Der Heilige Geist half den Vatikan-Entwicklern nicht, die persönlichen Daten zu sichern

Gott wirkt auf geheimnisvolle Weise.

Offenbar gehören grundlegende Autorisierungsprüfungen in der eigenen Gebets-API des Vatikans nicht dazu.

Das Päpstliche Weltgebetsnetzwerk betreibt Click to Pray, die offizielle Plattform, über die die Gläubigen päpstliche Gebetsanliegen verfolgen, tägliche Gebetsroutinen pflegen und einer mit dem Heiligen Stuhl verbundenen Institution die übliche Sammlung persönlicher Informationen anvertrauen können, die das moderne digitale Leben verlangt.

Namen. E-Mail-Adressen. Länder. Geburtsdaten. Rollen.

Die App vergab fortlaufende numerische IDs, und eine Anfrage an

GET /user/users/12345

lieferte den entsprechenden Benutzerdatensatz zurück.

Die Registrierungs-API gab den E-Mail-Verifizierungstoken direkt in der Antwort zurück, sodass es möglich war, ein Konto zu verifizieren, ohne tatsächlich die Kontrolle über den zugehörigen Posteingang zu haben, während legitime Verifizierungs-E-Mails von Click to Pray angeblich grundlegende Domain-Authentifizierungsprüfungen nicht bestanden.

Die ethische Hackerin BobDaHacker entdeckte die Schwachstelle und meldete sie am 3. Januar erfolglos, indem sie neun Adressen kontaktierte, die mit Click to Pray und dem Päpstlichen Weltgebetsnetzwerk in Verbindung standen.

Nachdem sie keine Antwort erhielt, brachte BobDaHacker das Problem an Nate Nelson von Dark Reading heran, der den Fehler unabhängig reproduzierte und ebenfalls versuchte, das Päpstliche Weltgebetsnetzwerk und La Machi Communication for Good Causes zu kontaktieren, die Kommunikationsagentur, die für Design, Entwicklung und Promotion der Heiligen App verantwortlich war.

Erst nachdem Dark Reading die Geschichte am 24. Juli veröffentlicht hatte, erhielt das System plötzlich die benötigte und so einfache Autorisierungslogik. Eine öffentliche Stellungnahme gab es nicht.

Die Preisgabe von 719.517 Konten ist ein ernstes Versagen. Organisationen, die digitale Plattformen in Auftrag geben, täten gut daran zu überprüfen, dass die von ihnen Beauftragten elementare Zugriffskontrolle tatsächlich verstehen, statt zu hoffen, dass Vibe-Coding sie irgendwie hervorbringt. Zu hoffen, dass höhere Mächte eingreifen, ist keine Sicherheitsstrategie.

Ratschlag für junge Entwickler

Es gibt, wie immer, eine Lektion für die nächste Generation.

Man sollte feststellen, ob der Anfragende berechtigt ist, Informationen zu erhalten. Dieses Konzept mag nach der Beobachtung bestimmter institutioneller Softwareprojekte radikal erscheinen, hat aber in professionellen Kreisen eine gewisse Akzeptanz gefunden.

text

if (!authorized) {
    return 404; // you have no power here
}

// pray

Amen.