Autor: kantorkel

Leakvent 3: Emma Matratze

Bis zum 39C3 öffne ich täglich ein Türchen zu den langweiligsten Datenlecks der letzten Jahre. Es geht um .git, .env, exponierte dev-Umgebungen und andere technisch langweilige Ursachen. Aber manchmal ist interessant, was sich hinter einem Türchen verbirgt. Alle Türchen sind hier zu finden.

Unter http://www.admin.emma-matratze.de/ leakte ein git-Repository, das neben Quellcode auch gültige Zugangsdaten enthielt:

==> cron/██████████.php <==
<?php
require_once '██████.php';
// todo put to system configuration

$hostname = '{imap-mail.outlook.com:993/ssl}MC';
$username = '██████@bettzeit.com';
$password = '██████████████';

Das Kontaktformular unter https://www.emma-matratze.de/kontakt/ hat meine Meldung blockiert: „Sorry, you have been blocked
You are unable to access emma-matratze.de„, auch meine E-Mail wurde offenbar ignoriert. Die Zugangsdaten sind nach mehr als drei Jahren noch immer gültig.

Leakvent 2: Die Partei

Bis zum 39C3 öffne ich täglich ein Türchen zu den langweiligsten Datenlecks der letzten Jahre. Es geht um .git, .env, exponierte dev-Umgebungen und andere technisch langweilige Ursachen. Aber manchmal ist interessant, was sich hinter einem Türchen verbirgt. Alle Türchen sind hier zu finden.

Weiter geht es mit der Partei Die Partei. Die Entwicklungsumgebung eines Webshops für Parteibedarf mit aktiviertem Symfony Profiler war 2022 offen zugänglich.

The profiler is a powerful development tool that gives detailed information about the execution of any request.

Never enable the profiler in production environments as it will lead to major security vulnerabilities in your project.

Über diesen Profiler konnten u.a. Konfigurationsdaten („mysql://dev:████████@localhost:3306/dev“) sowie personenbezogene Daten von Bestellenden (Name, Adresse, E-Mail-Adresse) abgerufen werden. Die Daten reichten ein Jahr zurück und umfassten augenscheinlich nicht nur Testdaten.

Leakvent 1: Ferrari Academy

Bis zum 39C3 öffne ich täglich ein Türchen zu den langweiligsten Datenlecks der letzten Jahre. Es geht um .git, .env, exponierte dev-Umgebungen und andere technisch langweilige Ursachen. Aber manchmal ist interessant, was sich hinter einem Türchen verbirgt. Alle Türchen sind hier zu finden.

Es geht los mit der Ferrari Academy. Betroffen waren 2022 nicht besonders viele Menschen. Dafür gab es .git und .env mit Zugangsdaten, eine exponierte dev-Umgebung sowie directory listings und herunterladbare Backups von php-Dateien.

  1. Unter https://academy.ferrari.com/ waren directory listings aktiviert. So konnte u.a. unter https://academy.ferrari.com/<redacted>/HubSync/users.csv eine csv-Datei mit personenbezogenen Daten (u.a. Ausweisnummer) gefunden werden.
  2. „Backups“ von php-Dateien erlaubten den Zugriff auf Quellcode, bspw. https://academy.ferrari.com/<redacted>/class.ilCompetence.php.backPrimadiAPOS. Im Quellcode sind auch Zugangsdaten zu finden.

$mail->Username = ‚AKIA████████████████‘;
$mail->Password = ‚████████████████████‘;

#$mail->addCustomHeader(‚X-SES-CONFIGURATION-SET‘,’ConfigSet‘);
$mail->Host = ‚email-smtp.eu-west-1.amazonaws.com‘;
$mail->Port = 465;

  1. Unter https://<redacted>/.env lag eine Datei mit Umgebungsvariablen.

APP_NAME=Laravel
APP_ENV=local
…
DB_CONNECTION=mysql
DB_HOST=█████████
DB_PORT=3306
DB_DATABASE=█████████
DB_USERNAME=█████████
DB_PASSWORD=█████████

DB_HOST2=█████████
DB_DATABASE2=lmsdb_prod
DB_USERNAME2=█████████
DB_PASSWORD2=█████████

ACADEMYURL=„http://dev.academy.ferrari.com“

  1. Unter https://<redacted>/lms-ferrari/.git/ und https://<redacted>/fixitproject/.git/ lagen zwei git-Repositories mit Quellcode, Konfiguration und personenbezogenen Daten.

BKA: Biometrische Marktforschung ohne Rechtsgrundlage

Das BKA hat mehrere Millionen Gesichtsbilder aus INPOL-Z ohne Rechtsgrundlage an Fraunhofer weitergegeben. Dagegen klagt ein Betroffener mit Unterstützung des CCC.

Hessisches LKA testet Pimeyes

In den Jahren 2021 und 2022 hat das Hessische LKA die Gesichtersuchmaschine Pimeyes getestet.

Der Hessische Datenschutzbeauftragte wurde dabei nicht informiert. Es gab auch keine Vereinbarung zur Auftragsdatenvereinbarung. Pimeyes wurde nicht ins Verfahrensverzeichnis aufgenommen. Es wurden keine Maßnahmen zur Sicherstellung der Rechte Betroffener getroffen.

