Spisu treści:
Co musisz wiedzieć
- Dwóch izraelskich badaczy bezpieczeństwa odkryło niezaszyfrowaną bazę danych Biostar 2 z danymi o wartości 23 GB
- Dane zawierały odciski palców, skany twarzy, nazwy użytkowników, hasła i inne dane osobowe ponad 1 miliona osób.
- Luka została już zamknięta, a firma dokonuje dogłębnej oceny informacji.
W ubiegłym tygodniu izraelscy badacze bezpieczeństwa Noam Rotem i Ran Locar odkryli w większości niezaszyfrowaną publicznie dostępną bazę danych Biostar 2 online. Baza danych zawierała odciski palców, skany twarzy, nazwy użytkowników i hasła oraz dane osobowe ponad 1 miliona osób.
Biostar 2 to system zamka biometrycznego opracowany przez firmę ochroniarską Suprema, który integruje się z systemem kontroli dostępu AEOS. AEOS jest właśnie używany w 83 krajach na całym świecie i w 5700 organizacjach, w tym w rządach, bankach i brytyjskiej policji miejskiej.
Rotem i Locar natrafiły na tę bazę danych podczas projektu pobocznego z vpnmentor, w którym skanują „porty szukające znanych bloków IP, a następnie wykorzystują te bloki, aby znaleźć dziury w systemach firmowych, które mogą potencjalnie prowadzić do naruszenia danych”.
Po znalezieniu bazy danych Biostar 2 para mogła przeszukiwać bazę danych i manipulować adresami URL w celu uzyskania dostępu do danych.
Badacze mieli dostęp do ponad 27, 8 mln rekordów i 23 gigabajtów danych, w tym paneli administracyjnych, pulpitów nawigacyjnych, danych daktyloskopijnych, danych rozpoznawania twarzy, zdjęć twarzy użytkowników, niezaszyfrowanych nazw użytkowników i haseł, dzienników dostępu do obiektu, poziomów bezpieczeństwa i uprawnień, oraz dane osobowe pracowników.
W rozmowie z Guardianem Rotem powiedział, że większość nazw użytkowników i haseł była niezaszyfrowana, a także że mogli zmieniać dane i dodawać nowych użytkowników do systemu.
W artykule o odkryciu dostarczonym Guardianowi przed opublikowaniem go przez środę vpnmentor naukowcy stwierdzili, że byli w stanie uzyskać dostęp do danych od organizacji współpracujących w USA i Indonezji, sieci siłowni w Indiach i Pakistanie, dostawcy leków w Wielka Brytania i deweloper miejsc parkingowych w Finlandii.
Co czyni to jeszcze bardziej niebezpiecznym, naukowcy wskazali, że baza danych zawiera odciski palców ludzi. Oznacza to, że odcisk palca może być kopiowany i używany przez innych, zamiast przechowywać skrót odcisku palca, którego nie można poddać inżynierii wstecznej.
Rotem i Locar podjęli wiele prób skontaktowania się z Supremą przed wysłaniem swojej gazety do Strażnika pod koniec zeszłego tygodnia, a od środy rano luka została naprawiona. Szef marketingu w Suprema, Andy Ahn, powiedział Guardian, że firma dokonuje „dogłębnej oceny” informacji i:
Jeśli wystąpi jakiekolwiek wyraźne zagrożenie dla naszych produktów i / lub usług, podejmiemy natychmiastowe działania i wydamy odpowiednie ogłoszenia w celu ochrony cennych firm i aktywów naszych klientów.
Wszyscy widzieliśmy wiadomości o naruszeniach bezpieczeństwa i bardziej niż prawdopodobne, że padłeś ofiarą jednego z nich w przeszłości. Zwykle wymaga to zmiany hasła, ale jeśli chodzi o dane biometryczne, nie można po prostu zmienić odcisku palca lub twarzy.
Jak bezpieczne jest rozpoznawanie twarzy w Galaxy S10?
