image

Z-CERT: fax ongeschikt voor uitwisselen medische gegevens

vrijdag 17 augustus 2018, 14:54 door Redactie, 16 reacties

De fax is niet langer geschikt voor het uitwisselen van medische gegevens, zo stelt Z-CERT, een organisatie die ziekenhuizen en GGZ-instellingen ondersteunt op het gebied van cybersecurity. Aanleiding voor de waarschuwing is een recent onthulde kwetsbaarheid in HP OfficeJet Printers.

Die konden via malafide faxen worden overgenomen, waarna een aanvaller het achterliggende netwerk had kunnen aanvallen. Z-CERT adviseert zorginstellingen om de beveiligingsupdate van HP te installeren. "Daarnaast is het in z’n algemeenheid verstandig het faxgebruik tot een minimum te beperken en modernere oplossingen te kiezen voor het uitwisselen van medische gegevens", aldus Z-CERT.

De onderzoekers die de kwetsbaarheden in de OfficeJet Printers ontdekten stelden dat ook andere printers/faxen en mogelijk ook fax-to-email toepassingen kwetsbaar kunnen zijn. Hier is echter nog geen aanvullende informatie voor gegeven, maar Z-CERT stelt aan de hand van eigen onderzoek dat dergelijke faxapparatuur dagelijks gebruikt wordt binnen de zorgsector. Volgens de organisatie kan op basis van de huidige geldende normen op het gebied van informatiebeveiliging en privacy worden gesteld dat de fax niet langer geschikt is voor het uitwisselen van medische gegevens.

Reacties (16)
17-08-2018, 15:30 door Anoniem
Mooi!
Dat werd tijd, hoewel faxsystemen nog wel eens handiger zijn dan veel mensen denken, zijn ze echt niet geschikt om gevoelige data mee te versturen. Het zal nog wel even duren voordat eromheen gewerkt is, maar het is een goeie stap.
17-08-2018, 15:39 door Anoniem
Fax was al niet geschikt meer sinds VOIP wordt toegepast. VOIP gaat veelal onversleuteld over Internet.
17-08-2018, 15:50 door Anoniem
Door Anoniem: Mooi!
Dat werd tijd, hoewel faxsystemen nog wel eens handiger zijn dan veel mensen denken, zijn ze echt niet geschikt om gevoelige data mee te versturen. Het zal nog wel even duren voordat eromheen gewerkt is, maar het is een goeie stap.
En waarom is dit nu in eens onveilig? Dan moet je concluderen dat een fax NOOIT veilig is geweest, en NOOIT zo gewerkt had moeten worden. Echter, dan mag je ook niet via de telefoon een recept doorgeven, want dat is dezelfde techniek.
Echter, het probleem hier is dat HP en anderen zo veel mogelijk toeters en bellen in een fax wil stoppen, en daardoor is de fax onveilig. De fax die bij mijn ouders stond was echt wel veilig! Geen netwerk verbinding, gewoon papiertje met tekst uitspugen via een analoge telefoonlijn.

Dus de FAX is nog steeds net zo veilig als een telefoon gesprek. Alleen fax apparaten die je aan een netwerk hangen zijn lek. Dat is heel wat anders! Want ook de HP printers zijn netzo lek. Dus beter kun je dan stellen dat HP hardware lek is!

Daarnaast is het in z’n algemeenheid verstandig het faxgebruik tot een minimum te beperken en modernere oplossingen te kiezen voor het uitwisselen van medische gegevens
En wat mag dat dan zijn? EPD? Die is niet veilig. Email? Is niet veilig. Email met PGP, dat is veilig maar te ingewikkeld voor een gemiddeld persoon. Dus wat blijft dan over? Analoog via de post?

Het blijft mooi dat de ene partij zegt dat je moet beveiligen maar niet hoe. De uitvoerende partij zegt dan dat ze het via strategie X gedaan hebben, maar dat wordt dan weer niet gecontroleerd. Zo hebben beide partijen aan hun veiligheid eisen voldaan op papier en zij 'gevrijwaard' tot dat het mis gaat. Dan blijkt het toch niet veilig te zijn.

That is how the world rols in security....

TheYOSH
17-08-2018, 15:53 door Anoniem
Omdat er in een afgelegen hoekje (wie stuurt er kleurenfaxen?) van de firmware van een specifieke lijn van apparaten van een specifieke fabrikant foutjes zitten, is het hele protocol "niet langer geschikt"?

Moet je eens kijken hoeveel gaten er in software voor allerlei data-uitwisselingsprotocollen gevonden zijn. Had je daarom ook maar, ik noem maar wat, email geheel overboord willen zetten? En http mischien? Nou?

Wat een overtrokken onzin. Wat niet wil zeggen dat het niet ontzettend stom is dat de firmware van die faxen brak is. Maar er zijn echt wel meer implementaties die daar veel minder last van hebben. Open source implementaties die je zelf kan nakijken bijvoorbeeld. Als je code kan lezen. Dus bij deze, Z-CERT is [x] ongeschikt bevonden, vanwege hak op de tak springen.

Ik begrijp best dat ze eigenlijk liever fax kwijt dan rijk zijn. En dat dit dus een "handige" smoes is. Het is alleen een behoorlijk stomme en doorzichtige ontzettende lulsmoes. Dus Z-CERT certificeer ik hierbij als politieke konkelaars en verder [x] ongeschikt voor security.
17-08-2018, 16:09 door Anoniem
Meer een diskwalificatie van z-Snert. Lijkt meer een goedkope, versimpelde sales pitch dan gedegen onderzoek.
17-08-2018, 17:15 door karma4 - Bijgewerkt: 17-08-2018, 17:16
http://www.rijksbegroting.nl/2018/voorbereiding/begroting,kst236981_8.html z-cert blijkt als emergency team opgericht te zijn nadat iets fout gegaan is (blussen).
Het toezicht vooraf met auditting valt onder andere instanties. Stuctureel gaat hier iets goed mis.
Let ook even op de medmij als project.
18-08-2018, 08:51 door Anoniem
Probleem is wel al gepatched door HP, echter de nieuwe firmware zal wel op die apparaten gezet moeten worden.
18-08-2018, 09:21 door Ron625
Dan te bedenken, dat een paar jaar geleden een fax dezelfde status had als een aangetekend schrijven :-)
18-08-2018, 10:37 door karma4 - Bijgewerkt: 18-08-2018, 10:37
Wel grappig lhttps://www.z-cert.nl/mededelingen/articles/ziekenhuizen-geen-essentiele-dienst-in-cybersecuritywet
"Ook licht minister Bruins het belang van de oprichting van de sectorale Zorg-CERT toe. Z-CERT biedt zorginstellingen hulp en advies bij incidenten en deelt kennis over informatiebeveiliging in de zorg."
18-08-2018, 14:39 door Anoniem
Door Ron625: Dan te bedenken, dat een paar jaar geleden een fax dezelfde status had als een aangetekend schrijven :-)
Dat heeft'ie nog steeds. Wettelijk gezien in ieder geval wel. Dat maakt dus ook dit geroeptoeter zo droef. Dat en de volstrekt overtrokken reactie van deze club doorzichtige opportunisten.
19-08-2018, 10:16 door Anoniem
Je kunt het ook in een bredere context zien. Fax gebruiken betekent eerst gegevens handmatig overnemen vanuit een geautomatiseerd systeem. Dan onveilig versturen. Als je pech hebt printen op speciaal papier wat mogelijk slecht leesbaar is (staat er een 3, een 6 of een 8). Dat dan weer handmatig overnemen in een geautomatiseerd systeem. Hoe groot is dan niet de kans op fouten?
Als je hiermee anno 2018 mee doorgaat dan neem je patiëntveiligheid en kwaliteit van de zorg toch niet serieus!?!?
19-08-2018, 12:12 door Anoniem
Ander belangrijk puntje (wordt hier niet bedoeld, maar is wel een issue) is dat de fax altijd wel op een plek staat waar je nooit precies kunt beheersen wie er komt, dus kan in principe iedereen alles lezen. In deze tijd is dat niet meer van deze tijd...
19-08-2018, 12:28 door Anoniem
Door Anoniem: Ander belangrijk puntje (wordt hier niet bedoeld, maar is wel een issue) is dat de fax altijd wel op een plek staat waar je nooit precies kunt beheersen wie er komt, dus kan in principe iedereen alles lezen.
Dat is niet gezegd. Je kan een fax ook heel goed in een afgesloten ruimte neerzetten, net als met een printer.* Sterker, je kan faxen ook prima electronisch ontvangen en in een mailbox neerzetten waar een wachtwoord op zit, en zo zijn er nog wel meer mogelijkheden. Bovendien is dat een operationeel ding dat eigenlijk toch wel bekend geacht mag worden en vrij simpel op te lossen bovendien. Je hoeft er geen firmware op aan te passen of wat ook.

