Diseccionando las vulnerabilidades de BioStar2: las bases de datos biométricas como el nuevo objetivo.
Por Danielle VanZandt, analista de la industria, seguridad, Frost & Sullivan
La brecha significativa y las vulnerabilidades descubiertas recientemente por los investigadores de vpnMentor dentro de la base de datos BioStar 2 de Suprema son suficientes para asustar a cualquier usuario final potencial y alejarlo de las medidas de seguridad biométricas. Con potencialmente más de 1 millón de biometría de huellas dactilares y contraseñas de usuario expuestas en la infracción, BioStar 2 se ha convertido en el primer gran ejemplo de cómo el acceso biométrico todavía tiene sus propias vulnerabilidades que los proveedores, integradores y usuarios finales deben conocer antes de implementar cualquiera de estas soluciones. dentro de su organización.
La más atroz de las vulnerabilidades de BioStar 2 fue su base de datos biométrica que estaba desprotegida cuando se conectaba a Internet y la falta de cifrado para las huellas dactilares almacenadas y las bases de reconocimiento facial. Esto permitió a los piratas informáticos ingresar a la base de datos biométrica y acceder a las huellas dactilares y los datos faciales de los usuarios almacenados, potencialmente agregar y cambiar perfiles de usuario y proporcionar un punto de entrada conveniente a la red total del usuario final. Los piratas informáticos pudieron acceder a contraseñas y entradas de registro que enumeran nombres de usuario, perfiles, datos biométricos y contraseñas para cuentas de usuario y administrador enumeradas en texto sin formato, algunos de los datos más valiosos que pueden obtener los estafadores.
Las consecuencias de que datos como este caigan en las manos equivocadas podrían ser catastróficas para el usuario final, especialmente si se considera la amplitud de la base de clientes de BioStar 2. Los clientes afectados incluyen gimnasios, espacios de coworking, consultorías de software y fabricantes de alimentos de consumo, médicos e industriales. Llega a la base de clientes global de Suprema en América del Norte, Europa, Asia y Oriente Medio. Suprema ha mostrado interés en expandir la base de clientes de BioStar 2 para incluir el gobierno, la banca y la aplicación de la ley, verticales que rápidamente se alejarán de cualquier proveedor de seguridad que no cuente con los protocolos de seguridad de datos adecuados.
Los puntos de datos biométricos, como las huellas dactilares y los datos faciales, simplemente no se pueden almacenar como puntos de datos completos y sin cifrar; La experiencia actual de la industria enfatiza la necesidad de tener estos datos guardados en un formato hash, evitando que los piratas informáticos realicen ingeniería inversa a la biométrica. Dado que los usuarios no pueden cambiar su rostro o huella digital, la responsabilidad recae en los proveedores de seguridad para garantizar que los procesos similares al hash inverso y las piezas de cifrado de bases de datos sean de primer nivel para proteger estos valiosos datos de caer en las manos equivocadas.
Si bien esta puede ser una de las primeras violaciones de datos que se dirigen a los datos biométricos, ciertamente no será la última. La gran escala de BioStar 2, desafortunadamente, convirtió al sistema en uno de los primeros en revelar las vulnerabilidades de las soluciones de control de acceso biométrico; sin embargo, esto no detendrá el crecimiento exponencial y las tasas de adopción de soluciones biométricas. El reconocimiento de huellas dactilares y facial sigue siendo la biometría más solicitada para las soluciones de acceso físico en diversas industrias. Esta infracción no ahuyentará las posibles compras de los usuarios finales; más bien, servirá para informarles sobre los tipos de protocolos de seguridad que un proveedor debe tener antes de que un usuario final potencial finalice la compra de un nuevo sistema. Los proveedores deben estar preparados para responder las preguntas de los usuarios finales sobre el acceso a los datos, cómo su solución almacena los datos biométricos y qué protocolos de cifrado existen.
Los usuarios finales están evaluando rápidamente sus propios perfiles de riesgo y las mejores soluciones para proteger su organización. Cualquier proveedor de seguridad biométrica que no esté dispuesto o no pueda abordar mejor las inquietudes de riesgo de los usuarios finales y las preguntas sobre protección de datos verá rápidamente disminuir su estatura en este mercado de alto crecimiento.