Mô hình bảo mật yếu kém 9 triệu đô la của Sermo
Trong cộng đồng bác sĩ, đã có rất nhiều tin đồn về cộng đồng chỉ dành cho bác sĩ (hoặc “mạng xã hội”, nếu bạn thích) có tên là Sermo. Tôi tò mò không biết hệ thống đăng ký của họ mạnh đến mức nào để ngăn những người không phải là bác sĩ đăng ký dịch vụ, dịch vụ này miễn phí và mở cho tất cả các bác sĩ có bằng M.D hoặc D.O. (và số kê đơn của DEA). Vì vậy, tôi đã nhờ một người bạn tư vấn công nghệ và bảo mật của mình kiểm tra.
Những phát hiện của anh ấy không làm tôi ngạc nhiên. Anh ta mất năm phút và chỉ có hai lần thử đăng ký tài khoản bác sĩ hợp lệ tại Sermo, mặc dù anh ta không phải là bác sĩ. Ông đã sử dụng thông tin tự do có sẵn trên Internet để đăng ký trở thành một bác sĩ hợp pháp. Anh ấy đã chụp một vài bức ảnh màn hình để cho tôi thấy thành công của anh ấy:
Vấn đề dường như là một vấn đề truyền thống giữa việc đánh đổi “tính dễ sử dụng” với “tính bảo mật chặt chẽ”. Bảo mật tốt nhất và chặt chẽ nhất sẽ là xác minh thủ công từng đăng ký bằng một cuộc gọi điện thoại của con người. Nhưng tất nhiên, điều này sẽ đòi hỏi tiền bạc và nhân lực, điều mà nhiều công ty khởi nghiệp không có.
Nhưng Sermo không thể viện lý do đó, vì nó vừa kết thúc một vòng tài trợ VC khác với phạm vi 26,7 triệu đô la (trên 9 triệu đô la hiện tại mà họ đã huy động được). Vì vậy, bảo mật mạnh nhất có thể để bảo vệ tính toàn vẹn của các thành viên bác sĩ của họ là xác minh từng thành viên theo cách thủ công, nhưng họ thì không. Khi nói đến vấn đề bảo mật cho cộng đồng khép kín của họ, Câu hỏi thường gặp của Sermo chỉ cho biết:
Làm sao tôi biết rằng các thành viên Sermo thực sự là MD?
Tham gia Sermo không hề đơn giản. Trên thực tế, công nghệ Sermo là công nghệ đầu tiên thuộc loại này giúp xác thực và xác thực các bác sĩ trong thời gian thực. Công nghệ hiện đại của chúng tôi đang hoạt động đằng sau hậu trường, xác thực lại các bác sĩ mỗi khi họ đăng nhập, đảm bảo rằng chỉ các bác sĩ mới có thể trở thành thành viên.
Chà, trên thực tế, nó cực kỳ dễ dàng. Dễ dàng đến nỗi trong vòng 5 phút, một người không phải là bác sĩ đã làm được. Và nếu tình cờ họ đóng tài khoản mà bạn tôi đã tạo, anh ấy có thể tạo tài khoản bác sĩ mới sau 5 phút nữa. Vì quy trình xác thực của Sermo về cơ bản có sai sót (chúng tôi sẽ không cho bạn biết anh ta đã làm như thế nào, vì vậy đừng hỏi), cách khắc phục lâu dài duy nhất cho vấn đề này là yêu cầu người đăng ký cung cấp thông tin nhận dạng cá nhân nhiều hơn (nhiều người sẽ không thích từ bỏ, như số an sinh xã hội của họ), hoặc gọi cho từng người đăng ký để xác minh họ là ai mà họ nói.
Tất cả chúng ta đều vì cộng đồng bác sĩ khép kín - chúng tôi nghĩ rằng họ có tiềm năng to lớn. Nhưng chúng tôi hy vọng rằng các cộng đồng như vậy thực sự đặt lợi ích bảo mật và quyền riêng tư tốt nhất cho các thành viên của họ lên trên “tính dễ sử dụng” và đăng ký nhanh chóng. Chúng tôi cũng hy vọng rằng các nhà đầu tư mạo hiểm thực sự làm kỹ lưỡng hơn một chút trước khi đổ tiền của họ vào bất kỳ “mạng xã hội” mới nhất / tuyệt vời nhất là gì, bởi vì chính những công ty đã cắt giảm các góc về bảo mật có thể làm hỏng nó cho các công ty khởi nghiệp trong tương lai trong không gian tương tự .
Chúng tôi đã liên hệ với Sermo về vấn đề này và phát hiện ra rằng một ngày trước khi chúng tôi bắt đầu điều tra lỗ hổng bảo mật này (thứ Sáu), MedGadget đã phát hiện và công bố cách xử lý của họ. Phương pháp của họ hơi khác so với phương pháp của chuyên gia tư vấn của chúng tôi, người chỉ đơn giản đoán đúng số DEA (vì bạn có 3 lần thử trong số 6 con số có thể). Tất nhiên, bài đăng của Medgadget thậm chí còn dễ dàng hơn.
Người phát ngôn của Sermo đã trả lời các câu hỏi của chúng tôi với,
Sermo thực sự xoay vòng các câu hỏi xác thực và DEA không phải là mục duy nhất chúng tôi sử dụng. Tuy nhiên, chúng tôi sẽ thực hiện các bước bổ sung để giải quyết vấn đề này. Than ôi, khi bạn trở thành cộng đồng bác sĩ trực tuyến lớn nhất, mọi người bắt đầu đặt trang web của họ trên bạn.
Đúng rồi. Nhưng nếu bạn muốn có được sự tin tưởng của chuyên gia bằng cách nhấn mạnh mức độ “an toàn” của cộng đồng, bạn nên chuẩn bị sẵn sàng để tuân thủ các phương pháp đăng ký hiện tại của mình. Thực tế là hiện tại việc đăng ký của họ rất dễ chơi có nghĩa là cộng đồng của họ kém an toàn hơn.
Sermo cũng nhắc nhở chúng tôi rằng mạo danh bác sĩ là một hành vi phạm tội liên bang. Tuy nhiên, chúng tôi muốn biết lượng tài nguyên liên bang sẽ được sử dụng để truy lùng những kẻ vi phạm Sermo. Sermo chỉ có thể dựa vào Sermo để duy trì mô hình bảo mật của Sermo.
Sermo tuyên bố ngày nay họ có 30.000 bác sĩ. Chúng tôi tự hỏi, có bao nhiêu người trong số họ thực sự là thầy thuốc?