In deze tijd is dat niet meer van deze tijd...
Een hele mooie drogreden voor de drog, maar geen reden.

* Het probleem hier is dan ook dat de apparaten waar het over gaat zowel dienst doen als netwerkverbonden printer als telefoonverbonden fax, en dat je van de ander op de ene kan overspringen met specifieke data verpakt in een kleurenfax. Zet bijvoorbeeld een printserver tussen netwerk en printer die per USB is aangesloten aan de printer, en die malafide faxdata heeft geen toegang meer op je interne netwerk.
19-08-2018, 12:41 door karma4
Door Anoniem: Ander belangrijk puntje (wordt hier niet bedoeld, maar is wel een issue) is dat de fax altijd wel op een plek staat waar je nooit precies kunt beheersen wie er komt, dus kan in principe iedereen alles lezen. In deze tijd is dat niet meer van deze tijd...
Hij werd/wordt vaak nog voor de bevestiging van een afspraak gebruikt. De ontvangst bevestiging (telnummer datum/tijd) en de plaats bij de ontvanger (bepaalde locatie) maken het als apart communicatie kanaal nog geschikt. Denk eens aan ceo fraude met een klokverschuiving, via een fax bevestiging vragen met het eigen oude bekende nummer. Met een on hold gebeuren voor de tijdverschillen.
Het is niet de fysieke plaatsing waar een fax voor gedeeld afdelingsgebruik staat, daar heb je gelijk in.
19-08-2018, 16:51 door Bitwiper - Bijgewerkt: 19-08-2018, 17:00
Door Anoniem: Meer een diskwalificatie van z-Snert. Lijkt meer een goedkope, versimpelde sales pitch dan gedegen onderzoek.
Gebanned op geenstijl en jeukende vingers of zo? Ik snap niet dat dit soort anonieme flapdrolreacties, zonder argumenten waarom Z-CERT onzin zou "verkopen", de moderatie doorstaan.

Door Anoniem: Ander belangrijk puntje (wordt hier niet bedoeld, maar is wel een issue) is dat de fax altijd wel op een plek staat waar je nooit precies kunt beheersen wie er komt, dus kan in principe iedereen alles lezen. In deze tijd is dat niet meer van deze tijd...
Het gebruik van een fax is om heel veel redenen onverstandig, maar niet deze. Natuurlijk zou een huisarts of apotheek de fax in de wachtkamer kunnen zetten. Maar als zo zo stom zouden zijn, verwacht ik in die wachtkamers ook grote beeldschermen waarop alle binnenkomende vertrouwelijke informatie wordt getoond, naast vanzelfsprekend "de Viagra voor meneer Jan Jansen met BSN 123 staat klaar op balie 4, en meneer Jan Jansen met BSN 678 kan voor een HIV onderzoek naar kamer 5" (gelukkig hebben we BSN's om mensen met dezelfde, niet-unieke maar in de volksmond wel gebruikelijke, identifier uit elkaar te houden ;-)

Het grootste probleem met oude communicatiemiddelen zou wel eens social engineering kunnen zijn: alleen al daarom moet die oude meuk wat mij betreft de container in. Voorbeeld: als je zou willen weten welke patiënten van een apotheek welke medicijnen voorgeschreven krijgen, is het een kwestie van alle verzenders van die faxberichten bellen of mailen, waarbij je je voordoet als (technisch) medewerker van de betreffende apotheek (of van één van de ICT clubs die apotheken inhuren). Tip als je belt: doe dat met een anoniem nummer (of mail met "no-reply@"), zoals gebruikelijk in de gezondheidszorg en bij veel ICT clubs. Hierbij vertel je dat het faxnummer van de apotheek is gewijzigd, bijv. "omdat de ISDN lijn binnenkort vervalt" (ook andere sociale en/of technische aanvalstechnieken zijn denkbaar).

Zolang je, als betrouwbare MITM, binnenkomende faxen meteen doorzet naar de echte fax van de apotheek, en foutmeldingen (zoals "out of paper") meteen retourneert, krijgt heus niemand argwaan.

Een ander probleen zijn typo's bij het intikken van faxnummers. Dat de zendende fax dan zelden nog een andere fax aan de lijn krijgt, is meer geluk dan wijsheid.

Z-CERT heeft gewoon gelijk (wel is het HP lek, wat mij betreft, de druppel in een reeds overvolle emmer).

