SZ titelt "Sicherheitslücke...in Flugzeuge einszeigen ohne zu zahlen" -

[datschi]

ANZEIGE

AF scheint eine der wenigen Gesellschaften zu sein, welche eine Abfrage ihrer PNRs via CMT unterbinden. Als ich hierzu mal eine Anfrage an AF geschickt habe, kam hier als Antwort, man habe bei diesem Weg Sicherheitsbedenken.

Da spielt sicherlich der wirtschaftliche Faktor eine noch größere Rolle, wenn der Pax wieder auf die eigene Seite gehen muss/soll.

 

[JustLHFTL]

Übrigens ist mir bei der Lufthansa Buchung folgendes aufgefallen: Es gibt einen Haken, den man setzen kann. Darin wird einem die Möglichkeit gegeben, dass der 6-stellige Buchungscode nicht mehr in der Bestätigungs-E-Mail angegeben wird. Diese E-Mails werden unverschlüsselt versendet. Somit kann der Buchungscode mitgelesen werden.
Ist das neu oder war das schon länger so und mir ist es nur noch nicht aufgefallen?

Ist mir mal vor ein paar Monaten aufgefallen. Ohne es validieren zu können, würde ich sagen: gefühlt seit Anfang des Jahres oder so...



Ich habe noch eine Frage für Dummies (weil ich mich nie mit dem Thema auseinandergesetzt habe vorher): aufgrund der Diskussion habe ich auf CMT mal etwas mit alten PNRs rumgespielt - wie lange "leben" die Dinger eigentlich noch nach dem letzten Flugsegment?
Bin bisher immer davon ausgegangen, dass die mehr oder weniger sofort nach dem letzten Flug "tot" sind, aber ich konnte zumindest bis Anfang November eine Zeitreise in die Vergangenheit machen... Wenn ich die Diskussion verstehe, gibt es dafür eigentlich keinen sinnvollen Grund (bei Privatflügen), oder?

 

[LE2012]

Übrigens ist mir bei der Lufthansa Buchung folgendes aufgefallen: Es gibt einen Haken, den man setzen kann. Darin wird einem die Möglichkeit gegeben, dass der 6-stellige Buchungscode nicht mehr in der Bestätigungs-E-Mail angegeben wird. Diese E-Mails werden unverschlüsselt versendet. Somit kann der Buchungscode mitgelesen werden.
Ist das neu oder war das schon länger so und mir ist es nur noch nicht aufgefallen?

Nicht im Email-Text, dafür aber in den (pdf)-Anhängen.

 

[AUA772]

Ich habe noch eine Frage für Dummies (weil ich mich nie mit dem Thema auseinandergesetzt habe vorher): aufgrund der Diskussion habe ich auf CMT mal etwas mit alten PNRs rumgespielt - wie lange "leben" die Dinger eigentlich noch nach dem letzten Flugsegment?
Bin bisher immer davon ausgegangen, dass die mehr oder weniger sofort nach dem letzten Flug "tot" sind, aber ich konnte zumindest bis Anfang November eine Zeitreise in die Vergangenheit machen... Wenn ich die Diskussion verstehe, gibt es dafür eigentlich keinen sinnvollen Grund (bei Privatflügen), oder?

Meinem Verständnis nach wird zeitlich hinter deine eigentliche Flüge ein Scheinsegment gesetzt (+30/60/120 Tage) welches den PNR "künstlich" am Leben hält; macht die Suche einfacher wenn es nachträglich Probleme mit Meilengutschrift, Gepäck, ... gibt.

 

[rotanes]

Mein letzter Flug vom 11.- 15.12. ist nicht mehr sichtbar.

 

[holgor2000]

Nicht im Email-Text, dafür aber in den (pdf)-Anhängen.

Dann ist die PNR doch auch für jeden im Klartext sichtbar und die gut gemeinte Aktion nutzlos, oder denke ich jetzt falsch?

Ciao

 

[holgor2000]

Ich habe noch eine Frage für Dummies (weil ich mich nie mit dem Thema auseinandergesetzt habe vorher): aufgrund der Diskussion habe ich auf CMT mal etwas mit alten PNRs rumgespielt - wie lange "leben" die Dinger eigentlich noch nach dem letzten Flugsegment?
Bin bisher immer davon ausgegangen, dass die mehr oder weniger sofort nach dem letzten Flug "tot" sind, aber ich konnte zumindest bis Anfang November eine Zeitreise in die Vergangenheit machen... Wenn ich die Diskussion verstehe, gibt es dafür eigentlich keinen sinnvollen Grund (bei Privatflügen), oder?

So sehe ich das auch.
Sind in diesen vergangenen PNRs noch Deine persönlichen Daten drinnen oder wurden diese entfernt? Kannst Du mal nachschauen.

Ciao

 

[LE2012]

Dann ist die PNR doch auch für jeden im Klartext sichtbar und die gut gemeinte Aktion nutzlos, oder denke ich jetzt falsch?

Ja, zumindest bei Flügen in die USA steht in der E-Mail:

Ihrem Wunsch entsprechend wird Ihr Buchungscode nicht angezeigt.

In den Anhängen ist dann eine pdf mit dem Dateinamen: Form_APIS_USA_PNR.pdf

(Stand Januar 2016)

 

[holgor2000]

Meinem Verständnis nach wird zeitlich hinter deine eigentliche Flüge ein Scheinsegment gesetzt (+30/60/120 Tage) welches den PNR "künstlich" am Leben hält; macht die Suche einfacher wenn es nachträglich Probleme mit Meilengutschrift, Gepäck, ... gibt.

Wobei "macht die Suche einfacher" IMHO keine Legitimation ist dem Datenschutz nicht nach zu kommen. Sonst müsste man nie etwas verschlüsseln, in sichere Container verpacken, archivieren, etc...


Ciao

 

[holgor2000]

Ja, zumindest bei Flügen in die USA steht in der E-Mail:

Ihrem Wunsch entsprechend wird Ihr Buchungscode nicht angezeigt.

In den Anhängen ist dann eine pdf mit dem Dateinamen: Form_APIS_USA_PNR.pdf

(Stand Januar 2016)

Auch noch im Dateinamen. Unfassbar

 

[JustLHFTL]

Hallo,

So sehe ich das auch.
Sind in diesen vergangenen PNRs noch Deine persönlichen Daten drinnen oder wurden diese entfernt? Kannst Du mal nachschauen.

Ciao

also ich würde jetzt mal als "persönliche Daten" Handynummer, e-mail, Senator-Nummer usw. interpretieren. Ich habe leider nicht so viele Buchungen zu Hand aus den letzten zwei Monaten, wo ich sicher bin, dass Amadeus genutzt wurde (Eurowings geht nicht, oder?)

• 2. bis 4. Nov, FRA-EDI-FRA (LH mit einem Rail and Fly dabei (Dienstreise): da siehst Du noch alles: e-mail von der Sekretärin, meine Handynummer, Senator-Nummer usw. Gebucht durch CWT, wenn man das sagen darf
• 9. Nov, DUS-ZRH-DUS, Dienstreise mit EW, CWT-Buchung: das kann ich nicht aufrufen
• 17. Nov bis 21. Nov, FRA-LHR-JFK-LHR-FRA mit BA, privat, gebucht bei BA. Aufgrund von Verspätungen wurde LHR-FRA nach LHR-DUS in LHR umgebucht. Sehe ich alles, mit meiner Handynummer usw. ...
• 11. Dez, the Magic Lanzarote-Trip mit Air Berlin, privat, gebucht bei AB: ebenfalls: alle Daten

An älteren Sachen hatte ich noch probiert:

• 28./29.Okt: DUS-CPH // MMX-ARN-MUC-DUS als SAS-Ticket, privat gebucht (über OTA, Upgrade Optiontown): sehe ich nicht
• 8. Okt: MAD-Santander-MAD, IB-Ticket, da online gebucht: sehe ich nicht
• Dann dachte ich schon, ich finde nichts mehr... Noch ein paar Sachen probiert, aber dann doch: 16. Jul (!!!) GWT-TXL-DUS, AB-Ticket, gebucht bei AB: sehe ich wieder alle meine Daten...
• Mehr habe ich dann nicht mehr probiert... Jetzt bin ich echt feddich

Das ist schon etwas gespenstisch und sagt natürlich auch, man soll nicht unbedingt seine alten Bordkarten achtlos wegwerfen...

 

[holgor2000]

Vielen Dank für diesen Test.
Somit ist bewiesen, dass die PNRs nach der Reise zeitnah weder gelöscht, noch nach Offline verschoben, noch von ihren persönlichen Daten befreit werden.
Irgendwie unfassbar, dass diese persönlichen Daten ohne echten Schutz so lange über das Internet abrufbar sind.

Ciao

 

[XT600]

das wird nicht gelöscht, jedenfalls nicht auf dem Checkmytrip.com Server für die Apps (bzw. Browserversion). Dort kann ich noch Buchungen von 2014 aufrufen, die in meinem Profil gespeichert sind. Ob das auch ohne Profil geht bezweifle ich, weil die Daten ja eigentlich unnütze sind und die filekeys neu vergeben werden (neuer Nachname, gleicher PNR)

 

[JustLHFTL]

Hallo,

das wird nicht gelöscht, jedenfalls nicht auf dem Checkmytrip.com Server für die Apps (bzw. Browserversion). Dort kann ich noch Buchungen von 2014 aufrufen, die in meinem Profil gespeichert sind. Ob das auch ohne Profil geht bezweifle ich, weil die Daten ja eigentlich unnütze sind und die filekeys neu vergeben werden (neuer Nachname, gleicher PNR)

ich habe bei CMT zumindest keinen Account. Ob der natürlich irgendwas aus Cookies geholt hat oder ob ich die Anfrage schonmal gemacht hatte und sie gecached war in irgendeiner Weise, kann ich natürlich nicht sagen...