Hier stellt sich die gematik immer mal wieder sehr naiv an.
"Wenn ihr uns nicht genau zeigt, welche Akten ihr wann genau wie wegtragen werdet, ist es auch kein Problem"
Naja, ein leckes System kann auch schon abgesichert werden, bevor es kompromittiert wurde. So entsteht quasi Sicherheit. Alles andere ist Flickschusterei.
Und es ist ja auch nicht so, dass im Vorfeld des Talks niemals nie SMC-B weggekommen wären. 2019 etwa, bis 2023 wurden die auch nicht per Ident ausgegeben.
Hier stellt sich die gematik immer mal wieder sehr naiv an.
"Wenn ihr uns nicht genau zeigt, welche Akten ihr wann genau wie wegtragen werdet, ist es auch kein Problem"
Naja, ein leckes System kann auch schon abgesichert werden, bevor es kompromittiert wurde. So entsteht quasi Sicherheit. Alles andere ist Flickschusterei.
Und es ist ja auch nicht so, dass im Vorfeld des Talks niemals nie SMC-B weggekommen wären. 2019 etwa, bis 2023 wurden die auch nicht per Ident ausgegeben.
Der Talk auf dem #38c3 ist mehr oder weniger nur eine Remix-Compilation von Oldies und Evergreens und eigentlich nur 1 1/2 neuen Lücke, der bei VSDM. Wir nehmen mal den SMC-B Gebrauchtmarkt als halbe neue Lücke.
Aber auch die VSDM Lücke ist nicht neu, die kannte die gematik selbst, das gibt sie auch zu.
Also alles schon mal benannt, schon mal vorgekommen.
Lediglich die Kombination ist neu.
Aber die Kombination von Angriffsvektoren und Lücken ist im Cyberbereich ja täglich zu sehen.
"You are holding it wrong"
Unser System ist sicher, wenn man es richtig benutzt. Fehlbenutzung ist strafbar.
Man könnte aber auch sagen: Insecure by design, weil es überhaupt schon mal einen unsicheren Weg gibt.
Einerseits wird Nutzungsfreundlichkeit zum Dogma der Gesundheitsdigitalisierung, aber wehe du benutzt irgendwas falsch, das ist dann strafbar.
Benutzungsfreundliche Sicherheit lässt gar keine Fehlnutzung zu.
Denkt mal drüber nach.
Gleiches Thema hier: Sichere Nutzung ist möglich.
Unsichere aber halt auch.
Ich übersetz mal: Die ePA in der Form ist für Geheimnisträger nicht sicher.
"Durch das vom CCC aufgezeigte Angriffsszenario ist grundsätzlich kein geziel-
ter Zugriff auf eine ePA einer bestimmten Person möglich."
Doch. Social Engineering mit einem Aufwand von 20 Minuten, zumindest wenn Zugriff auf Umfeld.
Auch nach den Fixes.
Und die Fixes wie Rate Limiting kommen erst warum? Ja, weil gezeigt wurde, dass massenhafter Zugriff möglich ist.
Sollte aber ohne sowas online gehen. Hm.
