Слаб модел на сигурност на Sermo за $ 9 милиона

В общността на лекарите имаше доста шум за общността само на лекар (или „социалната мрежа“, ако предпочитате), наречена Sermo. Бях любопитен колко силна е тяхната система за регистрация, за да попречи на нелекарите да се абонират за услугата, която е безплатна и отворена за всички лекари, които имат или MD, или D.O. (и номер за предписване на DEA). Затова помолих мой приятел-консултант по технологии и сигурност да го провери.

Неговите открития не ме изненадаха. Отне му пет минути и само два опита да регистрира валиден акаунт на лекар в Sermo, въпреки че той не е лекар. Той използва информация, свободно достъпна в Интернет, за да се регистрира като някой, който е легитимен лекар. Той направи няколко снимки на екрана, за да ми покаже успеха си:

Проблемът изглежда е традиционен проблем между размяната на „лекота на използване“ със „строга сигурност“. Най-добрата и тясна сигурност би била ръчната проверка на всяка регистрация с човешко телефонно обаждане. Но, разбира се, това ще изисква пари и работна ръка, нещо, което много стартиращи компании нямат.

Но Sermo не може да използва това оправдание, тъй като току-що затвори поредния кръг от финансиране на VC в диапазона от 26,7 милиона долара (в допълнение към съществуващите 9 милиона долара, които вече са събрали). Така че най-силната възможна защита за защита на целостта на членовете на техните лекари е да се проверява всеки член ръчно, но те не са. Що се отнася до сигурността на затворената им общност, често задаваните въпроси на Sermo казват само:

Как да разбера, че членовете на Sermo наистина са лекари?

Присъединяването към Sermo не е лесно. Всъщност технологията Sermo е първата по рода си за удостоверяване и удостоверяване на лекари в реално време. Нашата модерна технология работи зад кулисите, като презаверява лекарите всеки път, когато влязат, като гарантира, че само лекари могат да станат членове.

Е, всъщност беше невероятно лесно. Толкова лесно, че в рамките на 5 минути някой, който не беше лекар, го направи. И ако случайно затворят акаунта, създаден от моя приятел, той може да създаде нов акаунт на лекар след още 5 минути. Тъй като процесът на удостоверяване на Sermo е коренно погрешен (няма да ви кажем как го е направил, така че не питайте), единственото дългосрочно решение за този проблем е искането на регистрантите за още по-лична информация (неща, много хора не биха искали да се откажат, като номера на социалното си осигуряване) или да се обадят на всеки човек, който се регистрира, за да потвърди, че са тези, които казват, че са.

Всички сме за затворени лекарски общности - смятаме, че те имат огромен потенциал. Но се надяваме, че такива общности наистина поставят своите членове най-добрите интереси за поверителност и сигурност над „лекотата на използване“ и бързите регистрации. Надяваме се също така, че VC наистина правят малко по-усърдна проверка, преди да пляснат парите си в каквато и да е последна / най-добрата „социална мрежа“, защото точно тези компании, които намаляват ъглите на сигурността, могат да я провалят за бъдещи стартиращи компании в подобни пространства .

Свързахме се със Sermo по този въпрос и открихме, че ден преди да започнем разследването на тази дупка в сигурността (петък), MedGadget вече е открил и публикувал своето мнение по нея. Техният метод беше малко по-различен от метода на нашия консултант, който просто предположи правилния DEA номер (защото получавате 3 опита от 6 възможни числа). Разбира се, публикацията на Medgadget го прави още по-лесно.

Говорител на Sermo отговори на нашите запитвания с,

Sermo всъщност върти въпросите за удостоверяване и DEA не е единственият елемент, който използваме. Въпреки това ще предприемем допълнителни стъпки за справяне с това. Уви, когато станете най-голямата общност на онлайн лекари, хората започват да настройват сайтовете си върху вас.

Вярно вярно. Но ако искате да спечелите доверие на професионалист, като подчертаете колко „сигурна“ е вашата общност, трябва да сте готови да отстоявате настоящите си практики на регистрация. Фактът, че регистрацията им е толкова лесна за игра в момента, означава, че тяхната общност е по-малко сигурна.

Sermo също ни напомни, че представянето за лекар е федерално нарушение. Ще се радваме да видим какъв размер федерални ресурси ще бъдат изразходвани за нарушители на Sermo. Sermo може да разчита само на Sermo, за да поддържа модела за сигурност на Sermo.

Сермо твърди, че днес има 30 000 лекари. Чудим се, колко от тях наистина са лекари?