Porno-Entzugs-App legt intime Nutzungsdaten offen

Eine App, die Nutzer:innen beim Ausstieg aus der Pornografie unterstützen soll, hat hochsensible Daten preisgegeben – darunter detaillierte Informationen zu ihren Masturbationsgewohnheiten. Betroffen sind laut Datenanalyse auch viele Minderjährige.

Intime Angaben von teils minderjährigen Nutzer:innen einsehbar

Die offengelegten Daten umfassen unter anderem Alter, Häufigkeit der Masturbation und die Gefühle der Nutzer:innen beim Ansehen von Pornografie. Laut den vorliegenden Informationen geben viele Betroffene an, minderjährig zu sein. Ein Datensatz beschreibt eine Person mit dem Alter „14“, einer Konsumfrequenz von „mehrmals pro Woche“ und einem Maximum von drei Pornositzungen pro Tag. Als Auslöser („Trigger“) nennt die betroffene Person „Langeweile“ und „sexuelle Triebe“.

Die App vergibt zudem einen „Abhängigkeitswert“ und erfasst Symptome. In diesem Beispiel wurden „Gefühl der Antriebslosigkeit, fehlender Ehrgeiz zur Zielverfolgung, Konzentrationsschwierigkeiten, schlechtes Gedächtnis oder ‘Gehirnnebel’“ dokumentiert. Zusätzlich fordert die App Nutzer:innen auf, Beichten zu ihrem Verhalten zu verfassen. Eine davon lautet: „Ich kann das einfach nicht, Mann, ich weiß ehrlich nicht mehr, was ich tun soll, so ein Verlierer, ich brauche ernsthafte Hilfe.“

Die betroffene App wird nicht namentlich genannt, da der Entwickler das Problem bislang nicht behoben hat. Entdeckt wurde die Sicherheitslücke von einer unabhängigen Sicherheitsforscher:in, die anonym bleiben möchte. Diese Person wies den App-Entwickler bereits im September auf das Problem hin. Der Entwickler sagte damals zu, den Fehler schnell zu beheben, tat dies aber nicht.

Fehlkonfiguration bei Firebase erlaubt Zugriff auf Backend-Daten

Ursache ist eine Fehlkonfiguration bei der Nutzung der Entwicklungsplattform Google Firebase. Standardmäßig ist es dort nach Angaben der Forscher:in leicht möglich, sich als „authentifizierte“ Person auszugeben und so Zugriff auf den Backend-Speicher einer App zu erhalten, in dem häufig Nutzerdaten liegen. Insgesamt konnte die Sicherheitsforscher:in nach eigener Darstellung auf Daten von mehr als 600.000 Nutzer:innen der App zugreifen, darunter rund 100.000, die sich selbst als minderjährig angaben.

Im Telefonat mit der Autor:in erklärte der App-Ersteller, er habe mit der Forscher:in gesprochen, die App habe aber keine Nutzerdaten über eine falsch konfigurierte Firebase-Instanz offengelegt. Die von der Forscher:in gezeigten Datensätze könnten gefälscht sein. „Es gibt keine sensiblen Informationen, die offengelegt wurden, das stimmt einfach nicht“, sagte der Gründer. „Diese Nutzer:innen sind nicht in meiner Datenbank, also schenke ich diesem Typen keine Aufmerksamkeit. Ich halte das für einen Witz.“ Auf die Frage, warum er der Forscher:in zuvor für die verantwortungsbewusste Meldung der Fehlkonfiguration gedankt und angekündigt hatte, das Problem schnell zu beheben, beendete er das Gespräch.

Nach dem Telefonat legte die Autor:in selbst einen Account in der App an. Die Sicherheitsforscher:in konnte dieses neue Konto in der falsch konfigurierten Firebase-Instanz sehen, was zeigt, dass weiterhin Nutzerdaten offengelegt werden.

Bekannte Firebase-Schwachstelle und Kritik an Apple und Google

Das Problem falsch konfigurierter Firebase-Instanzen ist Sicherheitsforscher:innen seit Jahren bekannt und weiterhin verbreitet. Dan Guido, Geschäftsführer der Sicherheitsfirma Trail of Bits, bezeichnete die Schwachstelle per E‑Mail als „wohlbekannte Schwäche“, die sich leicht finden lasse. Er berichtete zudem, dass Trail of Bits mit Hilfe von Claude innerhalb von nur 30 Minuten ein Werkzeug entwickeln konnte, um gezielt nach dieser Art von Sicherheitslücke zu scannen.

Guido sieht Google beziehungsweise Firebase in der Verantwortung, hier skalierbare Schutzmechanismen einzubauen. Der Dienst könne „offene Regeln“ in Konten erkennen, laut warnen, produktive Konfigurationen blockieren oder eine ausdrückliche Bestätigung verlangen. Amazon habe Ähnliches für seinen Cloud-Speicherdienst S3 umgesetzt, der früher häufig wegen vergleichbarer Fehlkonfigurationen sensible Daten offenlegte.

Die Sicherheitsforscher:in, die die Schwachstelle in der App fand, kritisiert zudem Apple. Die standardmäßige Firebase-Einstellung sei unsicher, und Apple solle Apps vor Veröffentlichung im App Store auch auf solche Backend-Probleme prüfen. „Apple lehnt eine App im App Store ab, wenn ein Button zwei Pixel zu breit ist und gegen Designrichtlinien verstößt, aber sie prüfen nichts zur Sicherheit der Backend-Datenbank, die man online finden kann“, sagt die Person. Apple und Google reagierten nicht auf Anfragen zur Stellungnahme.

Via: https://www.404media.co
Titelbild: Unsplash

Den Beitrag in unserem Forum kommentieren