Mal auf Bezug zu
Hackerangriff, PC ....
Weiteres zum Thema:


https://www.heise.de/newsticker/meldung/...ng-4464705.html

<< Gebrauchte Bundeswehr-Laptops: Förster findet Raketenwerfer-Anleitung
Auf versteigerten Bundeswehr-Geräten fand der Käufer die Anleitung für einen Raketenwerfer, die eigentlich einer strengen Geheimhaltungsstufe unterliegt.
...
Beim Weiterverkauf gebrauchter Bundeswehr-Laptops ist der zuständigen Bundestreuhandgesellschaft Vebeg GmbH ein heikler Fehler unterlaufen: Ein oberbayerischer Förster ersteigerte auf der Auktionsplattform der Vebeg vier ausrangierte Laptops. Darauf fand er eine Bedienungsanleitung für einen Raketenwerfer vom Typ MARS – ein Dokument, das eigentlich als Verschlusssache eingestuft ist, berichtet die Süddeutsche Zeitung.
"Drin": Nutzername als Passwort

Der Kauf der Laptops fand bereits 2018 statt, wie die [i]SZ/i] schreibt[. Auf einem Gerät war das Betriebssystem noch vorhanden, und der Förster konnte sich ohne spezielle IT-Forensikkenntnisse anmelden: mit dem vom letzten Login noch hinterlegten Nutzernamen als Passwort. Auf dem Gerät habe er die vollständige Bedienungsanleitung des Raketenwerfers MARS (Mittleres Artillerieraketensystem) vorgefunden, die nach SZ-Angaben eigentlich der Geheimhaltungsstufe "Verschlusssache – Nur für den Dienstgebrauch" (VS-NfD) unterliegt. >>

Unglaublich... allein das mit dem Passwort schon, von dem "Versehen" mal ganz abgesehen!
Eine solche Vorschriftenkette mag gut und sinnvoll sein, aber es gibt immer eine Anzahl Möglichkeiten, die nicht damit abgedeckt werden (können), so gut es die Macher auch meinen!



https://www.heise.de/security/meldung/Sc...pp-4464737.html

<< Schwere Sicherheitslücke: Japanische Supermarktkette 7-Eleven stoppt Bezahl-App
Ein fataler Designfehler im Bezahldienst 7pay öffnet Angreifern 900 Kundenkonten, bis die Firma den Dienst einstellt. Schadensbilanz: eine halbe Million Euro.
...
Passwort-Reset an beliebige E-Mail-Adresse verschickt
Die Sicherheitslücke befindet sich in der zugehörigen mobilen Bezahl-App 7pay, in der sich die Kunden registrieren und eine Kunden- oder Kreditkarte als Zahlungsmittel hinterlegen. Über die App zeigen sie an der Kasse einen Barcode vor, den der Kassierer einscannt. Das Problem sei die Funktion zum Zurücksetzen des Passworts in der App, schreibt ZDnet. Sind die E-Mail-Adresse des 7-Eleven-Kunden, sein Geburtsdatum und seine Telefonnummer bekannt, verschickt das 7pay-System einen Link zum Setzen eines neuen Passworts – und zwar optional an eine beliebige E-Mail-Adresse in einem zusätzlichen Feld.
Außenstehende mit kriminellen Absichten können über diese gravierende Design-Schwäche der App also mit relativ wenigen Informationen ein Kundenkonto unter ihre Kontrolle bringen, indem sie den Passwort-Reset-Link an eine E-Mail-Adresse schicken lassen, die unter ihrer Kontrolle steht. >>

In einem der Kommentare dazu steht:
<< Das ist keine schwere Sicherheitslücke...
das ist ein schwerer Systemdesignfehler. Wenn sowas eingebaut wird, hatten die Beteiligten überhaupt keine Ahnung. Vom Entwurf, dem Frontend, dem Backend (!) dem Test, dem QA und dem (höchstwahrscheinlich nicht vorhandenen) Pentest.
Fail auf ganzer Ebene.>>

und eine Antwort dazu:
<<Das ist doch das übliche Problem:
Beteiligte mit Ahnung kosten mehr Geld.
Tests, QA und womöglich noch Pentests kosten auch Geld.
Da bekommen BWL-Schnösel, Controller und alle weiteren Verantwortliche Pickel im Gesicht, wenn sie sowas hören.
Schade, dass der Schaden nur knapp eine halbe Mio beträgt.
Die müssen normalerweise sowas von auf die Fresse fallen.
Jetzt können die ja mal gegenrechnen, was ein vernünftiges Design und vernünftige Tests mehr gekostet hätten.>>

Genau das ist's, nicht alles was sich Programmierer nennt, ist wirklich Profi, und - schlimmer - weil's so billiger wird, kommen allerlei Schlampereien rein, sowas passiert auch bei anderen Institutionen, zu denen man (noch) mehr Vertrauen hat...