Steeds minder gezondheidszorgpersoneel moet steeds meer data uitwisselen die, door een sterk toenemende belangstelling van partijen die daar niets mee te maken hebben (en die gegevens voor eigen gewin willen misbruiken), steeds meer waarde krijgt. Iets wat velen "privacygevoeliger" noemen, terwijl ik steeds meer neig naar iets als "misbruikbaarder"; kent iemand een beter woord hiervoor? Doordat genoemd personeel steeds minder tijd heeft om "ergens achteraan te bellen" of op andere wijze argwanend te zijn (van een kennis in de gezondheidszorg hoor ik de teneur "digitaal, daar snap ik niks van" en "techneuten zullen er wel voor gezorgd hebben dat het veilig is"), ontstaan gapende gaten.

Als, zelfs met bijvoorbeeld WhatsApp, authenticated end-to-end encryptie door complete noobs mogelijk is, is het gebruik van museumstukken zonder waarborgen dat vertrouwelijke informatie op de bedoelde plaats terechtkomt en niet "onderweg" kan worden ingezien of zelfs gemanipuleerd (met ook nog eens relatief slechte technische integriteit en beschikbaarheid, en waarbij een correcte datum-en-tijd meestal op geluk, toeval, een defect of pwnage duidt), ronduit laakbaar.

Maar welke authenticated end-to-end encryptie je ook gebruikt, aan het begin en einde van de lijn is de informatie niet versleuteld, en dus moet mogelijk vertrouwelijke informatie op beeldscherm of papier (al dan niet in de uitvoerbak van fax of printer) niet door ongeautoriseerden kunnen worden ingezien.
20-08-2018, 00:50 door Anoniem
Door Bitwiper:
Door Anoniem: Meer een diskwalificatie van z-Snert. Lijkt meer een goedkope, versimpelde sales pitch dan gedegen onderzoek.
Gebanned op geenstijl en jeukende vingers of zo? Ik snap niet dat dit soort anonieme flapdrolreacties, zonder argumenten waarom Z-CERT onzin zou "verkopen", de moderatie doorstaan.
Dan moet je kijken waarom er gemodereerd wordt, cq. wat de criteria zijn.

Het grootste probleem met oude communicatiemiddelen zou wel eens social engineering kunnen zijn: alleen al daarom moet die oude meuk wat mij betreft de container in.
Eh? "Moderne" communicatiemiddelen zijn daar toch een stukje vatbaarder voor.

Voorbeeld: als je zou willen weten welke patiënten van een apotheek welke medicijnen voorgeschreven krijgen, is het een kwestie van alle verzenders van die faxberichten bellen of mailen, waarbij je je voordoet als (technisch) medewerker van de betreffende apotheek (of van één van de ICT clubs die apotheken inhuren).
Da's een hoop moeite. Met het oorspronkelijke EPD-plan was je veel sneller af geweest met jezelf toegang te verschaffen tot zo'n toepasselijk genaamde UZI-pas (niet noodzakelijkerwijs je eigen, natuurlijk) en het systeem de hele lijst uit te laten draaien.

Zolang je, als betrouwbare MITM, binnenkomende faxen meteen doorzet naar de echte fax van de apotheek, en foutmeldingen (zoals "out of paper") meteen retourneert, krijgt heus niemand argwaan.
Dat is op een computernetwerk nog wel eens een stukje eenvoudiger.

Een ander probleen zijn typo's bij het intikken van faxnummers. Dat de zendende fax dan zelden nog een andere fax aan de lijn krijgt, is meer geluk dan wijsheid.
Ook daar zie je email vaker en grootser de mist in gaan.

Z-CERT heeft gewoon gelijk (wel is het HP lek, wat mij betreft, de druppel in een reeds overvolle emmer).
Hmnee, het is gewoon EPD/LSP-doordrukpolitiek. De conclusie "firmware laat datalek toe tussen netwerk en fax, dus alle fax onveilig" is abject waardeloos, op alle fronten. Ik zou er mensen op ontslaan.

Steeds minder gezondheidszorgpersoneel moet steeds meer data uitwisselen die, door een sterk toenemende belangstelling van partijen die daar niets mee te maken hebben (en die gegevens voor eigen gewin willen misbruiken), steeds meer waarde krijgt.
En hoe zou dat nou toch komen. Als ik jouw redenering zie en dat combineer met hoe "moderne communicatiemiddelen" daartegenover staan dan zeg ik eerder, hou dat papier en die fax er maar in en laat die nieuwerwetse rommel voor wat het is want dat is nog veel gevaarlijker. Wat je in de praktijk ook goed ziet. Hoevaak worden er perongeluk driehonderdduizend mensen tegelijk gefaxt, en hoevaak worden er perongeluk drie miljoen mensen tegelijk ge-emaild, met informatie die niet voor hen bedoeld was? Dat laatste toch wat meer dan het eerste. Ook omdat faxen tijd kost en dus makkelijker tot stoppen te dwingen is voor er al teveel naar verkeerde nummers gestuurd is.

