News vom 29.02.2016

Sicherheitslücke bei mytaxi

Ein Artikel von , veröffentlicht am 29.02.2016

Mitarbeiter von mobilsicher.de haben bei dem Dienst mytaxi eine Sicherheitslücke entdeckt, mit der Nutzerkonten geknackt werden konnten. Die App wurde mehr als 10 Millionen Mal heruntergeladen. Das Unternehmen behob das Problem nach eigenen Angaben am Freitag.

[29.02.2016] Wer sich mit der App von mytaxi ein Taxi rufen will, muss ein Nutzerkonto bei dem Dienst anlegen. Login-Informationen sind die hinterlegte E-Mail-Adresse und ein selbst gewähltes Passwort.

Wie der Sicherheitsexperte Mike Kuketz bei seiner Analyse der App herausfand, lässt sich dieses Nutzerkonto mit einem sogenannten Brute-Force-Angriff knacken. Brute-Force (Deutsch: Rohe Gewalt) bedeutet, man probiert so lange Passwörter aus, bis man das richtige findet.

Normalerweise verwenden Apps und die dazugehörigen Webserver einen Schutzmechanismus, mit dem der Login-Prozess nach einer Anzahl von Fehlversuchen verzögert oder blockiert wird. Dieser Schutzmechanismus – eigentlich ein Standard – fehlte bei der mytaxi-App.

Allein mit der E-Mail-Adresse eines Nutzers konnte man also bis vor kurzem online das zugehörige mytaxi-Passwort angreifen. Das Gerät des Nutzers brauchte man dazu nicht.

Da mytaxi auch anbietet, per App zu bezahlen, sind in den Nutzerkonten häufig Zahlungsdetails wie Kreditkarte oder Paypal-Account hinterlegt. Ob das Problem auch für Apple-Geräte besteht, ist nicht bekannt.

Mytaxi reagierte sofort auf den Hinweis von mobilsicher.de und behob das Problem nach eigenen Angaben am nächsten Tag, Freitag, 26. Februar. „Die Sicherheit unsere User hat für uns höchste Priorität“, versicherte CTO Jan Ramm in seiner Antwort an mobilsicher.de

Ein weiteres Problem in der App, die als unsicher geltende Hashfunktion MD5, mit der das Passwort für das Nutzerkonto auf dem Nutzergerät abgelegt wird, hat das Unternehmen leider nicht behoben.

In unserer App-Rezension mytaxi: Taxis rufen und bezahlen haben wir die App gründlich durchleuchtet. Dort erfahren sie auch, welche Daten die App von Ihnen abgreift und zu welchen Diensten sie Kontakt aufnimmt.

Die Autorin

E-Mail

m.ruhenstroth@mobilsicher.de

PGP-Key

0x2F021121044527DC

Fingerprint

BC80 45E0 3110 EA00 A880 0827 2F02 1121 0445 27DC

Miriam Ruhenstroth

begleitet mobilsicher.de seit der Gründung – zuerst als freie Autorin, dann als Redakteurin. Seit Januar 2017 leitet sie das Projekt, das 2020 um den AppChecker erweitert wurde. Davor arbeitete sie viele Jahre als freie Technik- und Wissenschaftsjournalistin.

Weitere Artikel

YouTube-Video 

Cyberstalking: Wer Bescheid weiß, kann helfen

Smartphones lassen sich leicht missbrauchen, um Menschen im eigenen Umfeld zu überwachen. Beratungsstellen berichten schon lange von diesem Problem, doch gesellschaftlich ist es noch unbekannt. Unser Video gibt einen Überblick.

Ansehen
Ratgeber 

Karneval mit Handy? Unsere App-Tipps

Im Play-Store finden sich zum Suchwort „Fasching“ dutzende Apps. Viele davon können nicht mehr als einen Tusch abspielen, sind aber vollgestopft mit Werbung und Trackern. Wir haben vier Karneval-Apps herausgesucht, die Sie bedenkenlos nutzen können.

Mehr
YouTube-Video 

Cyberwaffe Pegasus: Sind Tipps fürs Handy jetzt überflüssig?

Mit der Spionage-Software Pegasus ist es möglich, jedes Android-Handy und jedes iPhone zu überwachen und sämtliche Daten auszulesen. Aber wie arbeitet Pegasus eigentlich? Und was bedeutet das für uns? Können wir uns überhaupt noch schützen – oder diesen Kanal genauso gut zumachen?

Ansehen
Ratgeber 

Was sind eigentlich Metadaten?

Wenn Sie mit dem Smartphone Nachrichten schicken oder Fotos machen, werden nebenbei viele Daten erfasst – zum Beispiel Zeitpunkt und Geräteinformationen. Was solche Metadaten aussagen können und warum sie schützenswert sind, erfahren Sie hier.

Mehr