Abo
  • Services:
Anzeige
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

CryptDB: Angriff auf verschlüsselte Datenbanken

Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar.
Mit CryptDB verschlüsselte Datenbanken sind unter Umständen angreifbar. (Bild: CryptDB project/MIT)

Ein Team von Microsoft-Wissenschaftlern hat einen Angriff auf die verschlüsselte Datenbank-Software CryptDB vorgestellt. Als Demonstrationsobjekt nutzte es US-Gesundheitsdatenbanken. Eine ehemalige Entwicklerin kritisiert den Angriff jedoch als unrealistisch.

Anzeige

Wissenschaftler von Microsoft Research wollen kritische Sicherheitslücken in CryptDB-Datenbanken gefunden haben. In einem kürzlich vorgestellten Bericht schreiben sie, dass es ihnen gelungen sei, vertrauliche Patientendaten aus einer Beispieldatenbank zu extrahieren. Dazu nutzten sie Ordering-Angriffe und eine Frequenzanalyse.

CryptDB wird genutzt, um Datenbanken gegen unbefugten Zugriff abzusichern. Die Technik soll außerdem zum Beispiel Wissenschaftlern die Recherche in Datenbanken ermöglichen, ohne alle Datensätze sichtbar zu machen. Dazu wird bei Eingabe eines Suchbegriffs, laut ursprünglichem Konzept, "deterministisch der gleiche Cipher-Text für den gleichen Ausgangstext" erstellt.

Die Daten einzelner Nutzer sind jeweils mit einem eigenen Schlüssel verschlüsselt - je nach Konfiguration haben also nicht einmal die Administratoren Zugriff auf die Daten.

Gesundheitsdaten als Angriffsziel

Für den jetzt vorgestellten Angriff nutzten die Wissenschaftler Patientendaten der US-Gesundheitsbehörde. Diese sind für Recherchezwecke unter bestimmten Bedingungen legal verfügbar. Sie entschieden dann je nach Datensatz, ob sie die ursprünglich unverschlüsselten Daten zu Testzwecken mit OPE (Order-Preserving-Encryption), DTE (Deterministic-Encryption) oder gar nicht verschlüsseln. Außerdem nutzten sie öffentliche Gesundheitsdaten als zufällige Referenzwerte.

Angriffe auf die mit OPE verschlüsselten Datensätze nutzen die ursprüngliche Sortierung der Daten in der Tabelle. Die Wissenschaftler verglichen die Werte dann mit denen der öffentlichen Gesundheitsdatenbanken. Es gelang ihnen, Daten wie den Monat der Aufnahme im Krankenhaus und das Sterberisiko von 100 Prozent der Patienten in 90 Prozent der 200 größten Krankenhäuser zu ermitteln. Mit bekannten Techniken zur Deanonymisierung großer Datenbanken könnten böswillige Angreifer weitere Informationen gewinnen.

Darüber hinaus nutzten die Forscher Schwächen im DTE-Cipher-Text aus. Durch eine Frequenzanalyse und die Korrelation der untersuchten, verschlüsselten Datenbanken mit den öffentlichen Referenzwerten konnten sie Sterbedaten und Todesrisiko von 100 Prozent der Patienten in fast allen großen Krankenhäusern in der Datenbank herausfinden.

Ehemalige CryptDB-Entwicklerin kritisiert den Angriff

Die ehemalige CryptDB-Entwicklerin Raluca Ada Popa kritisierte den Angriff in einem Gespräch mit Forbes: Die Verschlüsselung mit OPE und DTE solle nur für hochzufällige (high-enthropy) Datensätze eingesetzt werden. Die genutzten "Sorting"-Angriffe wären damit nicht durchführbar. Nutzer von CryptDB seien nicht betroffen, da sie "OPE entweder nicht nutzen, oder nur für geeignete Datensätze". Jeder, mit dem sie sich darüber ausgetauscht habe, würde OPE nur mit großer Vorsicht einsetzen.


eye home zur Startseite
Industrial 08. Sep 2015

Hm, ist das die Aufgabe einer Datenbank? Ich kann die Keys als Backup exportieren (und...



Anzeige

Stellenmarkt
  1. thyssenkrupp AG, Essen
  2. WIKA Alexander Wiegand SE & Co. KG, Klingenberg bei Aschaffenburg
  3. T-Systems International GmbH, Ulm, Gaimersheim, München, Dresden
  4. ASC Automotive Solution Center AG, Düsseldorf


Anzeige
Spiele-Angebote
  1. 7,99€
  2. 6,99€
  3. 22,99€

Folgen Sie uns
       


  1. Razer Core im Test

    Grafikbox + Ultrabook = Gaming-System

  2. Iphone-Hersteller

    Apple testet 5G-Technologie

  3. Cern

    Der LHC ist zurück aus der Winterpause

  4. Jamboard

    Googles Smartboard kommt in den USA auf den Markt

  5. Überwachung

    Wikipedia darf nun doch die NSA verklagen

  6. Prototypen

    BOE zeigt AMQLED-Displays mit 5 und 14 Zoll

  7. Passwortmanager

    1Password bietet sichere Passwörter beim Grenzübertritt

  8. QD-LCD mit LED-BLU

    Forscher kritisieren Samsungs QLED-Marketing

  9. Amazon, Maxdome, Netflix und Co.

    EU will europäische Filmquote etablieren

  10. XPS 13 (9365) im Test

    Dells Convertible zeigt alte Stärken und neue Schwächen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später
  3. Blackberry Keyone im Hands on Android-Smartphone mit toller Hardware-Tastatur

  1. Re: Grundlos?

    M.P. | 11:55

  2. Wie siehts eig. mit australien aus?

    My1 | 11:54

  3. Re: 1Terabit braucht in 10 Jahren keiner mehr...

    __destruct() | 11:54

  4. Re: Taugen Passwortmanager was?

    david_rieger | 11:54

  5. Re: 30% Müll

    Niaxa | 11:53


  1. 12:01

  2. 11:57

  3. 11:32

  4. 11:21

  5. 10:52

  6. 10:40

  7. 10:19

  8. 10:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel