Aus dem Artikel: “Der unter Laborbedingungen demonstrierte Angriff ist nur möglich, da sich der Online-Personalausweis beim Starten der AusweisApp auf eine technische Lösung verlässt, von der sowohl Google als auch Apple grundsätzlich abraten. Wird eine persönliche Identifikation über den Online-Ausweis angefordert – etwa beim Abruf des Punktstandes in Flensburg – öffnen entsprechende Dienste-Anbieter die AusweisApp mit einem so genannten Deeplink.”
auf eine technische Lösung verlässt, von der sowohl Google als auch Apple grundsätzlich abraten
Gerade dazu ist aber leider keine Quelle verlinkt. Google promotet selbst die Verwendung von Deeplinks auf ihrer Ads-Plattform und in der Doku von Android steht auch nicht drin, dass man dieses Feature nicht nutzen sollte.
Gegenfrage: Was soll das BSI denn tun, wenn Endanwender sich gefakte Apps installieren und dort ihre Zugangsdaten eingeben?
Aus dem Artikel: “Der unter Laborbedingungen demonstrierte Angriff ist nur möglich, da sich der Online-Personalausweis beim Starten der AusweisApp auf eine technische Lösung verlässt, von der sowohl Google als auch Apple grundsätzlich abraten. Wird eine persönliche Identifikation über den Online-Ausweis angefordert – etwa beim Abruf des Punktstandes in Flensburg – öffnen entsprechende Dienste-Anbieter die AusweisApp mit einem so genannten Deeplink.”
Hier ist durchaus Optimierungspotential.
Gerade dazu ist aber leider keine Quelle verlinkt. Google promotet selbst die Verwendung von Deeplinks auf ihrer Ads-Plattform und in der Doku von Android steht auch nicht drin, dass man dieses Feature nicht nutzen sollte.