RE: BundID: Eine digitale Identität schafft (falsches) Vertrauen
Ohje… was ist da wieder los? Lilith Wittmann dokumentiert, wie sie innerhalb von kürzester Zeit eine Fake Seite mit dem BundID Login ausstatten konnte und somit legitim wirken lies. Wild!
Weil ich weiß, wie oft SAML falsch implementiert wird, habe ich also in den Verwaltungsportalen von Städten gezielt nach solchen Sicherheitslücken gesucht und bin auch innerhalb von etwa einer Stunde beim Durchsehen von Anmeldeprozessen fündig geworden.
Lilith Wittmann, via https://lilithwittmann.medium.com/bundid-eine-digitale-identität-schafft-falsches-vertrauen-4a1d0a3faa03
Lilith stellt in ihrem Artikel wichtige Fragen: Warum wird SAML statt oAuth genutzt? Wieso muss jeder Betreiber SAML selbst implementieren? Und wieso gibt es nicht eine zentrale Stelle?
Grundsätzlich ist die Frage, ob viele einzelne Verwaltungsportale überhaupt eine gute Idee sind. Oder ob es nicht eigentlich eher ein Portal/App geben sollte, mit dem Bürger interagieren und welches dann die Daten direkt in die Systeme der zuständigen Verwaltung übermittelt. Dadurch könnten weniger Fehler in der Umsetzung passieren, es müssen keine 300 Hundesteueranträge gebaut und gewartet werden und die Qualität der User Experience könnte einfacher verbessert werden.
Lilith Wittmann
Die Betreiber von BundID haben den Fehler zum Glück schnell behoben, und präventiv alle betroffenen Systeme abgeschaltet während der fix implementiert wurde – sehr vorbildlich!