Kategorie Sicherheit

2 Beiträge

Schutz der Privatsphäre bei Apple

Allgemein Sicherheit

Sicherheit von Geräten und Betriebssystemen ist nur eine Seite der Medaille zum Schutz der Privatsphäre. Durch die Verarbeitung von Daten bei strikten Grundsätzen zur Datenssparsamkeit kann man noch viel mehr erreichen!

Apple zeigt in seiner überarbeiten Webseite zur Datenverarbeitung wie man den Datenschutz tastächlich in den Produkten umsetzt. Darunter sind einige Highlights und man kann viel über den Umgang mit Daten lernen und Einblicke erhalten, die man in dieser Form bei anderen Anbietern vergeblich sucht!

Einige Beispiel mit weiterführenden Informationen auf der Seite:

Und einige technische Implementierungsinformationen zu

Externe Zertifizierungen

Quelle der Seite bei Apple: https://www.apple.com/de/privacy/features/

 

 

Großes Datenleck biometrischer Zugangsdaten

Sicherheit

Ein neuer Sicherheitsvorfall ist unglaublich. Laut einem Bericht von The Guardian und Heise-Security wurde bei einem Routinescan eine offene Datenbank im Internet gefunden.

Um was geht es

Hier geht es nicht um irgendeine Datenbank, mit irgendwelchen Passwörtern. Bei der gefundenen Datenbank handelt es sich um die komplett unverschlüsselten Zugangsdaten zu extra gesicherten Lagerhallen und Büros mit über 1 Million Nutzerkonten. Betroffen ist das System Biostar 2 von Suprema.

Prominente Nutzer des Systems sind unter anderem Behörden, Banken und die Polizei (bspw UK Metropolitan). Aber es findet sich auch die deutsche Firma Identbase darunter, die ironischerweise selbst ID-Karten herstellt.

Ob Daten gestohlen wurden ist noch nicht bekannt. Doch diesmal geht es nicht nur um Passwörter sondern auch um Fingerabdrücke und Gesichtsscans! Wohlgemerkt: unverschlüsselt und im Original. Also nicht mit einem Hashwert versehen oder anonymisiert. Damit wäre theoretisch eine Rekonstruktion des Originals realisierbar.

Die Datenbank war darüber hinaus manipulierbar. Das Team das die Daten aufgespürt hat, konnte neue Nutzer anlegen und bestehende Daten manipulieren!

Fazit

Eigentlich ist das besondere hier nicht, dass mal wieder einen Datenbank offen im Netzt aufgetaucht ist. Kritisch an dem Vorfall ist vor allem, dass es sich bei den Produkten rund um Biostar 2 nicht um ein simples Securityprodukt handelt. Die Firma stellt Produkte professionellen Markt her! Da verwundert es schon sehr, dass Daten derart kombiniert und unverschlüsselt in einer zentralen Datenbank abgelegt sind.

Der verwendete Cloud-Ansatz des Anbieters zeigt hier seine Schattenseite: jeder Fehlern in der Implementierung kann drastisch Auswirkungen haben. Selbst wenn der Zugang zur Datenbank nun wieder geschützt ist, dürfte es deutlich länger dauern das Hauptproblem in der Software und deren Architektur zu korrigieren.

Das Wichtigste im Überblick

Betroffene Daten

  • Zutrittskontrolle für abgesicherte Bereiche bspw Lagerhallen, Büros, …
  • Firma: Suprema
  • Produkt: Biostar 2
  • Passwörter
  • biometrische Daten wie Gesichter und Fingerabrücke im Original(!), also nicht deren Hashwert
  • weitere Nutzerdaten
  • Ca. 1M Nutzerkonten betroffen

Bedenklich

  • Das System wird von der kritischen Institutionen genutzt, wie etwa der Polizei (UK Metropolitan wurde genannt), Behörden und Banken
  • Über 1,5M Installationen weltweit
  • Cloudservice
  • Daten in der Datenbank unverschlüsselt und nicht anonymisiert

Quellen