Sermo's 9M $ Weak Security Model

V komunitě lékařů se o komunitě pouze pro lékaře (nebo „sociální síti“, chcete-li) zvané Sermo, vedlo k velkému rozruchu. Byl jsem zvědavý, jak silný je jejich registrační systém, aby zabránil nelékařům předplatit si službu, která je bezplatná a otevřená všem lékařům, kteří mají buď MD nebo D.O. (a číslo pro předepisování DEA). Požádal jsem tedy mého kamaráda technologického a bezpečnostního konzultanta, aby to zkontroloval.

Jeho zjištění mě nepřekvapila. Trvalo mu to pět minut a pouze dva pokusy o registraci platného účtu lékaře u Serma, i když není lékařem. Pomocí informací volně dostupných na internetu se zaregistroval jako někdo, kdo byl legitimním lékařem. Udělal několik snímků obrazovky, aby mi ukázal svůj úspěch:

Problém se jeví jako tradiční problém mezi obchodováním „snadnosti použití“ a „přísným zabezpečením“. Nejlepší a nejpřísnější zabezpečení by bylo ruční ověření každé registrace pomocí telefonního hovoru. To by však samozřejmě vyžadovalo peníze a pracovní sílu, což mnoho startupů nemá.

Ale Sermo nemůže použít tuto výmluvu, protože právě uzavřel další kolo financování VC v rozmezí 26,7 milionů dolarů (kromě stávajících 9 milionů dolarů, které již získali). Nejsilnějším možným zabezpečením k ochraně integrity členů jejich lékařů je tedy ověření každého člena ručně, ale není tomu tak. Pokud jde o bezpečnost jejich uzavřené komunity, Sermo's FAQ říká pouze:

Jak poznám, že členové Sermo jsou opravdu MD?

Připojit se k Sermovi není snadné. Technologie Sermo je ve skutečnosti první svého druhu, která ověřuje a pověřuje lékaře v reálném čase. Naše nejmodernější technologie pracuje v zákulisí, při každém přihlášení znovu potvrzuje platnost lékařů a zajišťuje, že členy se mohou stát pouze lékaři.

Ve skutečnosti to bylo neuvěřitelně snadné. Tak snadné, že do 5 minut to udělal někdo, kdo nebyl lékařem. A pokud náhodou uzavřou účet, který vytvořil můj přítel, může za dalších 5 minut vytvořit nový účet lékaře. Vzhledem k tomu, že proces ověřování společnosti Sermo je zásadně chybný (nebudeme vám říkat, jak to udělal, takže se neptejte), jedinou dlouhodobou opravou tohoto problému je požádat o registraci ještě více osobně identifikovatelných informací (mnoho lidí neradi se vzdají, jako je jejich číslo sociálního zabezpečení), nebo zavoláním každé osobě, která se zaregistruje, aby ověřila, kdo je, kým tvrdí.

Jsme všichni pro uzavřené komunity lékařů - myslíme si, že mají obrovský potenciál. Doufáme však, že takové komunity skutečně kladou na své členy nejlepší zájmy v oblasti ochrany soukromí a bezpečnosti před „snadným používáním“ a rychlou registrací. Rovněž doufáme, že VC skutečně provedou trochu náročnější due diligence, než své peníze vyhodí do jakékoli nejnovější / největší „sociální sítě“, protože právě ty společnosti, které snižují bezpečnost, ji mohou zničit pro budoucí startupy v podobných prostorech .

Kontaktovali jsme společnost Sermo ohledně tohoto problému a zjistili jsme, že den předtím, než jsme začali vyšetřovat tuto bezpečnostní díru (pátek), MedGadget již objevil a zveřejnil jejich pohled na to. Jejich metoda se mírně lišila od metody našeho konzultanta, který jednoduše uhádl správné číslo DEA (protože získáte 6 pokusů ze 6 možných čísel). Příspěvek Medgadgetu to samozřejmě ještě usnadňuje.

Mluvčí Serma odpověděl na naše dotazy:

Sermo ve skutečnosti otáčí ověřovací otázky a DEA není jediná položka, kterou používáme. Přesto však podnikneme další kroky k řešení tohoto problému. Bohužel, když se stanete největší komunitou lékařů online, lidé začnou na vás nastavovat své stránky.

Pravda, pravda. Pokud však chcete získat důvěru profesionála zdůrazněním toho, jak „bezpečná“ je vaše komunita, měli byste být připraveni stát si za svými současnými registračními postupy. Skutečnost, že jejich registrace je v současnosti tak snadná, znamená, že jejich komunita je méně než bezpečná.

Sermo nám také připomnělo, že vydávání se za lékaře je federální přestupek. Rádi bychom však viděli, jaké množství federálních zdrojů by bylo vynaloženo na to, aby šlo po narušitelích Serma. Společnost Sermo se může spolehnout pouze na to, že bude udržovat model zabezpečení společnosti Sermo.

Sermo tvrdí, že dnes má 30 000 členů lékařů. Zajímalo by nás, kolik z nich jsou skutečně lékaři?