Viele Fehler und ein düsterer Ausblick

CGM Life bietet in seiner Cloud verschiedene Dienste, die miteinander interagieren und auf Daten in der Cloud zugreifen können. So kann beispielsweise eine Krankenkasse ein eigenes Weblogin für ihre Kunden bereitstellen. Einige dieser Anwendungen unterstützen die Zwei-Faktor-Authentifizierung, manche setzen dies sogar zwingend voraus. Durch die verschiedenen Loginmöglichkeiten der Gesundheitsplattform kann ein Angreifer die Zwei-Faktor-Authentifikation umgehen, indem er sich auf der Webseite von CGM Life mit dem Passwort und ohne zweiten Faktor einloggt, statt sich bei der Krankenkasse einzuloggen, die einen zweiten Faktor verlangt.

Stellenmarkt
  1. Product Owner (m/w/d) - Cloud Plattform
    STRABAG BRVZ GMBH & CO.KG, Stuttgart, Köln, Berlin, Frankfurt am Main, Wien (Österreich)
  2. Netzwerkadministrator (m/w/d)
    operational services GmbH & Co. KG, Frankfurt am Main
Detailsuche

Wie bei Vivy konnten auch Patienten über CGM Life Dateien mit Ärzten austauschen. Die Akten sind mit einer sechsstelligen PIN geschützt - diese kann mit einem Brute-Force-Angriff, also mit dem Durchprobieren der Zahlenfolgen, geknackt werden.

CGM Life nutzt eine Login-Technik, die es ermöglicht, die Passwörter komplett auf dem eigenen Rechner durchzuprobieren, was einen Brute-Force-Angriff mit hoher Geschwindigkeit ermöglicht. Ein Nutzer, der sich auf der CGM-Plattform anmelden will, erhält beim Login ein zu seiner E-Mail-Adresse passendes "Secret". Dieses und das Passwort ergeben zusammen den Private-Key des Nutzers. Tschirsich konnte das zu einer E-Mail-Adresse eines Nutzers passende Secret abgreifen, den öffentlichen Schlüssel herunterladen und anschließend offline die Passwörter eines Wörterbuches ausprobieren. Das hat er auch getan: Er hat deutsche E-Mail-Adressen von Dropbox heruntergeladen, von denen drei Prozent bei CGM Life angemeldet waren. Von diesen konnte er das zur E-Mail-Adresse passende Secret herunterladen und alle Passwörter beziehungsweise Wörter eines Wörterbuches durchprobieren. So konnte er drei Prozent der Passwörter auf seinem vier Jahre alten Laptop errechnen.

Nicht einmal so sicher wie Online-Banking

Zusammengefasst sei die Sicherheit der Gesundheitsapps und -dienste nicht einmal auf dem Niveau von Online-Banking - und unsere Gesundheitsdaten sollten eigentlich besser geschützt werden als unsere Finanzdaten. "Wenn ich jetzt anfange, Bankdaten zu sammeln, dann interessieren die in 20 Jahren niemanden mehr. Gesundheitsdaten schon", sagt Tschirsich. Johannes Buchmann, Professor für Kryptographie an der TU-Darmstadt, geht davon aus, dass es keinen Datenspeicher gibt, der Daten 20 Jahre sicher aufbewahren kann. Wie sollen wir dann unsere Gesundheitsdaten sicher lagern? Dennoch werden die elektronische Gesundheitsakte und die elektronische Patientenakte kommen. Zeit, sich jetzt für eine gute und sichere Umsetzung einzusetzen, fordert Tschirsich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Ein Gesundheitskonto voller Lücken
  1.  
  2. 1
  3. 2
  4. 3


Aktuell auf der Startseite von Golem.de
Web3
Egal, irgendwas mit Blockchain

Im Buzzword-Bingo gibt es einen neuen Favoriten: Web3. Basierend auf Blockchain und Kryptotokens soll es endlich die Erwartungen an diese Techniken erfüllen.
Eine Analyse von Boris Mayer

Web3: Egal, irgendwas mit Blockchain
Artikel
  1. Parallel Systems: Ehemalige SpaceX-Mitarbeiter entwickeln neuartige Güterzüge
    Parallel Systems
    Ehemalige SpaceX-Mitarbeiter entwickeln neuartige Güterzüge

    Das Startup Parallel Systems will konventionelle Züge durch modulare Fahrzeuge mit eigenem Antrieb und Energieversorgung ersetzen.

  2. Rocket 1: 3D-Druck vom Kopf auf die Füße gestellt
    Rocket 1
    3D-Druck vom Kopf auf die Füße gestellt

    Eine der interessantesten Crowdfunding-Kampagnen für 3D-Drucker seit Jahren lässt einige wichtige Fragen offen.
    Von Elias Dinter

  3. Minibook X: Chuwi packt 12 GByte Arbeitsspeicher in 550-Euro-Notebook
    Minibook X
    Chuwi packt 12 GByte Arbeitsspeicher in 550-Euro-Notebook

    Das Chuwi Minibook X ist wohl eines der günstigsten Notebooks mit 12 GByte Arbeitsspeicher auf dem Markt. Es ist zudem kompakt.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED (2021) 40% günstiger (u.a. 65" 1.599€) • WD Black 1TB SSD 94,90€ • Lenovo Laptops (u.a. 17,3" RTX3080 1.599€) • Gigabyte Mainboard 299,82€ • RTX 3090 2.399€ • RTX 3060 Ti 799€ • MindStar (u.a. 32GB DDR5-6000 389€) • Alternate (u.a. Samsung LED TV 50" 549€) [Werbung]
    •  /