{"id":19,"date":"2019-08-18T08:00:52","date_gmt":"2019-08-18T06:00:52","guid":{"rendered":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/?p=19"},"modified":"2019-08-18T00:06:32","modified_gmt":"2019-08-17T22:06:32","slug":"grosses-datenleck-biometrischer-zugangsdaten","status":"publish","type":"post","link":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/grosses-datenleck-biometrischer-zugangsdaten\/","title":{"rendered":"Gro\u00dfes Datenleck biometrischer Zugangsdaten"},"content":{"rendered":"<p>Ein neuer Sicherheitsvorfall ist unglaublich. Laut einem Bericht von The Guardian und Heise-Security wurde bei einem Routinescan eine offene Datenbank im Internet gefunden.<\/p>\n<h2>Um was geht es<\/h2>\n<p>Hier geht es nicht um irgendeine Datenbank, mit irgendwelchen Passw\u00f6rtern. Bei der gefundenen Datenbank handelt es sich um die komplett unverschl\u00fcsselten Zugangsdaten zu extra gesicherten Lagerhallen und B\u00fcros mit \u00fcber 1 Million Nutzerkonten. Betroffen ist das System Biostar 2 von Suprema.<\/p>\n<p>Prominente Nutzer des Systems sind unter anderem Beh\u00f6rden, Banken und die Polizei (bspw UK Metropolitan). Aber es findet sich auch die deutsche Firma Identbase darunter, die ironischerweise selbst ID-Karten herstellt.<\/p>\n<p>Ob Daten gestohlen wurden ist noch nicht bekannt. Doch diesmal geht es nicht nur um Passw\u00f6rter sondern auch um Fingerabdr\u00fccke und Gesichtsscans! Wohlgemerkt: unverschl\u00fcsselt und im Original. Also nicht mit einem Hashwert versehen oder anonymisiert. Damit w\u00e4re theoretisch eine Rekonstruktion des Originals realisierbar.<\/p>\n<p>Die Datenbank war dar\u00fcber hinaus manipulierbar. Das Team das die Daten aufgesp\u00fcrt hat, konnte neue Nutzer anlegen und bestehende Daten manipulieren!<\/p>\n<h2>Fazit<\/h2>\n<p>Eigentlich ist das besondere hier nicht, dass mal wieder einen Datenbank offen im Netzt aufgetaucht ist. Kritisch an dem Vorfall ist vor allem, dass es sich bei den Produkten rund um Biostar 2 nicht um ein simples Securityprodukt handelt. Die Firma stellt Produkte professionellen Markt her! Da verwundert es schon sehr, dass Daten derart kombiniert und unverschl\u00fcsselt in einer zentralen Datenbank abgelegt sind.<\/p>\n<p>Der verwendete Cloud-Ansatz des Anbieters zeigt hier seine Schattenseite: jeder Fehlern in der Implementierung kann drastisch Auswirkungen haben. Selbst wenn der Zugang zur Datenbank nun wieder gesch\u00fctzt ist, d\u00fcrfte es deutlich l\u00e4nger dauern das Hauptproblem in der Software und deren Architektur zu korrigieren.<\/p>\n<h2>Das Wichtigste im \u00dcberblick<\/h2>\n<h3>Betroffene Daten<\/h3>\n<ul>\n<li>Zutrittskontrolle f\u00fcr abgesicherte Bereiche bspw Lagerhallen, B\u00fcros, \u2026<\/li>\n<li>Firma: Suprema<\/li>\n<li>Produkt: Biostar 2<\/li>\n<\/ul>\n<ul>\n<li>Passw\u00f6rter<\/li>\n<li>biometrische Daten wie Gesichter und Fingerabr\u00fccke im Original(!), also nicht deren Hashwert<\/li>\n<li>weitere Nutzerdaten<\/li>\n<li>Ca. 1M Nutzerkonten betroffen<\/li>\n<\/ul>\n<h3>Bedenklich<\/h3>\n<ul>\n<li>Das System wird von der kritischen Institutionen genutzt, wie etwa der Polizei (UK Metropolitan wurde genannt), Beh\u00f6rden und Banken<\/li>\n<li>\u00dcber 1,5M Installationen weltweit<\/li>\n<li>Cloudservice<\/li>\n<li>Daten in der Datenbank unverschl\u00fcsselt und nicht anonymisiert<\/li>\n<\/ul>\n<h2>Quellen<\/h2>\n<ul>\n<li>Originalquellen: <a href=\"https:\/\/www.vpnmentor.com\/blog\/report-biostar2-leak\/\">https:\/\/www.vpnmentor.com\/blog\/report-biostar2-leak\/<\/a><\/li>\n<\/ul>\n<ul>\n<li>Englisch: <a href=\"https:\/\/www.theguardian.com\/technology\/2019\/aug\/14\/major-breach-found-in-biometrics-system-used-by-banks-uk-police-and-defence-firms\">https:\/\/www.theguardian.com\/technology\/2019\/aug\/14\/major-breach-found-in-biometrics-system-used-by-banks-uk-police-and-defence-firms<\/a><\/li>\n<\/ul>\n<ul>\n<li>Deutsch: <a href=\"https:\/\/www.security-insider.de\/biometrische-daten-von-millionen-nutzern-entdeckt-a-855964\/\">https:\/\/www.security-insider.de\/biometrische-daten-von-millionen-nutzern-entdeckt-a-855964\/<\/a><\/li>\n<li>System: <a href=\"https:\/\/www.supremainc.com\/en\/platform\/distributed-security-system-biostar-2.asp\">https:\/\/www.supremainc.com\/en\/platform\/distributed-security-system-biostar-2.asp<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Biometrische Nutzerdatenbank des Biostar 2 Systems von Suprema im Netz. Unverschl\u00fcsselte Daten konnten ausgelesen und manipuliert werden.<\/p>\n","protected":false},"author":1,"featured_media":71,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"Datenleck von biometrische Daten bei Suprema, Biostar 2 System. 1 Million Nutzerkonten in unverschl\u00fcsselter Form enthalten Fingerabdr\u00fccke und Gesichtscans.","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[2],"tags":[4,8,5,6,7,3,9],"class_list":{"0":"post-19","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-sicherheit","8":"tag-biometrie","9":"tag-enterprise","10":"tag-fingerabrduck","11":"tag-gesichtsscan","12":"tag-passwort","13":"tag-sicherheit","14":"tag-zugangskontrolle","15":"czr-hentry"},"aioseo_notices":[],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-content\/uploads\/sites\/7\/2019\/08\/fa4057f5-324d-49d2-9ad5-80fcc8d119c7.jpg","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/posts\/19","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/comments?post=19"}],"version-history":[{"count":7,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/posts\/19\/revisions"}],"predecessor-version":[{"id":73,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/posts\/19\/revisions\/73"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/media\/71"}],"wp:attachment":[{"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/media?parent=19"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/categories?post=19"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.rumbletumble.net\/beesfruitwatch\/wp-json\/wp\/v2\/tags?post=19"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}