Abo
  • Services:
Anzeige
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

CryptDB: Angriff auf verschlüsselte Datenbanken

Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

Ein Team von Microsoft-Wissenschaftlern hat einen Angriff auf die verschlüsselte Datenbank-Software CryptDB vorgestellt. Als Demonstrationsobjekt nutzte es US-Gesundheitsdatenbanken. Eine ehemalige Entwicklerin kritisiert den Angriff jedoch als unrealistisch.

Anzeige

Wissenschaftler von Microsoft Research wollen kritische Sicherheitslücken in CryptDB-Datenbanken gefunden haben. In einem kürzlich vorgestellten Bericht schreiben sie, dass es ihnen gelungen sei, vertrauliche Patientendaten aus einer Beispieldatenbank zu extrahieren. Dazu nutzten sie Ordering-Angriffe und eine Frequenzanalyse.

CryptDB wird genutzt, um Datenbanken gegen unbefugten Zugriff abzusichern. Die Technik soll außerdem zum Beispiel Wissenschaftlern die Recherche in Datenbanken ermöglichen, ohne alle Datensätze sichtbar zu machen. Dazu wird bei Eingabe eines Suchbegriffs, laut ursprünglichem Konzept, "deterministisch der gleiche Cipher-Text für den gleichen Ausgangstext" erstellt.

Die Daten einzelner Nutzer sind jeweils mit einem eigenen Schlüssel verschlüsselt - je nach Konfiguration haben also nicht einmal die Administratoren Zugriff auf die Daten.

Gesundheitsdaten als Angriffsziel

Für den jetzt vorgestellten Angriff nutzten die Wissenschaftler Patientendaten der US-Gesundheitsbehörde. Diese sind für Recherchezwecke unter bestimmten Bedingungen legal verfügbar. Sie entschieden dann je nach Datensatz, ob sie die ursprünglich unverschlüsselten Daten zu Testzwecken mit OPE (Order-Preserving-Encryption), DTE (Deterministic-Encryption) oder gar nicht verschlüsseln. Außerdem nutzten sie öffentliche Gesundheitsdaten als zufällige Referenzwerte.

Angriffe auf die mit OPE verschlüsselten Datensätze nutzen die ursprüngliche Sortierung der Daten in der Tabelle. Die Wissenschaftler verglichen die Werte dann mit denen der öffentlichen Gesundheitsdatenbanken. Es gelang ihnen, Daten wie den Monat der Aufnahme im Krankenhaus und das Sterberisiko von 100 Prozent der Patienten in 90 Prozent der 200 größten Krankenhäuser zu ermitteln. Mit bekannten Techniken zur Deanonymisierung großer Datenbanken könnten böswillige Angreifer weitere Informationen gewinnen.

Darüber hinaus nutzten die Forscher Schwächen im DTE-Cipher-Text aus. Durch eine Frequenzanalyse und die Korrelation der untersuchten, verschlüsselten Datenbanken mit den öffentlichen Referenzwerten konnten sie Sterbedaten und Todesrisiko von 100 Prozent der Patienten in fast allen großen Krankenhäusern in der Datenbank herausfinden.

Ehemalige CryptDB-Entwicklerin kritisiert den Angriff

Die ehemalige CryptDB-Entwicklerin Raluca Ada Popa kritisierte den Angriff in einem Gespräch mit Forbes: Die Verschlüsselung mit OPE und DTE solle nur für hochzufällige (high-enthropy) Datensätze eingesetzt werden. Die genutzten "Sorting"-Angriffe wären damit nicht durchführbar. Nutzer von CryptDB seien nicht betroffen, da sie "OPE entweder nicht nutzen, oder nur für geeignete Datensätze". Jeder, mit dem sie sich darüber ausgetauscht habe, würde OPE nur mit großer Vorsicht einsetzen.


eye home zur Startseite
Industrial 08. Sep 2015

Hm, ist das die Aufgabe einer Datenbank? Ich kann die Keys als Backup exportieren (und...



Anzeige

Stellenmarkt
  1. IAV GmbH - Ingenieurgesellschaft Auto und Verkehr, Gifhorn
  2. Detecon International GmbH, Köln, Frankfurt am Main
  3. operational services GmbH & Co. KG, Frankfurt am Main, München, Nürnberg, Wolfsburg
  4. FERCHAU Engineering GmbH, Region Zwickau und Chemnitz


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 94,90€ statt 109,90€
  3. (täglich neue Deals)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Teilzeitarbeit

    Amazon probiert 30-Stunden-Woche aus

  2. Archos

    Neues Smartphone mit Fingerabdrucksensor für 150 Euro

  3. Sicherheit

    Operas Server wurden angegriffen

  4. Maru

    Quellcode von Desktop-Android als Open Source verfügbar

  5. Linux

    Kernel-Sicherheitsinitiative wächst "langsam aber stetig"

  6. VR-Handschuh

    Dexta Robotics' Exoskelett für Motion Capturing

  7. Dragonfly 44

    Eine Galaxie fast ganz aus dunkler Materie

  8. Gigabit-Breitband

    Google Fiber soll Alphabet zu teuer sein

  9. Google-Steuer

    EU-Kommission plädiert für europäisches Leistungsschutzrecht

  10. Code-Gründer Thomas Bachem

    "Wir wollen weg vom Frontalunterricht"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Next Gen Memory: So soll der Speicher der nahen Zukunft aussehen
Next Gen Memory
So soll der Speicher der nahen Zukunft aussehen
  1. Arbeitsspeicher DDR5 nähert sich langsam der Marktreife
  2. SK Hynix HBM2-Stacks mit 4 GByte ab dem dritten Quartal verfügbar
  3. Arbeitsspeicher Crucial liefert erste NVDIMMs mit DDR4 aus

Wiper Blitz 2.0 im Test: Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
Wiper Blitz 2.0 im Test
Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
  1. Softrobotik Oktopus-Roboter wird mit Gas angetrieben
  2. Warenzustellung Schweizer Post testet autonome Lieferroboter
  3. Lockheed Martin Roboter Spider repariert Luftschiffe

8K- und VR-Bilder in Rio 2016: Wenn Olympia zur virtuellen Realität wird
8K- und VR-Bilder in Rio 2016
Wenn Olympia zur virtuellen Realität wird
  1. 400 MBit/s Telefónica und Huawei starten erstes deutsches 4.5G-Netz
  2. Medienanstalten Analoge TV-Verbreitung bindet hohe Netzkapazitäten
  3. Mehr Programme Vodafone Kabel muss Preise für HD-Einspeisung senken

  1. Re: Golem vergleicht Äpfel mit Birnen

    GeneralWest | 10:30

  2. Re: PC von der Stange vs Selbstbau

    lottikarotti | 10:29

  3. Re: Gibt es einen Lagerarbeitsplatz, wo es einem...

    baumhausbewohner | 10:13

  4. Re: 30 Stunden auf Abruf ?!?

    Moe479 | 10:01

  5. Re: Daten-GAU

    Lagganmhouillin | 09:58


  1. 15:59

  2. 15:18

  3. 13:51

  4. 12:59

  5. 15:33

  6. 15:17

  7. 14:29

  8. 12:57


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel