Abo
  • Services:
Anzeige
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

CryptDB: Angriff auf verschlüsselte Datenbanken

Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

Ein Team von Microsoft-Wissenschaftlern hat einen Angriff auf die verschlüsselte Datenbank-Software CryptDB vorgestellt. Als Demonstrationsobjekt nutzte es US-Gesundheitsdatenbanken. Eine ehemalige Entwicklerin kritisiert den Angriff jedoch als unrealistisch.

Anzeige

Wissenschaftler von Microsoft Research wollen kritische Sicherheitslücken in CryptDB-Datenbanken gefunden haben. In einem kürzlich vorgestellten Bericht schreiben sie, dass es ihnen gelungen sei, vertrauliche Patientendaten aus einer Beispieldatenbank zu extrahieren. Dazu nutzten sie Ordering-Angriffe und eine Frequenzanalyse.

CryptDB wird genutzt, um Datenbanken gegen unbefugten Zugriff abzusichern. Die Technik soll außerdem zum Beispiel Wissenschaftlern die Recherche in Datenbanken ermöglichen, ohne alle Datensätze sichtbar zu machen. Dazu wird bei Eingabe eines Suchbegriffs, laut ursprünglichem Konzept, "deterministisch der gleiche Cipher-Text für den gleichen Ausgangstext" erstellt.

Die Daten einzelner Nutzer sind jeweils mit einem eigenen Schlüssel verschlüsselt - je nach Konfiguration haben also nicht einmal die Administratoren Zugriff auf die Daten.

Gesundheitsdaten als Angriffsziel

Für den jetzt vorgestellten Angriff nutzten die Wissenschaftler Patientendaten der US-Gesundheitsbehörde. Diese sind für Recherchezwecke unter bestimmten Bedingungen legal verfügbar. Sie entschieden dann je nach Datensatz, ob sie die ursprünglich unverschlüsselten Daten zu Testzwecken mit OPE (Order-Preserving-Encryption), DTE (Deterministic-Encryption) oder gar nicht verschlüsseln. Außerdem nutzten sie öffentliche Gesundheitsdaten als zufällige Referenzwerte.

Angriffe auf die mit OPE verschlüsselten Datensätze nutzen die ursprüngliche Sortierung der Daten in der Tabelle. Die Wissenschaftler verglichen die Werte dann mit denen der öffentlichen Gesundheitsdatenbanken. Es gelang ihnen, Daten wie den Monat der Aufnahme im Krankenhaus und das Sterberisiko von 100 Prozent der Patienten in 90 Prozent der 200 größten Krankenhäuser zu ermitteln. Mit bekannten Techniken zur Deanonymisierung großer Datenbanken könnten böswillige Angreifer weitere Informationen gewinnen.

Darüber hinaus nutzten die Forscher Schwächen im DTE-Cipher-Text aus. Durch eine Frequenzanalyse und die Korrelation der untersuchten, verschlüsselten Datenbanken mit den öffentlichen Referenzwerten konnten sie Sterbedaten und Todesrisiko von 100 Prozent der Patienten in fast allen großen Krankenhäusern in der Datenbank herausfinden.

Ehemalige CryptDB-Entwicklerin kritisiert den Angriff

Die ehemalige CryptDB-Entwicklerin Raluca Ada Popa kritisierte den Angriff in einem Gespräch mit Forbes: Die Verschlüsselung mit OPE und DTE solle nur für hochzufällige (high-enthropy) Datensätze eingesetzt werden. Die genutzten "Sorting"-Angriffe wären damit nicht durchführbar. Nutzer von CryptDB seien nicht betroffen, da sie "OPE entweder nicht nutzen, oder nur für geeignete Datensätze". Jeder, mit dem sie sich darüber ausgetauscht habe, würde OPE nur mit großer Vorsicht einsetzen.


eye home zur Startseite
Industrial 08. Sep 2015

Hm, ist das die Aufgabe einer Datenbank? Ich kann die Keys als Backup exportieren (und...



Anzeige

Stellenmarkt
  1. Viega Holding GmbH & Co. KG, Attendorn
  2. Zweckverband Kommunale Datenverarbeitung Region Stuttgart, Stuttgart
  3. Deutsche Bundesstiftung Umwelt, Osnabrück
  4. azh Abrechnungs- und IT-Dienstleistungszentrum für Heilberufe GmbH, Aschheim Raum München


Anzeige
Hardware-Angebote
  1. ab 453,17€
  2. (u. a. DXRacer OH/RE9/NW für 199,90€ statt 226€ im Preisvergleich)

Folgen Sie uns
       


  1. Counter-Strike Go

    Bei Abschuss Ransomware

  2. Hacking

    Microsoft beschlagnahmt Fancy-Bear-Infrastruktur

  3. Die Woche im Video

    Strittige Standards, entzweite Bitcoins, eine Riesenkonsole

  4. Bundesverkehrsministerium

    Dobrindt finanziert weitere Projekte zum autonomen Fahren

  5. Mobile

    Razer soll Smartphone für Gamer planen

  6. Snail Games

    Dark and Light stürmt Steam

  7. IETF

    Netzwerker wollen Quic-Pakete tracken

  8. Surface Diagnostic Toolkit

    Surface-Tool kommt in den Windows Store

  9. Bürgermeister

    Telekom und Unitymedia verweigern Open-Access-FTTH

  10. Layton's Mystery Journey im Test

    Katrielle, fast ganz der Papa



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Ikea Trådfri im Test: Drahtlos (und sicher) auf Schwedisch
Ikea Trådfri im Test
Drahtlos (und sicher) auf Schwedisch
  1. Die Woche im Video Kündigungen, Kernaussagen und KI-Fahrer
  2. Augmented Reality Ikea will mit iOS 11 Wohnungen virtuell einrichten
  3. Space10 Ikea-Forschungslab untersucht Umgang mit KI

Neuer A8 vorgestellt: Audis Staupilot steckt noch im Zulassungsstau
Neuer A8 vorgestellt
Audis Staupilot steckt noch im Zulassungsstau
  1. Autonomes Fahren Continental will beim Kartendienst Here einsteigen
  2. Verbrenner Porsche denkt über Dieselausstieg nach
  3. Autonomes Fahren Audi lässt Kunden selbstfahrenden A7 testen

Anker Powercore+ 26800 PD im Test: Die Powerbank für (fast) alles
Anker Powercore+ 26800 PD im Test
Die Powerbank für (fast) alles
  1. Toshiba Teures Thunderbolt-3-Dock mit VGA-Anschluss
  2. Asus Das Zenbook Flip S ist 10,9 mm flach
  3. Anker Powercore+ 26800 PD Akkupack liefert Strom per Power Delivery über USB Typ C

  1. Re: Wann wird es wieder freigeschaltet?

    Sicaine | 18:37

  2. Re: Mod für Ark

    nachgefragt | 18:25

  3. Re: Langweiliger Einheitsbrei für die breite Masse

    nachgefragt | 18:18

  4. Re: Dummes Argument von Unitymidia.

    plutoniumsulfat | 18:08

  5. Re: Verkaufscharts

    nachgefragt | 18:04


  1. 12:43

  2. 11:54

  3. 09:02

  4. 16:55

  5. 16:33

  6. 16:10

  7. 15:56

  8. 15:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel