Регистратор APNIC, отговорен за разпределението на IP адреси в Азиатско-Тихоокеанския регион, съобщи за инцидент, при който SQL дамп на услугата Whois беше излаган на публичен достъп, съдържащ конфиденциални данни и хешове на пароли. Забележително е, че това не е първото изтичане на лични данни в APNIC — през 2017 година базата Whois също стана публично достъпна поради небрежност на персонала.
В процеса на внедряване на поддръжка за протокола RDAP, предназначен да замени протокола WHOIS, служителите на APNIC разположиха SQL дампа на базата, използвана в услугата Whois, в облачно хранилище на Google Cloud, но не ограничиха достъпа до него. Поради грешка в настройките SQL дампа беше публично достъпен в продължение на три месеца и този факт беше разкрит едва на 4 юни, когато един от независимите изследователи по сигурността привлече вниманието към него и уведоми регистратора за проблема.
В SQL дампа присъстваха атрибути "auth", съдържащи хешове на пароли за промяна на обекти Maintainer и Incident Response Team (IRT), както и някои конфиденциални данни за клиенти, които не се показват в Whois при нормални заявки (обикновено това са допълнителни контактни данни и бележки за потребителя). В случай на възстановяване на паролите, атакуващите имаха възможност да променят съдържанието на полетата с параметри на собствениците на блоковете в Whois. IP адреси Обектът Maintainer определя лицето, отговорно за промяната на групата записи, свързани чрез атрибута "mnt-by", а обектът IRT съдържа контактни данни на администраторите, отговарящи на уведомления за проблеми. Информацията за използвания алгоритъм за хеширане на паролите не е предоставена, но през 2017 година за хеширане се използваха остарели алгоритми MD5 и CRYPT-PW (8-символни пароли с хешове, основани на функцията за UNIX crypt).
След установяването на инцидента APNIC инициира нулиране на паролите за обектите в Whois. От страна на APNIC не са открити признаци на нелегитимни действия, но няма гаранции, че данните не са попаднали в ръцете на злонамерени лица, тъй като липсват пълни логове за достъп до файловете в Google Cloud. Както след предишния инцидент, APNIC обеща да извърши одит и да направи промени в технологичните процеси, за да предотврати подобни изтичания в бъдеще.
Източник: opennet.ru
