תוכן עניינים:
מה שאתה צריך לדעת
- שני חוקרי אבטחה ישראלים גילו מאגר נתונים שאינו מוצפן של ביוסטאר 2 עם נתונים בשווי 23 ג'יגה-בייט
- הנתונים כללו טביעות אצבעות, סריקות פנים, שמות משתמש, סיסמאות ומידע אישי אחר של למעלה ממיליון איש.
- הפגיעות נסגרה כעת והחברה מבצעת הערכה מעמיקה של המידע.
בשבוע שעבר גילו חוקרי האבטחה הישראלים נועם רותם ורן לוקר מסד נתונים של Biostar 2 שאינם מוצפנים ברובם באופן מקוון. המאגר כלל טביעות אצבעות, סריקות פנים, שמות משתמש וסיסמאות ומידע אישי של למעלה ממיליון איש.
Biostar 2 היא מערכת נעילה ביומטרית שפותחה על ידי חברת האבטחה Suprema שמשתלבת במערכת בקרת הגישה AEOS. השימוש ב- AEOS נעשה רק ב -83 מדינות ברחבי העולם וב -5, 700 ארגונים, כולל ממשלות, בנקים ומשטרת המטרופוליטן הבריטית.
רותם ו- Locar התרחשו במאגר נתונים זה במהלך פרויקט צדדי עם vpnmentor בו הם סורקים "יציאות המחפשות חסימות IP מוכרות, ואז משתמשים בבלוקים האלה כדי למצוא חורים במערכות של חברות שעלולות להוביל לפרצות נתונים."
לאחר שהצמד מצא את מסד הנתונים של ביוסטאר 2, הם הצליחו לחפש את בסיס הנתונים ולתפעל כתובות URL כדי לקבל גישה לנתונים.
החוקרים קיבלו גישה לרישומים של יותר מ- 27.8 מ ', ונתונים בערך 23 ג'יגה-בייט, כולל לוחות ניהול, לוחות מחוונים, נתוני טביעות אצבע, נתוני זיהוי פנים, תמונות פנים של משתמשים, שמות משתמש וסיסמאות לא מוצפנות, יומני גישה למתקן, רמות אבטחה ופינוי אישור, ופרטים אישיים של הצוות.
בשיחה עם הגרדיאן אמר רותם כי רוב שמות המשתמש והסיסמאות אינם מוצפנים והם הצליחו גם לשנות נתונים ולהוסיף משתמשים חדשים למערכת.
בעיתון אודות הגילוי שסופק ל"גרדיאן "לפני שפורסם על ידי vpnmentor ביום רביעי, אמרו החוקרים כי הם הצליחו לגשת לנתונים של ארגונים משתפים פעולה בארה"ב ובאינדונזיה, רשת מכוני כושר בהודו ובפקיסטן, ספקית תרופות ב- בריטניה, ומפתח שטח חניה לרכב בפינלנד, בין היתר.
מה שהופך את זה למסוכן עוד יותר, הוא שהחוקרים ציינו כי המאגר כולל טביעות אצבע של אנשים. המשמעות היא שאחרים יכולים להעתיק את טביעת האצבע ולהשתמש בהם במקום להחזיק חשיש של טביעת האצבע שלא ניתן להנדסה הפוכה.
רותם ו- Locar עשו ניסיונות רבים ליצור קשר עם Suprema לפני ששלחו את העיתון שלהם ל"גרדיאן "בסוף השבוע שעבר, ונכון לבוקר יום רביעי, הפגיעות תוקנה. ראש השיווק בסופרמה, אנדי אהן, אמר ל- Guardian כי החברה מבצעת "הערכה מעמיקה" של המידע ו:
אם היה איום מוגדר על המוצרים ו / או השירותים שלנו, אנו ננקוט בפעולות מיידיות ונפרסם מודעות מתאימות להגנה על העסקים והנכסים החשובים של לקוחותינו.
כולנו ראינו את סיפורי החדשות על הפרות אבטחה, וקרוב לוודאי שהייתם קורבן לאחד מאלה בעבר. בדרך כלל זה מחייב אותך לשנות את הסיסמה שלך, אבל כשמדובר בנתונים הביומטריים שלך, אתה לא יכול פשוט לשנות את טביעת האצבע או את הפנים שלך.
כמה מאובטח זיהוי הפנים ב- Galaxy S10?
