Clearview Gesichtserkennung hat in der letzten Zeit bereits für einige Unruhe gesorgt. Das Startup ist höchst umstritten. Jetzt hat ein Sicherheitsexperte Quellcode auf einem nachlässig konfigurierten Server entdeckt und damit ein ordentliches Daten-Leak.
Clearview Gesichtserkennung liefert Behörden Daten – aber nicht nur
Mit Gesichtserkennung ist das immer so eine Sache, Datenschutz wird hier meist nicht besonders hochgehalten. Das ist auch bei Clearview Gesichtserkennung nicht anders. Das amerikanischen Startup liefert angeblich nur Behörden Daten – es können Fotos mit den riesigen Clearview Datenbanken abgeglichen werden. Wie sich aber bei einem Hack vor Kurzem herausstellte, enthält die dabei geleakte Kundenliste von Clearview beispielsweise auch viele Kaufhäuser – ob es hier Verstöße gegen den Datenschutz gibt, wird geprüft.
Schlecht gesicherter Server erlaubt Zugriff
Eine ganz andere Datenpanne hat ein Sicherheitsforscher jetzt entdeckt: Er konnte sich nämlich auf einem schlecht gesicherten Clearview Server Einblick in sensible Informationen wie den Quellcode der Apps von Clearview Gesichtserkennung, 70.000 Videos und die Zugangsdaten des intern genutzten Messengersystems der Firma gewinnen. Einfach so, frei zugänglich im Netz. Glücklicherweise hat offensichtlich kein Cyberkriminelle die Sicherheitslücke vorher entdeckt und sich die Daten abgesaugt …
Entdecker der Schwachstelle ist Mossab Hussein von SpiderSilk in Dubai. Er informierte Clearview Gesichtserkennung darüber, die Firma schloss das Leck. Außerdem gab Hussein die Info an Techcrunch weiter.
Quellcode der Clearview Apps frei zugänglich …
Die Sicherheitslücke gestaltete sich so, dass zwar eigentlich ein Passwort für den Server notwendig war. Aber man könnte auch ganz ohne Probleme die Registrierung eines neuen Users und daraufhin den Login durchführen. Schon war man am Server und konnte sich theoretisch den Quellcode der Apps holen und sein eigenes Programm schaffen … Oder auch die interne Slack-Kommunikation der Mitarbeiter lesen.
Außerdem gab es laut dem Sicherheitsexperten noch andere geheime Speicher-Schlüssel, auf denen sich beispielsweise Videos mit Personen aus einem Wohnhaus in Manhattan befanden. Ob es sich dabei um Überwachung ohne Einverständnis der Bewohner handelte wurde von Clearview nicht erklärt. Das Projekt sei aber nicht mehr aktuell.
Laut Clearview keine unautorisierten Zugriffe erfolgt
Jede Menge Zündstoff also, der Clearview Gesichtserkennung ein weitere Mal in schlechtem Licht dastehen lässt. Laut dem Unternehmen hat die Prüfung der Sicherheitslücke ergeben, dass sich niemand anderer an dem Server zu schaffen gemacht hat. Keinerlei Daten wurden abgegriffen. Na dann, hoffentlich stimmt dies …
Erstellt am:25. April 2020
