Hoe grondig is de vereiste pentest voor coronatestbedrijven?
Door een beveiligingsprobleem bij Testcoronanu zijn de privégegevens gelekt van 60.000 mensen die bij dit testbedrijf getest zijn op corona. Het ministerie van Volksgezondheid zei snel dat de kwetsbaarheid in een pentest op had moeten vallen. Toch werd het gat niet blootgelegd. Dus hoe grondig moeten de pentests voor testbedrijven die zich op CoronaCheck willen aansluiten zijn?
© Shutterstock.com
Shutterstock.com
Het gat in Testcoronanu werd ontdekt door Daniël Verlaan van RTL Nieuws, die het ‘kinderlijk eenvoudig’ noemde om gegevens in de database van het testbedrijf aan te passen. Het lek zelf ontstond door het gebruik van de database Firestore van Google. Een dergelijke database is na publicatie beschikbaar op het internet. Als de authenticatie en beveiligingsregels niet goed ingesteld zijn, kan iedereen die het project ID raadt data stelen, aanpassen of verwijderen.