• IT-Karriere:
  • Services:

Viele Fehler und ein düsterer Ausblick

CGM Life bietet in seiner Cloud verschiedene Dienste, die miteinander interagieren und auf Daten in der Cloud zugreifen können. So kann beispielsweise eine Krankenkasse ein eigenes Weblogin für ihre Kunden bereitstellen. Einige dieser Anwendungen unterstützen die Zwei-Faktor-Authentifizierung, manche setzen dies sogar zwingend voraus. Durch die verschiedenen Loginmöglichkeiten der Gesundheitsplattform kann ein Angreifer die Zwei-Faktor-Authentifikation umgehen, indem er sich auf der Webseite von CGM Life mit dem Passwort und ohne zweiten Faktor einloggt, statt sich bei der Krankenkasse einzuloggen, die einen zweiten Faktor verlangt.

Stellenmarkt
  1. Bayerische Versorgungskammer, München
  2. ING Deutschland, Frankfurt, Nürnberg

Wie bei Vivy konnten auch Patienten über CGM Life Dateien mit Ärzten austauschen. Die Akten sind mit einer sechsstelligen PIN geschützt - diese kann mit einem Brute-Force-Angriff, also mit dem Durchprobieren der Zahlenfolgen, geknackt werden.

CGM Life nutzt eine Login-Technik, die es ermöglicht, die Passwörter komplett auf dem eigenen Rechner durchzuprobieren, was einen Brute-Force-Angriff mit hoher Geschwindigkeit ermöglicht. Ein Nutzer, der sich auf der CGM-Plattform anmelden will, erhält beim Login ein zu seiner E-Mail-Adresse passendes "Secret". Dieses und das Passwort ergeben zusammen den Private-Key des Nutzers. Tschirsich konnte das zu einer E-Mail-Adresse eines Nutzers passende Secret abgreifen, den öffentlichen Schlüssel herunterladen und anschließend offline die Passwörter eines Wörterbuches ausprobieren. Das hat er auch getan: Er hat deutsche E-Mail-Adressen von Dropbox heruntergeladen, von denen drei Prozent bei CGM Life angemeldet waren. Von diesen konnte er das zur E-Mail-Adresse passende Secret herunterladen und alle Passwörter beziehungsweise Wörter eines Wörterbuches durchprobieren. So konnte er drei Prozent der Passwörter auf seinem vier Jahre alten Laptop errechnen.

Nicht einmal so sicher wie Online-Banking

Zusammengefasst sei die Sicherheit der Gesundheitsapps und -dienste nicht einmal auf dem Niveau von Online-Banking - und unsere Gesundheitsdaten sollten eigentlich besser geschützt werden als unsere Finanzdaten. "Wenn ich jetzt anfange, Bankdaten zu sammeln, dann interessieren die in 20 Jahren niemanden mehr. Gesundheitsdaten schon", sagt Tschirsich. Johannes Buchmann, Professor für Kryptographie an der TU-Darmstadt, geht davon aus, dass es keinen Datenspeicher gibt, der Daten 20 Jahre sicher aufbewahren kann. Wie sollen wir dann unsere Gesundheitsdaten sicher lagern? Dennoch werden die elektronische Gesundheitsakte und die elektronische Patientenakte kommen. Zeit, sich jetzt für eine gute und sichere Umsetzung einzusetzen, fordert Tschirsich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Ein Gesundheitskonto voller Lücken
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Top-Angebote
  1. (u. a. Gigabyte Geforce RTX 3080 Gaming OC 10G 10.240 MB GDDR6X für 825,04€, Inno3D GeForce RTX...
  2. (u. a. Marvel's Spider-Man: Miles Morales 59,99€, Horizon: Forbidden West für 79,99€, Gran...
  3. ab 749€ auf Geizhals
  4. 19,99€ bei Steam (bis 24. September)

devman 14. Jan 2019

Die Prüfen ob ein Impressum existiert, ob das Opt-In funktioniert, ob die Menüs sichtbar...

devman 14. Jan 2019

Dezentral waren die IP-Cams, die Mitglied eines Botnets wurden. Als Betrüger kann die...

Anonymer Nutzer 11. Jan 2019

Ernsthaft. Dazu kann man nichts mehr sagen.


Folgen Sie uns
       


    •  /