Ein neuer Sicherheitsvorfall ist unglaublich. Laut einem Bericht von The Guardian und Heise-Security wurde bei einem Routinescan eine offene Datenbank im Internet gefunden.
Um was geht es
Hier geht es nicht um irgendeine Datenbank, mit irgendwelchen Passwörtern. Bei der gefundenen Datenbank handelt es sich um die komplett unverschlüsselten Zugangsdaten zu extra gesicherten Lagerhallen und Büros mit über 1 Million Nutzerkonten. Betroffen ist das System Biostar 2 von Suprema.
Prominente Nutzer des Systems sind unter anderem Behörden, Banken und die Polizei (bspw UK Metropolitan). Aber es findet sich auch die deutsche Firma Identbase darunter, die ironischerweise selbst ID-Karten herstellt.
Ob Daten gestohlen wurden ist noch nicht bekannt. Doch diesmal geht es nicht nur um Passwörter sondern auch um Fingerabdrücke und Gesichtsscans! Wohlgemerkt: unverschlüsselt und im Original. Also nicht mit einem Hashwert versehen oder anonymisiert. Damit wäre theoretisch eine Rekonstruktion des Originals realisierbar.
Die Datenbank war darüber hinaus manipulierbar. Das Team das die Daten aufgespürt hat, konnte neue Nutzer anlegen und bestehende Daten manipulieren!
Fazit
Eigentlich ist das besondere hier nicht, dass mal wieder einen Datenbank offen im Netzt aufgetaucht ist. Kritisch an dem Vorfall ist vor allem, dass es sich bei den Produkten rund um Biostar 2 nicht um ein simples Securityprodukt handelt. Die Firma stellt Produkte professionellen Markt her! Da verwundert es schon sehr, dass Daten derart kombiniert und unverschlüsselt in einer zentralen Datenbank abgelegt sind.
Der verwendete Cloud-Ansatz des Anbieters zeigt hier seine Schattenseite: jeder Fehlern in der Implementierung kann drastisch Auswirkungen haben. Selbst wenn der Zugang zur Datenbank nun wieder geschützt ist, dürfte es deutlich länger dauern das Hauptproblem in der Software und deren Architektur zu korrigieren.
Das Wichtigste im Überblick
Betroffene Daten
- Zutrittskontrolle für abgesicherte Bereiche bspw Lagerhallen, Büros, …
- Firma: Suprema
- Produkt: Biostar 2
- Passwörter
- biometrische Daten wie Gesichter und Fingerabrücke im Original(!), also nicht deren Hashwert
- weitere Nutzerdaten
- Ca. 1M Nutzerkonten betroffen
Bedenklich
- Das System wird von der kritischen Institutionen genutzt, wie etwa der Polizei (UK Metropolitan wurde genannt), Behörden und Banken
- Über 1,5M Installationen weltweit
- Cloudservice
- Daten in der Datenbank unverschlüsselt und nicht anonymisiert
Quellen
- Originalquellen: https://www.vpnmentor.com/blog/report-biostar2-leak/