Biometriedatenbank mit 27,8 Millionen Einträgen ungesichert im Netz
Zusammenfassung
Forscher von vpnMentor fanden 2019 die Biometriedatenbank „Biostar 2“ des Herstellers Suprema weitgehend ungeschützt im Netz. Über einen normalen Browser erreichten sie 27,8 Millionen Einträge mit 23 Gigabyte, darunter unverschlüsselte Benutzernamen und Passwörter, über eine Million Fingerabdrücke und Gesichtsbilder. Das System steuerte Zutrittskontrollen, auch über die Nedap-Plattform AEOS bei über 5700 Organisationen in 83 Ländern.
Ideen
- Einfache Portscans genügten, um die offene Datenbank zu finden.
- Manipulierte Suchparameter in der URL gaben die Daten frei.
- Mit Adminzugriff hätten Angreifer Personen aus Gebäuden aussperren oder Zutritte verfolgen können.
- Biometrische Merkmale lassen sich anders als Passwörter nicht ändern.
Einsichten
- Ein Datenleck bei Biometrie ist dauerhaft, weil Fingerabdrücke nicht austauschbar sind.
- Physische Sicherheitssysteme erben die Schwächen ihrer Cloud-Plattform.
Fakten
- Die Daten umfassten 27,8 Millionen Einträge mit 23 Gigabyte.
- In Deutschland soll der Ausrüster Identbase betroffen gewesen sein.
- Suprema speicherte vollständige biometrische Daten statt nicht umkehrbarer Hashwerte.
- Nach der Meldung am 7. August wurde die Lücke am 13. August 2019 geschlossen.
Referenzen
Kritik
- Die Meldung beruht vor allem auf Angaben der Finder, die zugleich einen VPN-Dienst vermarkten.
Empfehlungen
- Speichere biometrische Daten, wenn überhaupt, nur als nicht umkehrbare Merkmale und lokal.
- Prüfe bei Cloud-Zutrittssystemen, wo Daten liegen und wie der Zugriff geschützt ist.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.