TÜV-Prüfung der Corona App: App sollte stabil und sicher laufen.

0

Eine Beseitigung der von den TÜVit-Prüfern festgestellten Schwachstelle im Pseudozufallszahlengenerator für das TAN-System, mit dem Kranke ein positives SARS-CoV-2-Testergebnis in der App übermitteln können, wird im dpa-Bericht ebenfalls nicht direkt erwähnt.

Kretzschmar sagte heise online aber bereits, dass die Entwickler daran arbeiten, dieses System sicherer zu machen.

Ein Angriff auf das unsichere TAN-System hätte dazu führen können, dass Angreifer das System mit Falsch-Positiven überfluten und damit lahm legen oder das Vertrauen in die App kompromittieren.

Positives Image bei Testern
Die Grenzen der Testreihenfolge
Fragen zum Zeitpunkt der Veröffentlichung des Quellcodes
Endgültige Klassifizierung der App-Sicherheit

Nachdem der GeschÃ?ftsfÃ?hrer der TÃœV Informationstechnik (TÃœVit) Dirk Kretzschmar im GesprÃ?ch mit heise online den Veröffentlichungstermin der Corona-Warn-App der Bundesregierung recht kritisch gewinnen konnte, betonte er nun gegenÃ?ber der Deutschen Presseagentur (dpa), die App werde “stabil und sicher laufen, ohne die Nutzer auszuspÃ?hen”.

“Der für nächste Woche geplante Erscheinungstermin der App und die Frage, ob eine längere Testphase gut für die Code-Qualität der Corona-Warn-App gewesen wäre, wurde nicht diskutiert.

Nach einer aktuellen Einschätzung erwarten die TÜV-Tester, dass die Corona-App sicher ist.

Wichtige Teile der Infrastruktur haben sie aber ueberhaupt nicht getestet.

Kretzschmar zeigte sich gegenüber der dpa zuversichtlich, dass die App bei ihrer Freigabe frühere Instabilitäten überwunden haben wird.

“Am Ende hatten die Tester jedoch ein sehr positives Bild, denn jetzt läuft alles sehr stabil.

Sie waren auch ganz begeistert, wie schnell und in welcher Qualität die Entwickler auf noch zu entdeckende Schwächen reagiert haben.

“Diese Aussage über die SAP- und Telekom-Entwickler entspricht dem Eindruck, den wir beim Betrachten des Quellcodes und den damit verbundenen Diskussionen über die Code-Sharing-Plattform GitHub gewonnen haben.

Dies ist angesichts der kurzen Entwicklungszeit der App und dem damit verbundenen Zeitdruck der Prüfer verständlich.

Als externer Beobachter, der nur den Quellcode und die Entwicklerdiskussionen auf der Code-Sharing-Plattform GitHub verfolgen kann, fragt man sich allerdings, warum eine – offenbar politisch motivierte – Entscheidung getroffen wurde, die Corona-Warning-App unbedingt nächste Woche zu veröffentlichen.

Anstatt den Sicherheitsforschern von TÜVit und anderen Institutionen mehr Zeit zu geben, um alle Aspekte der App gründlich zu prüfen, hat man sich gefragt, warum eine – anscheinend politisch motivierte – Entscheidung getroffen wurde.

In einem Interview mit heise online hatte Kretzschmar gesagt, das Unternehmen habe sich zunächst eine längere Testphase gewünscht, als das Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgesehen hatte.

Eine Freigabe der App wird am 30. möglich sein.

Juni oder noch später wäre wünschenswert gewesen.

Er stellte auch klar, dass ein Test der Verschlüsselung, mit der die App Daten auf dem Smartphone des Nutzers speichert, außerhalb des Testauftrags liege.

Dies gelte auch für Angriffe auf die von der App verwendete Schnittstelle zur Kontaktverfolgung von Apple und Google.

Dies engt die Einschätzung der Tester auf die dpa ein, dass die App ein wenig “stabil und sicher” laufen würde, da große und wichtige Teile der mit der App verbundenen Funktionalität (Betriebssystem-API, SQLCipher-Bibliothek) überhaupt nicht auf Sicherheit getestet wurden.

In einem Interview mit heise online betonte Kretzschmar, dass sich die Nutzer der App keine Sorgen um den Schutz ihrer Daten machen müssten.

Dies wiederholte er gegenüber der dpa noch einmal.

Unberechtigte Personen können auf keine Daten zugreifen.

“Nutzer brauchen keine Angst vor Überwachung zu haben”, wiederholte Kretzschmar.

Der TÜV habe vor allem die datenschutzrechtlichen Aspekte der App eingehend geprüft, da dies als wichtiger Faktor für die Akzeptanz in der Öffentlichkeit angesehen werde.

Erstere Ansicht findet sich in der Regel bei Open-Source-Puristen und unabhängigen Stifttestern, während letztere eher bei größeren Unternehmen (sowohl im Sicherheits- als auch im Open-Source-Bereich) anzutreffen ist.

Beide Seiten können starke Argumente für sich selbst vorbringen, aber am Ende ist es wahrscheinlich eine Frage des Glaubens.

Jedenfalls steht Kretzschmar mit seinem Wunsch nach einer späteren Veröffentlichung nicht so allein da, wie mancher Kommentar im heise-Forum vermuten könnte.

Eine beträchtliche Anzahl von heise-online-Lesern fragte auch, warum Kretzschmar die Veröffentlichung des Quellcodes der App ablehnte, bevor die TÜV-Inspektoren ihre Arbeit beendet und den Code sicherer gemacht hatten.

Dies ist ein Treffen zweier Weltanschauungen, die seit Jahren von Open-Source-Entwicklern und Sicherheitsforschern heiß diskutiert werden: Die eine ist der Wunsch, den kompletten Code so früh wie möglich offenzulegen, damit so viel wie möglich.

Share.

Leave A Reply