausgesprochene - aber imho implizit
enthaltene Verweis auf "die von mir entdeckte Sicherheitslücke ermöglicht
anonymes Reisen mit dem Flugzeug innerhalb des Schengen Raums" sind im
(allgemeinen) Kontext der schrecklichen Vorgänge von Berlin und der Flucht des
Hauptverdächtigen imho unterste Schublade.
Nachdem niemand aus dem Kreis der Forscher/Journalisten auch nur mit einem Wort eine solche Verbindung dargestellt hat, ist der von Dir konstruierte Vorwurf, nun ja, konstruiert.
Auf die "Unschärfe" aus operativer-fachlicher Sicht, unsolchd die Relevanz im Tagesgeschäft
- mal ganz abgesehen von den getroffenen Annahmen / Voraussetzungen - ganz zu schweigen.
Du unterschätzt die Kreativität von Kriminellen. Schau Dir an, was die aus in der Vergangenheit als "rein akademisch" abgetanen Schwachstellen gemacht haben (es sind im Übrigen quasi ausschließlich Betroffene, die von "rein akademisch" sprechen in diesem Zusammenhang; die Reaktion von Amadeus auf die Schwachstelle ist ein Klassiker ("kurzes Zeitfenster", my ass)
Die Leistungen des Verfassers im Kontext der GSM / USB Systeme aus den Jahren 2008 / 2009
sind ohne Zweifel ein "anderes" Kaliber gewesen, und als solche höchst anerkennenswert
- das möchte ich nicht unerwähnt lassen.
Eher so "2008 bis 2015"
 

pimpcoltd

Erfahrenes Mitglied
03.07.2009
3.316
10
Was las ich neulich? Die Mehrzahl der deutschen Passwörter sind "Hallo" und "Schatz"? Man sollte also unbedingt die PNR gegen ein PW tauschen, damit die brute force Attacke schneller geht.
 

XT600

Erfahrenes Mitglied
16.03.2009
22.375
1.998
mein passwort ist "emailadresse45" und dann hochgezählt :D wurde mir anno 1997 so gesagt, als ich meinen ersten Netzrechner bekam und ein Passwort vergeben musste
 

c00

Erfahrenes Mitglied
18.11.2010
1.668
241
1) Nohl ist SEN
2) Letzte Google-Suche war "bitcon for miles" :)
 

c00

Erfahrenes Mitglied
18.11.2010
1.668
241
schon klar. Trotzdem doof, das man das sieht. Vortrag ist sehr fundiert, aber etwas "unpolished", auch kein Backup für das aktuell abgeschaltete CMT ...
 

Travelling_Geek

Erfahrene Reiseschreibmaschine
17.05.2009
1.846
3
HKG
Aber das wird sich schnell totlaufen. Die neue alte "Oh-mein-Gott-Verbrecher-koennen-ohne-Kontrolle-innerhalb-von-Schengen-reisen"-Paranoia halte ich da fuer potentiell schlimmer.

Und weil es alles so irrelevant ist, haben mindestens zwei Unternehmen über die Weihnachtsfeiertage (!) Änderungen an ihren IT-Systemen vorgenommen?
 
  • Like
Reaktionen: unseen_shores und c00

DrThax

Administrator & Moderator
Teammitglied
10.02.2010
11.709
11
EDLE 07
Und weil es alles so irrelevant ist, haben mindestens zwei Unternehmen über die Weihnachtsfeiertage (!) Änderungen an ihren IT-Systemen vorgenommen?
Wenn es relevant genug wäre, hätten diese Unternehmen jedoch besser Spezialisten beauftragt, die keine Schrottlösung implementieren, um sich an Pseudosicherheit zu berauschen. ;)
 
  • Like
Reaktionen: Anonym38428

DrThax

Administrator & Moderator
Teammitglied
10.02.2010
11.709
11
EDLE 07
Das ist noch nicht mal pseudo, sondern einfach "nicht vorhanden"...
Na, immerhin gibts jetzt ein "Käptscha"*. :D




*Gut, vielleicht hätte man nach der ersten erfolgreichen Eingabe keinen Cookie setzen sollen, der eine weitere Eingabe in Folge unnötig macht, aber hey - es soll schliesslich anwenderfreundlich sein. ;)
 
  • Like
Reaktionen: frabkk

Worldtraveler42

Erfahrenes Mitglied
15.02.2015
3.885
36
MRS
Und weil es alles so irrelevant ist, haben mindestens zwei Unternehmen über die Weihnachtsfeiertage (!) Änderungen an ihren IT-Systemen vorgenommen?