Innenminister Peter Beuth meint, dass „die hessische Polizei Systeme zur automatischen Datenverarbeitung nur dann in den regulären Wirkbetrieb überführt, wenn die für einen Einsatz notwendigen rechtlichen Voraussetzungen erfüllt sind.“ Bei einem Testbetrieb schert sich die Hessische Polizei offenbar weniger um die notwendigen rechtlichen Voraussetzungen.

Journalisten nutzen Pimeyes und helfen der Polizei

Ein Team um die Journalisten Khesrau Behroz und Patrick Stegemann sowie Michael Colborne vom Recherche-Netzwerk Bellingcat halfen der Polizei. Obwohl Gesichtersuchmaschinen wie Pimeyes und Clearview AI in der EU illegal sind, luden sie Fotos vom ehemaligen RAF-Mitglied Daniela Klette bei Pimeyes hoch. Damit wurde Klette auf der Webseite eines Capoeira-Vereins in Berlin identifiziert. Ihre Rechercheergebnisse wurden im Podcast Legion: Most Wanted im Dezember 2023 veröffentlicht. Wenige Wochen später wurde Klette festgenommen.

Die GdP fordert

Wie erwartet meldet sich die Gewerkschaft der Polizei (GdP) nach dem schlimmen Messerangriff in Hamburg, um einmal mehr einen massiven Grundrechtseingriff zu fordern.

Bereits in der Vergangenheit forderte die GdP u.a. Vorratsdatenspeicherung, Videoüberwachung, noch mehr Videoüberwachung, Bodycams, verdachtsunabhängige Kontrollen und Gesichtserkennung. Zu viele dieser Forderungen wurden erfüllt.

Doch offenbar ließen sich soziale Probleme bisher nicht mit dem Einsatz von immer mehr Überwachung lösen. Dennoch nutzt die Gewerkschaft auch den jüngsten Angriff, um noch mehr Überwachung zu fordern ‒ in der bizarren Hoffnung, dass die sozialen Probleme mit dem Einsatz von nur noch etwas mehr Technik gelöst werden.

Die aktuelle Forderung nach dem Einsatz von Verhaltenserkennung suggeriert, dass eine KI Straftaten verhindern könnte, noch bevor sie passieren. Sie erweckt den Eindruck technologischer Objektivität, obwohl in Wahrheit fehlerhafte, intransparente und diskriminierende Systeme eingesetzt werden. Diese Systeme schaffen kein Mehr an Sicherheit, sondern nur eine Kontrolle aller. Die GdP verkauft wieder ein trügerisches Sicherheitsgefühl, liefert aber nur Totalüberwachung.

Den Überwachungsforderungen der GdP sollte nicht unkommentiert Raum gegeben werden.

Die AFD Hamburg betreibt niemals nie nicht briefwahl-hamburg.de

Jemand betrieb bis gestern unter briefwahl-hamburg.de eine Weiterleitung auf die Webseite der Hamburger AFD. Das ist unschön, denn Briefwahlanträge können in Hamburg unter briefwahl.hamburg.de gestellt werden. Dies ist nun nach vier Jahren aufgefallen. Die AFD gibt sich natürlich unschuldig und hat angeblich keine Ahnung, wer dahintersteckt. Spoiler: Es könnte sich lohnen, Herrn Moritz L., ehemaliges Bezirksvorstandsmitglied der AfD Hamburg-Nord und Gründungsmitglied des Hamburger AfD-Landesverbands, zu fragen.

Tragen wir mal zusammen:

1. Die Domain briefwahl-hamburg.de zeigte in der Vergangenheit auf die IP-Adressen 88.99.56.57 und 88.99.139.237. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-08-26 – 2023-09-07
88.99.139.237 Hetzner Online GmbH 2021-09-02 – 2023-08-26
5.9.113.177 Hetzner Online GmbH 2021-03-11 – 2021-09-02

2. Die reverse DNS-Einträge für diese IP-Adressen lauten heute s1. bzw. s2.alternative-hamburg.net und früher hamburg-intern.net [Quelle].

3. Die Domain hamburg-intern.net zeigte in der Vergangenheit ebenfalls auf die IP-Adressen 88.99.56.57 und 88.99.139.237. Und das auch noch zu ähnlichen Zeiträumen wie briefwahl-hamburg.de. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-07-06 – 2023-09-04
88.99.139.237 Hetzner Online GmbH 2022-12-12 – 2023-07-06

4. Der Whois-Eintrag für briefwahl-hamburg.de wurde zuletzt am 02.09.2021 geändert.

$ whois briefwahl-hamburg.de

Domain: briefwahl-hamburg.de
Nserver: ed.ns.cloudflare.com
Nserver: may.ns.cloudflare.com
Status: connect
Changed: 2021-09-02T13:55:18+02:00

5. Als technischer Kontakt für hamburg-intern.net fungierte ‒ Überraschung ‒ Herr Moritz L.

Das alles ist natürlich kein Beweis, aber ein möglicher Hinweis.