"SoFi-nummer is grootste privacy ramp uit geschiedenis"
Eerder deze maand publiceerde AOL een overzicht van 500.000 zoekopdrachten van haar abonnees. Volgens de provider wilde het onderzoekers helpen door "anonieme" zoek informatie te geven, maar experts waren verbaasd over hoe makkelijk het was om te ontdekken wie wat gezocht had.
Bij het "anoniem" maken van de informatie was men vergeten de namen, adressen en SoFi-nummers te verwijderen. Zonder twijfel een van de grootste privacy blunders in de geschiedenis, maar er zijn er nog veel meer. Wired maakte een Top 10:
10. ChoicePoint geeft vertrouwelijke informatie 163.000 mensen aan identiteitsdieven.
9. Laptop van Veterans Affairs wordt gestolen met gegevens 26,5 miljoen Amerikaanse veteranen.
8. CardSystems gehackt. Data dieven krijgen gegevens 40 miljoen klanten in handen.
7. Ontdekking van vertrouwelijke gegevens op gebruikte hardeschijven.
6. Philip Agee schrijft boek waarin 250 CIA agenten ontmaskerd worden.
5. Stalker koopt informatie over Amy Boyer en vermoord haar.
4. Het testen van CAPPS II.
3. Het geheime COINTELPRO progamma van de FBI.
2. AT&T laat NSA alle telefoongesprekken afluisteren.
1. De grootste privacy ramp in de geschiedenis is volgens Adam Shostack het SoFi-nummer. "Ironisch genoeg, waarschuwde privacy voorstanders dat het nummer een de facto voor identificatie zou worden, en hun zorgen werden weggewuifd, maar ze bleken toch gelijk te krijgen, een patroon dat vandaag de dag nog steeds gaande is".
bij 'verloren/gelekte' informatie door bedrijven of overheden.
nummer niet één op één is te vergelijken met het Amerikaanse
social security number. Het begint er met de introductie van
het Burgerservicenummer overigens wel steeds meer op te lijken.
Het Social Security Number (SSN, oftwel "soosj") wordt in de
USA voornamelijk gebruikt ter authenticatie, en niet zozeer
ter identificatie. Wanneer je daar een SSN, een een
"mother's maiden name" kent, dan is 't al snel goed. Dat is
niet zozeer de schuld van het feit dat daarvoor het SSN
gebruikt wordt, maar is meer te wijten aan het feit dat er
in de USA geen bevolkingsregister is.
Ja hoor...de privacy freaks hebben het weer voor het
zeggen.
In een ideale samenleving zou dat zo moeten zijn idd.
in de USA voornamelijk gebruikt ter authenticatie, en niet zozeer ter
identificatie. Wanneer je daar een SSN, een een "mother's maiden
name" kent, dan is 't al snel goed.
was en je verder geen enkele andere vorm van identificatie had? Ik wel en
het is verbasingwekkend hoe weinig er gevraagd wordt voor
"authenticatie".
De identiteitsvaststelling verloopt volgens een vaste procedure. Daarnaast
moet je aangifte hebben gedaan bij de politie en een proce verbaal van
deze aangifte overleggen. Best wel waterdicht.
Een SSN is niet vergelijkbaar met een SoFinummer. Een SoFinummer op
zich is waardeloos. Op basis van een geldig SSN kan je aanspraak maken
op diverse diensten.
"soosj") wordt
in de USA voornamelijk gebruikt ter authenticatie, en niet
zozeer ter
identificatie. Wanneer je daar een SSN, een een
"mother's maiden
name" kent, dan is 't al snel goed.
Dus je zoekt wat info op over een (bestaand) persoon en onder die naam doe je aangifte en je krijgt netjes een procesverbaal mee op die naam. Diezelfe "valse" naam gebruik je bij de aanvraag van een nieuwe legitimatie, je beantwoord wat simpele vragen en je hebt een valse legitimatie. Hoezo waterdicht?
1. dat ik makkelijk bestanden over iemand obv het sofi-nummer kan
koppelen? Antw: nee, dat kan ook als ik personalea van diegene ken.
Iemand van een telefoonboek gehoord?
2. dat ik een transactie kan uitvoeren obv het sofi-nummer? Antw: nee,
degene die op basis van een sofi-nummer (+ evt aanvullend zwak geheim)
de transactie toestaat accepteert kennelijk dit risico.
Het sofi-nummer is slechts een middel waaraan helaas in de praktijk
(vooral in de VS) mogelijkheden zijn ontstaan. Je kan dus het middel de
privacy ramp in de schoenen schuiven maar zo lust ik er nog een paar: met
een broodmes kan ik brood smeren, een bierflesje openen of iemand
doodsteken. Geef de schuld maar aan het broodmes en vergeet degene
die het broodmes gebruikt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