In der Airline-Branche ist man - was IT-Systeme angeht - eher reaktiv als proaktiv. Wenn die Airlines tatsächlich an sicheren, effizienteren und verlässlicheren Systemen interessiert sind, würde man Geld in komplett neue IT-Infrastrukturen investieren. Die aktuellen Systeme sind zum Teil stark veraltet und zeigen Schwächen. Fuel Dumping ist in der Hinsicht ein gutes Beispiel. Aber IT kostet halt Geld...
 

pimpcoltd

Erfahrenes Mitglied
03.07.2009
3.316
10
Und weil es alles so irrelevant ist, haben mindestens zwei Unternehmen über die Weihnachtsfeiertage (!) Änderungen an ihren IT-Systemen vorgenommen?

Die datenschutzrechtliche Relevanz hat hier niemand bestritten, und diesbezüglich geht Amadeus der *A mit gutem Grund auf Eis. Der journalistische "fly-for-free" Hype ist hingegen ziemlich heiße Luft. Aufhorchen ließ mich allerdings das Umleiten der Meilengutschrift.
 

DrThax

Administrator & Moderator
Teammitglied
10.02.2010
11.709
11
EDLE 07
In der Airline-Branche ist man - was IT-Systeme angeht - eher reaktiv als proaktiv. Wenn die Airlines tatsächlich an sicheren, effizienteren und verlässlicheren Systemen interessiert sind, würde man Geld in komplett neue IT-Infrastrukturen investieren. Die aktuellen Systeme sind zum Teil stark veraltet und zeigen Schwächen. Fuel Dumping ist in der Hinsicht ein gutes Beispiel. Aber IT kostet halt Geld...

Geld ist IMHO nicht mal das einzige - und vielleicht nicht mal das entscheidende - Problem.

Ein viel größeres Problem ist, dass die Buchungssysteme mittlerweile "hysterisch gewachsen" :)rolleyes:) sind und unzählige Schnittstellen bzw. angeschlossene Systeme - dokumentierte und "weniger dokumentierte" - haben.
Im Grunde müsste man ein Architektur-Redesign machen, das

  • erstens: Die aktuelle Komplexität erkennt und reduziert, geht wahrscheinlich nicht ohne umfangreichere Änderungen in Datenmodellen einher
  • und zwotens (und hier liegt der Hase im Pfeffer): Die Schnittstellen (seien sie legacy oder WS) so anpasst, dass sie sicher sind. Problem: Die angeschlossenen Kundensysteme müssten natürlich ebenfalls angepasst werden
  • drittens bis drölftens: Komplexität sucks.

Die Situation erinnert mich übrigens stark an diverse Banken und Versicherungen.
"Security by obscurity" funktioniert eben nur, bis mal jemand neugierig ist und ein bisschen in den Systemen herumpopelt. :)
 

Steppo

Erfahrenes Mitglied
05.12.2012
893
6
TXL
"People are actually doing this...(Meilen umleiten)" Der Satz lässt mich schmunzeln.
Dass die PNRs in Amadeus halbwegs sequentiell sind, sollte jedem geübten EF-Buchenden schon aufgefallen sein. Die etwas detailliertere Zusammensetzung war aber interessant.
 
Zuletzt bearbeitet:
E

els

Guest
Na, immerhin gibts jetzt ein "Käptscha"*. :D




*Gut, vielleicht hätte man nach der ersten erfolgreichen Eingabe keinen Cookie setzen sollen, der eine weitere Eingabe in Folge unnötig macht, aber hey - es soll schliesslich anwenderfreundlich sein. ;)
Das Captcha ist absolut armselig über ein Script implementiert. Mit den richtigen Einstellungen überspringt ein Script-Blocker das Captcha. :doh: