Dieses Projekt wurde am 31.12.2024 beendet. Der Beitrag ist auf dem Stand des letzten Update-Datums und wird nicht mehr aktualisiert oder überprüft.
News vom 29.02.2016

Sicherheitslücke bei mytaxi

Ein Artikel von Miriam Ruhenstroth, veröffentlicht am 29.02.2016

Mitarbeiter von mobilsicher.de haben bei dem Dienst mytaxi eine Sicherheitslücke entdeckt, mit der Nutzerkonten geknackt werden konnten. Die App wurde mehr als 10 Millionen Mal heruntergeladen. Das Unternehmen behob das Problem nach eigenen Angaben am Freitag.

[29.02.2016] Wer sich mit der App von mytaxi ein Taxi rufen will, muss ein Nutzerkonto bei dem Dienst anlegen. Login-Informationen sind die hinterlegte E-Mail-Adresse und ein selbst gewähltes Passwort.

Wie der Sicherheitsexperte Mike Kuketz bei seiner Analyse der App herausfand, lässt sich dieses Nutzerkonto mit einem sogenannten Brute-Force-Angriff knacken. Brute-Force (Deutsch: Rohe Gewalt) bedeutet, man probiert so lange Passwörter aus, bis man das richtige findet.

Normalerweise verwenden Apps und die dazugehörigen Webserver einen Schutzmechanismus, mit dem der Login-Prozess nach einer Anzahl von Fehlversuchen verzögert oder blockiert wird. Dieser Schutzmechanismus – eigentlich ein Standard – fehlte bei der mytaxi-App.

Allein mit der E-Mail-Adresse eines Nutzers konnte man also bis vor kurzem online das zugehörige mytaxi-Passwort angreifen. Das Gerät des Nutzers brauchte man dazu nicht.

Da mytaxi auch anbietet, per App zu bezahlen, sind in den Nutzerkonten häufig Zahlungsdetails wie Kreditkarte oder Paypal-Account hinterlegt. Ob das Problem auch für Apple-Geräte besteht, ist nicht bekannt.

Mytaxi reagierte sofort auf den Hinweis von mobilsicher.de und behob das Problem nach eigenen Angaben am nächsten Tag, Freitag, 26. Februar. „Die Sicherheit unsere User hat für uns höchste Priorität“, versicherte CTO Jan Ramm in seiner Antwort an mobilsicher.de

Ein weiteres Problem in der App, die als unsicher geltende Hashfunktion MD5, mit der das Passwort für das Nutzerkonto auf dem Nutzergerät abgelegt wird, hat das Unternehmen leider nicht behoben.

Weitere Artikel

Ratgeber 

Versteckte Google-Dienste im Smartphone: Wie du sie ersetzen kannst

Unsichtbare Systemfunktionen senden Daten an Google, ohne dass es nötig ist. Es geht auch anders, wie alternative OS zeigen.

Mehr
Ratgeber 

Apps gecheckt: Islamische Gebets-Apps geben Standort weiter (Android)

Apps für gläubige Muslim*innen sind weit verbreitet – sie erinnern an Gebetszeiten und zeigen die richtige Gebetsrichtung an. Erschreckend viele dieser Programme geben dabei genaue Standortdaten an Dritte weiter.

Mehr
Ratgeber 

Schritt für Schritt: Bluetooth-Geräte entkoppeln

Einmal über Bluetooth gekoppelte Geräte können sich ohne weitere Authentifizierung miteinander verbinden. Auch dann, wenn eines der Geräte zum Beispiel seinen Besitzer gewechselt hat. Daher sollten nicht mehr benötigte Bluetooth-Verbindungen entfernt werden.

Mehr
Ratgeber 

Dieser Beitrag wurde in unser Archiv verschoben

Dieser Beitrag ist nicht mehr aktuell und wurde in unser Archiv verschoben.

Mehr