Zum hauptinhalt springen

zerforschung

Gorillas: Special offer - unicorn slices, 150g đŸŠâ€ïž

Gorillas Advertising with the slogan 'Just going check gorillas one more time, then I will put the phone away... oh nice, cinnamon buns' but 'cinnamon buns' is replaced with 'data'

We felt more like “Oh fuck, Databreach”

During the pandemic, grocery delivery services gained popularity. New players on the market offer delivery in under an hour. One of them is Gorillas, which not only delivers apples and granola bars in 10 minutes, but just as quickly delivered the data of all its customers.

How could this happen? Unfortunately, it was once again much too simple. But let’s start at the beginning:

Gorillas: Einhornaufschnitt, 150g, im Angebot đŸŠâ€ïž

Gorillas Werbeplakat mit dem Slogan 'Noch einmal Gorillas checken, dann lege ich das Handy wirkl... geil, Zimtschnecken' Zimtschnecken ist durchgestrichen und durch 'Daten' ersetzt

Naja, eigentlich eher “Oh fuck, Daten”

Supermarkt-Lieferdienste sind in der Pandemie sehr beliebt. Neben den Klassikern sind jetzt Dienste neu im Spiel, die in unter einer Stunde liefern. Einer davon ist Gorillas – hier bekam man nicht nur die bestellten Äpfel und MĂŒsliriegel in 10 Minuten, sondern genauso schnell auch die Daten aller Kund*innen.

Wie das passieren konnte? Leider mal wieder viel zu einfach. Hier die ganze Geschichte von vorne:

Dive – Use with Hackphones

Abgewandelter Dive Slogan 'Use with Hackphones'

Vor einiger Zeit haben wir uns bereits Clubhouse angeschaut.
Nun gibt es einen neuen, bislang sehr exklusiven deutschen Stern am Audio-Chat-Himmel: Dive – dieser Klon von Clubhouse legt laut GrĂŒnder*innen besonders großen Wert auf Datenschutz.

Nachdem ein Zerforschungsmitglied eine Einladung fĂŒr Dive bekommen hat, haben wir routinemĂ€ĂŸig mal in den Datenverkehr geschaut und leider schon wieder Schlimmes gefunden. Nur so viel schonmal: Viel besser als Clubhouse ist das nicht.

Die Luca-Lizenz (LL-ND-NC-WTF)

Dieser Artikel ist ein Archiv dieses Twitter-Threads.
Update: Inzwischen hat #LucaApp die Lizenz auf eine GPLv3 geÀndert und die fehlenden Lizenzhinweise bei manchen der Files ergÀnzt.

#LucaApp hatte nach viel Kritik und gutem Zureden angekĂŒndigt, ihre App zu OpenSourcen. Nun tauchte das erste Repository auf – mit der schlimmsten Lizenz, die wir seit Langem gelesen haben. Nur Betrachtung, keine VerĂ€nderung, keine Mirrors, etc. đŸ§”

https://gitlab.com/lucaapp/android/-/blob/a30432ec4a01c2ca7ea9ceb26c145e7b620435fc/LICENSE

 EingeschrĂ€nkte Lizenz zur Betrachtung des Quellcodes der Applikation „luca“ fĂŒr Android basierte GerĂ€te  (nachfolgend „Quellcode“) Copyright (c) 2019 - 2021 culture4life GmbH, ihre verbundene Unternehmen und Lizenzgeber.   Alle Rechte vorbehalten. Der Quellcode wird ausschließlich zum Zwecke der Betrachtung fĂŒr persönliche, nicht-kommerzielle Zwecke auf nicht-ausschließlicher, nicht-unterlizenzierbarer  und nicht-ĂŒbertragbarer Basis bereitgestellt. Eine darĂŒberhinausgehende EinrĂ€umung von Rechten erfolgt nicht.

Wir wissen, wie du diesen Winter getestet wurdest. Ein Corona-Drama in sechs Akten

Wie wir nur mal kurz einen Corona-Test machen wollten und versehentlich in ein Nest voller SicherheitslĂŒcken gefallen sind.

