CCC zum WLAN der Bahn: Unsicher und redselig

Der Chaos Computer Club Hannover hat einen detaillierten Blick auf die neue WLAN-Infrastruktur der Bahn geworfen, die seit Kurzem nicht nur auf eine Multi-Provider-Technologie setzt, sondern ihre WLAN-Hotspots nun auch in der 2. Klasse zur kostenlosen Nutzung anbietet.

Auf Zuruf: Nutzerdaten im JSON-Format

Die Bestandsaufnahme könnte besser ausfallen: Der Hotspot-Login ignoriert branchenübliche Sicherheitsvorkehrungen und ermöglicht es Dritten, aktive Bahn-Surfer aus dem Netz zu werfen.

Die Bord-Datenbank gibt auf Anfrage Nutzer- und Systemdaten frei und informiert unter anderem über die GPS-Koordinaten des Zugs, aktuelle Zellinformationen der LTE-Infrastruktur sowie IP- und MAC-Adresse der genutzten Hardware, Transfer-Statistiken der eingeloggten Anwender, APNs, Signalstärken, Cell-ID, aktives Modem und den Verbindungsstatus.

CCC-Mitglied Nexus schreibt:

Da ich regelmäßig mit der Bahn unterwegs bin und dort das WLAN auch regelmäßig nutze, wollte ich mir an sich nur ein Script bauen, welches mir einen Login für das WLAN ermöglicht, ohne meinen Browser öffnen zu müssen. Die gute Nachricht: Das ist einfacher als gedacht. Die schlechte Nachricht: Das liegt daran, dass dort Menschen „gefrickelt“ haben, denen offensichtlich grundlegende Angriffe wie Cross-Site-Request-Forgery vollkommen unbekannt sind oder denen die Privatsphäre der Nutzer im Zug-WLAN vollkommen egal ist.

Vor allem die offenen Datenschnittstelle, über die die Bahn ihre Nutzerverwaltung abwickelt ist nach Angaben des Hackers fragwürdig konzipiert:

Durch die Umsetzung als JSONP-Anbindung, lassen sich diese Services in beliebige Webseiten einbinden. Diese können dann nicht nur herausfinden, dass ein Nutzer aktuell in einem Zug der Deutschen Bahn sitzt, sondern auch alle Informationen der Gateway-Services abfragen. Dies beinhaltet auch die MAC-Adresse, welche im Normalfall die eindeutige Hardware-Kennung des WLAN-Adapters ist.
Versieht man eine Webseite mit einem geeigneten Script, erlaubt dies die eindeutige Erfassung und Zuordnung von Bewegungsdaten bei Seitenzugriffen. So lassen sich diese Informationen z.B. durch Werbetreibende über eingebettete Werbebanner in Seiten erfassen, die dann entsprechend Bewegungsprofile von Internetnutzern sammeln können.

Die komplette Analyse inklusive der aktiven Adressen zum Datenabruf könnt ihr hier einsehen.