Datenleck bei südkoreanischer Startup-Plattform offenbart Fehler bei der Verwaltung von Verschlüsselungsschlüsseln

Ein Datenleck bei einer südkoreanischen Startup-Plattform hat eine schwerwiegende Schwachstelle beim Schutz verschlüsselter Informationen durch Organisationen aufgezeigt.

Die Behörden erklärten, dass auf Modu-ui Changup ein Verschlüsselungsschlüssel über eine Programmierschnittstelle (API) offengelegt wurde. Die staatlich unterstützte Plattform dient einem landesweiten Startup-Programm, das vom südkoreanischen Ministerium für kleine und mittlere Unternehmen und Startups beaufsichtigt wird.

Der offengelegte Schlüssel ermöglichte Berichten zufolge den Zugriff auf verschlüsselte Daten von rund 5.000 erfolgreichen Bewerbern.

API-Offenlegung untergrub die Datenverschlüsselung

Die Plattform speicherte personenbezogene Informationen, darunter Namen, E-Mail-Adressen und Zusammenfassungen von Startup-Ideen. Außerdem enthielt sie Bewertungskommentare zu den Bewerbungen.

Die Behörden gaben am 18. Juni bekannt, dass personenbezogene Informationen und Zusammenfassungen von Startup-Ideen geleakt worden waren. Später bestätigten sie am 31. Juli, dass ein über eine API offengelegter Verschlüsselungsschlüssel die zentrale Ursache war.

Die Informationen selbst waren verschlüsselt. Eine Verschlüsselung bietet jedoch nur wenig Schutz, wenn der zum Entschlüsseln benötigte Schlüssel ebenfalls für eine unbefugte Partei zugänglich ist.

Nach Angaben des Ministeriums sammelte eine externe Partei API-Daten unter anderem mithilfe von Web-Crawling. Ermittler stellten fest, dass E-Mail-Adressen, die auf der öffentlich zugänglichen Plattform als privat gekennzeichnet waren, dennoch über API-Antworten abgerufen werden konnten.

Fest einprogrammierte Schlüssel bergen erhebliche Risiken

Das Datenleck bei der südkoreanischen Startup-Plattform zeigt die Gefahren, die entstehen, wenn Verschlüsselungsschlüssel direkt in Anwendungen, Code, Konfigurationsdateien oder Datenbanken eingebettet werden.

Wenn ein Schlüssel zusammen mit den Daten oder dem System gespeichert wird, die beziehungsweise das er schützen soll, kann ein Angreifer, der Zugriff auf diese Umgebung erhält, beides erlangen. In diesem Fall kann die Verschlüsselung wirkungslos werden.

Sicherheitsteams sollten Verschlüsselungsschlüssel getrennt von geschützten Daten aufbewahren. Ein spezielles Schlüsselverwaltungssystem kann Anwendungen ermöglichen, einen Schlüssel nur bei Bedarf anzufordern, ohne ihn dauerhaft innerhalb der Anwendung zu speichern.

Die Behörden identifizierten 39 IP-Adressen, die auf die geleakten Informationen zugegriffen hatten. Sie stammten Berichten zufolge alle aus Südkorea. Die Ermittlungen dauern an und umfassen auch mögliche Verbindungen zu Anbietern von KI-Lösungen.

Einen gestohlenen Schlüssel zu ersetzen reicht nicht aus

Organisationen müssen umfassende Maßnahmen ergreifen, nachdem ein Verschlüsselungsschlüssel offengelegt wurde. Den kompromittierten Schlüssel zu widerrufen und einen Ersatz auszugeben, ist nur der erste Schritt.

Möglicherweise müssen sie auch alle Daten neu verschlüsseln, die mit dem alten Schlüssel geschützt wurden. Dieser Prozess trägt dazu bei, sicherzustellen, dass zuvor offengelegtes Schlüsselmaterial gespeicherte Datensätze nicht weiterhin entschlüsseln kann.

Ermittler sollten außerdem Protokolle über den Zugriff auf Schlüssel überprüfen und Berechtigungen für APIs, Server und interne Speichersysteme bewerten. Diese Kontrollen können dabei helfen festzustellen, welche Daten zugänglich waren und ob sich Angreifer über die ursprüngliche Offenlegung hinaus weiterbewegt haben.

Betroffene Personen müssen möglicherweise benachrichtigt werden, abhängig von der Art der betroffenen Daten und den geltenden Datenschutzvorschriften. Eine kontinuierliche Überwachung kann anschließend dabei helfen, weitere verdächtige Aktivitäten zu erkennen.

Sichere Schlüsselverwaltung sorgt für stärkeren Schutz

Verschlüsselung bleibt eine wesentliche Sicherheitsmaßnahme, ihre Wirksamkeit hängt jedoch davon ab, wie die Schlüssel verwaltet werden.

Unternehmen und öffentliche Behörden sollten eine zentralisierte Schlüsselverwaltung einsetzen, einschränken, wer oder was Schlüssel anfordern kann, und deren Nutzung genau überwachen. Sie sollten außerdem vermeiden, sensible Daten oder Entschlüsselungsmaterial in öffentlich erreichbaren API-Antworten bereitzustellen.

Der Vorfall erinnert daran, dass verschlüsselte Informationen nur so sicher sind wie die Kontrollen, die ihre Schlüssel schützen.