Seit dem 8. MĂ€rz gibt es in Berlin »kostenlose BĂŒrger*innen-Tests«. Über das Portal test-to-go.berlin kann man ein Testzentrum finden und einen Termin buchen.

Schon kurz nach Veröffentlichung der Testzentren-Übersicht der Berliner Senatsverwaltung fĂŒr Gesundheit, Pflege und Gleichstellung waren wir irritiert: Alles an diesem Online-Portal machte auf uns den Eindruck, doch etwas hastig zusammengestrickt worden zu sein – und das nach nur einem Jahr Pandemie.

Da wir ohnehin einen Test machen wollten, konnten wir dieses neue Angebot gleich mal ausprobieren.

Am Testzentrum angekommen wunderten wir uns, dass wir sehr energisch auf die Online-Registrierung hingewiesen wurden. Wir standen doch schon am Eingang! Aufgrund der Menge persönlicher Daten, die in der WebApp abgefragt wurden, hÀtten wir eine Online-Erfassung eigentlich gern vermieden.

Nach dem Test freuten wir uns nicht nur ĂŒber das negative Ergebnis – sondern guckten dabei, wie ĂŒblich, auch kurz mit auf den Datenverkehr. Bei einigen URLs hatten wir schon im ersten Moment ein mulmiges GefĂŒhl. Das mulmige GefĂŒhl wĂŒrde in den nĂ€chsten Minuten blankem Entsetzen weichen.

Deine Kundendaten – geliefert in 10 Minuten

Deine Daten geliefert in 10 Minuten. We are Flink

Kennt ihr Flink? Das ist eins der neuerdings auftauchenden Startups, die EinkĂ€ufe nach Hause liefern. Produkte in der App wĂ€hlen, bezahlen und in unter 10 Minuten ist ein*e Fahrradkurier*in bei euch. DafĂŒr gab es auch vor ein paar Tagen erst ordentlich Funding.

Als wir uns die App angeschaut haben, haben wir Erschreckendes festgestellt.

Einreisen zum Ausrasten - die neue Corona-SMS

Dieser Artikel ist ein Archiv dieses Twitter-Threads.

Gestern wurde bekannt gegeben, dass ab morgen Einreisenden bei der Einreise eine SMS gesendet wird, um sie ĂŒber die Corona-Regeln zu informieren.

Wir haben privat schon ein bisschen Witze gemacht, dass die SMS sicher nur einen Link auf eine Website enthÀlt 



Heute haben wir dann den vollstÀndigen Text dieser SMS gefunden ( https://www.bundesgesundheitsministerium.de/presse/pressemitteilungen/2021/1-quartal/corona-sms.html ) und was sollen wir sagen
 Bingo!

Die Bundesregierung: Willkommen/Welcome! Bitte beachten Sie die Test-/QuarantÀneregeln; please follow the rules on tests/quarantine: https://bmg.bund.de/covid19

No one else was in the room where it happened - den Clubhousefrieden stören

Titelbild

Was bisher geschah 


In unserem ersten Thread zu Clubhouse hatten wir uns Clubhouse erstmal nur oberflÀchlich angeschaut.

Dabei hatten wir gesehen, dass Clubhouse einen Dienstleister nutzt, um die Telefonie-Funktion anzubieten. Dieser Dienstleister heißt Agora.io und wird auch von vielen anderen Apps eingesetzt, unter anderem einer Therapie-App. Im Thread hatten wir u.a. festgestellt, dass wir problemlos einem Raum lauschen können, ohne den anderen Raumteilnehmer*innen angezeigt zu werden, wenn wir direkt mit Agora kommunizieren.

Umgekehrt kann man so auch in einem Raum angezeigt werden ohne zuzuhören. Das stellt allerdings eher kein Problem dar - schließlich ist man auch außerhalb von Clubhouse oft in GesprĂ€chen anwesend ohne wirklich zuzuhören.


 und wie es weiter ging