Inzwischen gehören Berichte über Datenschutzskandale zur täglichen Berichterstattung der Blogosphäre und der anderen Medien … und die besonders krassen und dummen kommentiere ich dann auch gerne mal.
Heute wurde ich auf einen solchen Datenschutzskandal hingewiesen. Es geht um eine iPhone-App (Quip) die es erlaubt Photos einfach zu verschicken. Im Grunde wie eine MMS nur, dass keinerklei Kosten (außer die für eine Internetverbindung) anfallen.
Um ein Photo zu verschicken hat die App das ausgewählte Photo einfach auf die Server der Betreiber hochgeladen und dann an den angegebenen Empfänger einen Link zugestellt.
Kommen wir zu den Sicherheitsmaßnahmen die dafür sorgen sollten, dass keine Unberechtigten Leute die Photos sehen. Immerhin wirbt der Betreiber damit, dass man mit dem App kostengünstig MMS ersetzen kann … und die können schließlich auch nur Sender & Empfänger lesen.
Die Sicherheitsmaßnahme bestand aus einer 5-stelligen alphanumerischen (0-9, a-z) Kombination, die an die URL
http://pic.quiptxt.com/*****
angehängt wurde. 36^5 = 60.466.179 Möglichkeiten. Damit hätten wir die Sicherheitsmaßnahmen schon besprochen.
Was passiert wohl bei solchen miserablen Sicherungsmaßnahmen? Es entstehen Skripte, die die Bilder automatisch abfragen und so die Daten der Nutzer systematisch verbreiten.(siehe Quelle unten)
Kommentar des Gründers von Addy Mobile (Programmierer vom Quip App) (Übrigens ein 3-Mann-Betrieb)
Hello, this is Ish, the founder of Addy Mobile, makers of the Quip app.
As soon as this post came to our attention, we immediately shut down our servers. We have also now disabled all S3 access and have started to systematically secure all files in the system. We will not bring the system back up until we have adequate security around all files shared over Quip.
I apologize to our users for this security breach and promise we will do everything in our power to make sure none of their information is exposed once we bring the service back up.
The vision for Quip has always been to provide users a quick, simple, and affordable way for iPhone users to send picture messages without paying exorbitant carrier fees. We are a small company (3 people) but we will work as quickly as possible to bring back the service up in a safe and secure manner.
-Ish
Liebr Ish, um eine Sicherheitspanne zu haben, sollte man erst einen gewissen Grad an Sicherheit in seiner Webanwendung haben. Das war alles aber keine Panne.
Die Server von Quip und das Backend (gehostet von Amazon S3) sind beide zum Glück nicht erreichbar. Offensichtlich haben die “Programmierer” wenigens das richtig gemacht.
Übrigens gehen die ersten Meldungen über die Lücke auf den 05. November 2009 zurück:
http://digg.com/security/Quip_TXT_for_iPhone_FAIL_WIN_NSFW
Bekannter wurde die Lücke jetzt durch Reddit
http://www.reddit.com/r/pics/comments/bjezp/massive_privacy_fail_quiptxtcom_is_a_site_that/
