Gaatje in tandartsensoftware lekt patiëntgegevens
Een populair programma dat tandartsen voor hun dagelijkse werkzaamheden gebruiken blijkt een gaatje te bevatten waardoor een aanvaller toegang tot de database en gevoelige patiëntgegevens kan krijgen. Het gaat om het programma Dentrix, dat in 1989 de eerste tandartsensoftware voor Windows was. Versie G5 blijkt over een 'hard geprogrammeerd' wachtwoord te beschikken.
Dat standaard wachtwoord is hetzelfde voor alle andere installaties, ongeacht locatie. Een aanvaller die de inloggegevens van één tandarts weet te bemachtigen, zo zou ook toegang tot de databases van andere tandartsen kunnen krijgen. De software gebruikt deze vaste inloggegevens om de database back-end te benaderen.
Toegang
In de database worden gevoelige patiëntgegevens opgeslagen, zo meldt het CERT Coordination Center. Het is niet mogelijk voor een systeembeheerder om deze vast inloggegevens te wijzigen zonder dat de toegang tot de back-end database verbroken wordt.
Om de inloggegevens te stelen moet een aanvaller mogelijk lokale netwerktoegang hebben, of over een systeem met Dentrix G5 beschikken. Volgens de fabrikant van de software liepen alleen tandartsen risico van wie het netwerk onbeveiligd was.
Inmiddels is er een update uitgekomen die het probleem oplost. Zo kunnen tandartsen nu een uniek wachtwoord voor de database instellen en is het lastiger voor een aanvaller om het wachtwoord via de software of het netwerk te bemachtigen.
Het is ook een lastig probleem. De meeste applicaties willen niet de user credentials gebruiken voor
inloggen bij de database, omdat men rechten op informatie regelt in de applicatie zelf en niet in de database.
Aanmaken van users in de database doet men dus niet.
Er is een vaste user/password in gebruik voor de database verbinding en of deze nou hardcoded of instelbaar
is, de gebruikers van het pakket zullen deze normaalgesproken meestal wel kunnen achterhalen als ze weten
wat ze doen. Dus al is het wachtwoord instelbaar, dan zal iemand die eenmaal ingebroken is op de computer
van de gebruiker er vaak wel achter kunnen komen wat het wachtwoord is wat de database gebruikt.
Het minimum wat je altijd wel moet regelen is dat de database alleen geconnect kan worden vanaf systemen
waar de applicatie draait. En niet vanaf internet ofzo.
(en dan bedoel ik niet de schrijver van de software)
1) Nee, tandartsen worden niet aangesloten op het EPD.
2) Het EPD (als in 1 EPD waarin alle gegevens vastgelegd worden / opgevraagd kunnen worden) bestaat niet en komt er ook niet. Het LSP bestaat wel, via deze weg kunnen huisartsenposten (en later ziekenhuizen), huisartsen en apothekers een beperkte set gegevens opvragen bij apothekers en huisartsen. De praktijken waarbij je gegevens kunt opvragen zijn regionaal ingeperkt.
3) Deze beperkte set gegevens bestaat uit de contacten die je de laatste 4 maanden met de huisarts hebt gehad, aangevuld met de actuele voorgeschreven en uitgegeven medicatie, actieve episodes en intoleranties, allergiëen en contra-indicaties.
4) Het opvragen van de gegevens kan per patient, waarbij je een volgende bevraging pas kunt doen als het antwoord op de vorige bevraging ontvangen is (dus niet parallel bevragen van het LSP).
5) Bij meerdere opvragingen vanuit 1 instantie binnen een bepaalde periode, wordt dit geregistreerd en de communicatie dicht gezet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
