Graves deficiencias de seguridad en el certificado de vacunación digital. Los expertos en seguridad de G DATA analizan de cerca la tarjeta de vacunación Covid-19 para teléfonos inteligentes.
Una investigación de los expertos en seguridad de G DATA del certificado de vacunación digital ha demostrado que existen algunas omisiones graves en la implementación de la seguridad. Si lo desea, puede crear certificados de vacunación sin haber recibido una vacuna.
La lista de problemas de seguridad es larga
Una mirada cercana a los componentes clave del registro de vacunación disponible recientemente muestra que tiene algunas debilidades evidentes. La lista de problemas de seguridad es larga: la aplicación Corona-Warn no verifica las firmas de los certificados de vacunación digitales, por lo que cualquiera puede crear un certificado que parece real a primera vista. Sin embargo, todavía existen problemas conceptuales mucho mayores: los datos relevantes del certificado de vacunación o pasaporte amarillo, por ejemplo, el número de lote de la vacuna, no se verifican cuando se crea ni se incluyen en los certificados de vacunación digitales. Esto hace que una verificación posterior sea imposible. El acceso de las farmacias para crear certificados de vacunación también es inseguro, y los certificados de vacunación emitidos no se pueden revocar en caso de uso indebido. No son los fundamentos técnicos los que faltan, sino la implementación.
“La impresión es que la introducción del certificado de vacunación digital fue principalmente una decisión precipitada. Ser capaz de presentar una solución rápida antes del comienzo de la temporada navideña era obviamente más importante que una solución que fuera segura desde el principio”, explica Thomas Siebert, Jefe de Tecnologías de Protección de G DATA CyberDefense.
Tiro rápido antes de la temporada navideña
Las farmacias, los consultorios médicos y los centros de vacunación crean los certificados de vacunación con la ayuda de un sitio web. El acceso a este portal solo está asegurado con un nombre de usuario y contraseña, no hay autenticación multifactor. Los programas maliciosos que se especializan en robar datos de acceso han sido parte del repertorio estándar de los ciberdelincuentes durante años. Los estafadores que se apropian ilegalmente de los datos de registro de una farmacia, por ejemplo, teóricamente pueden usar el portal para crear un certificado de vacunación tras otro.
Los certificados de vacunación también se pueden integrar en la aplicación Corona-Warn-App (CWA) del Instituto Robert Koch para poder mostrarlos en un teléfono inteligente. Sin embargo, la aplicación no comprueba si la firma electrónica del comprobante escaneado es válida. Con unas pocas líneas de código de programa, es posible crear un código QR con un certificado de vacunación de fantasía que la aplicación Corona-Warn-App acepta fácilmente y resiste fácilmente una inspección visual. Una verificación real del certificado de vacunación solo es posible con la aplicación CovCheck.
Más en GData.de
Acerca de los datos G Con servicios integrales de ciberdefensa, el inventor del AntiVirus permite a las empresas defenderse contra el ciberdelito. Más de 500 empleados velan por la seguridad digital de empresas y usuarios. Fabricado en Alemania: con más de 30 años de experiencia en análisis de malware, G DATA lleva a cabo investigaciones y desarrollo de software exclusivamente en Alemania. Las más altas exigencias en materia de protección de datos son la máxima prioridad. En 2011, G DATA emitió una garantía "sin puertas traseras" con el sello de confianza "IT Security Made in Germany" de TeleTrust eV. G DATA ofrece una cartera de protección antivirus y de punto final, pruebas de penetración y respuesta a incidentes para análisis forenses, verificaciones del estado de seguridad y capacitación en conciencia cibernética para defender a las empresas de manera efectiva. Nuevas tecnologías como DeepRay protegen contra malware con inteligencia artificial. El servicio y el soporte son parte del campus de G DATA en Bochum. Las soluciones de G DATA están disponibles en 90 países y han recibido numerosos premios.