Iets wat velen "privacygevoeliger" noemen, terwijl ik steeds meer neig naar iets als "misbruikbaarder"; kent iemand een beter woord hiervoor?
"Informatie." Officieel natuurlijk "persoonsgevoelige informatie". Maar met het voortschrijden der techniek ("big data", etc.) wordt steeds meer data steeds beter tot informatie omgetoverd en dus is er steeds meer van en heeft het meer effect.

Doordat genoemd personeel steeds minder tijd heeft om "ergens achteraan te bellen" of op andere wijze argwanend te zijn
Mischien daar wat aan doen?

(van een kennis in de gezondheidszorg hoor ik de teneur "digitaal, daar snap ik niks van" en "techneuten zullen er wel voor gezorgd hebben dat het veilig is"), ontstaan gapende gaten.
Dan ben je dus beter af met techniek die wel behapbaar en bekend is. En daar zit fax toch dichterbij dan email. Gek genoeg.

Als, zelfs met bijvoorbeeld WhatsApp, authenticated end-to-end encryptie door complete noobs mogelijk is,
"mogelijk zijn" is wat anders dan "goed gebruik"; encryptie is en blijft behoorlijk finnicky, zelfs in professionele handen. En dan duiken er dus risicos op als denken dat je veilig bent maar het niet zijn. Dat is een situatie waar je precies niet in wil geraken. En met "complete noobs" kom je daar zelfs sneller aan.

is het gebruik van museumstukken zonder waarborgen dat vertrouwelijke informatie op de bedoelde plaats terechtkomt en niet "onderweg" kan worden ingezien of zelfs gemanipuleerd (met ook nog eens relatief slechte technische integriteit en beschikbaarheid, en waarbij een correcte datum-en-tijd meestal op geluk, toeval, een defect of pwnage duidt), ronduit laakbaar.
Er is geen reden waarom je niet een end-to-end-encrypted FoIP zou kunnen opzetten. Scheelt behoorlijk in het compleet moeten omgooien van je infrastructuur om "de koppeling" met "de digitaal" van ziekenhuis met de apotheken in de omgeving te maken, bijvoorbeeld. Een opgeleukte ATA en je hebt de vertrouwde werkwijze aangepast aan de nieuwe connectiemethode. Dan kun je later altijd nog overgaan op nieuwere werkwijzen, maar je zit niet meer aan een vlaggetjesdag vast -- en je kan terug als het moet. Operationeel zijn dat soort details ook wel fijn.

Tegelijkertijd vergeet je dat de beveiliging van telefoon --en dus ook fax-- vanouds op de combinatie overheidsbezit en dus lastig te manipuleren voor non-overheidsactoren, en de wettelijke omkadering was.

Dus je zegt hier eigenlijk "wetten zijn waardeloos als beveiliging". Mja, en hoe ga je dan het EPD/LSP nog verdedigen? Want dat zit vol met toegang voor allerlei partijen die vervolgens de helft of meer niet in mogen zien van de wet maar de toegang wel gewoon hebben. Ook elk niet-landelijk EPD zit vol met toegang die niet door encryptie maar door policybitjes beheerst wordt. Bitjes die wel eens omvallen, onterecht toegekend blijven, noem maar op. Een gevaar dat alleen maar nijpender wordt als je "koppelingen" gaat leggen tussen verschillende partijen. Ook dan ben je met een fax beter af, zeker als je vereist dat een mens die faxen verstuurt.

Maar welke authenticated end-to-end encryptie je ook gebruikt, aan het begin en einde van de lijn is de informatie niet versleuteld, en dus moet mogelijk vertrouwelijke informatie op beeldscherm of papier (al dan niet in de uitvoerbak van fax of printer) niet door ongeautoriseerden kunnen worden ingezien.
En dat is allemaal operationeel, heeft niets met het faxprotocol (of emailprotocol of wat dan ook voor protocol) zelve te maken.

Niet voor niets dat "enterprise" modelletjes printers, maar ook faxen, afdrukken kunnen opslaan en pas printen als er een specifieke code wordt ingegeven, bijvoorbeeld. Maar je kan zo'n ding ook in z'n eigen hok neerzetten natuurlijk.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.