একের মধ্যে দুই: পর্যটকের তথ্য এবং সাংস্কৃতিক অনুষ্ঠানের টিকিট সর্বজনীনভাবে উপলব্ধ ছিল

আজ আমরা একসাথে দুটি ক্ষেত্রে দেখব - দুটি সম্পূর্ণ ভিন্ন কোম্পানির ক্লায়েন্ট এবং অংশীদারদের ডেটা অবাধে উপলব্ধ ছিল "ধন্যবাদ" এই কোম্পানিগুলির তথ্য সিস্টেমের (IS) লগগুলির সাথে খোলা ইলাস্টিকসার্চ সার্ভারগুলিকে।

প্রথম ক্ষেত্রে, এগুলি রাডারিও সিস্টেমের মাধ্যমে বিক্রি হওয়া বিভিন্ন সাংস্কৃতিক অনুষ্ঠানের (থিয়েটার, ক্লাব, নদী ভ্রমণ ইত্যাদি) জন্য কয়েক হাজার (এবং হয়তো কয়েক হাজার) টিকেট।www.radario.ru).

দ্বিতীয় ক্ষেত্রে, এটি হাজার হাজার (সম্ভবত কয়েক হাজার) ভ্রমণকারীর পর্যটন ভ্রমণের ডেটা যারা Sletat.ru সিস্টেমের সাথে সংযুক্ত ট্রাভেল এজেন্সিগুলির মাধ্যমে ট্যুর কিনেছিলেন (www.sletat.ru).

আমি অবিলম্বে নোট করতে চাই যে কেবলমাত্র সেই সংস্থাগুলির নামই আলাদা নয় যেগুলি ডেটা সর্বজনীনভাবে উপলব্ধ হওয়ার অনুমতি দিয়েছে, তবে এই সংস্থাগুলির ঘটনাটি স্বীকৃতি দেওয়ার পদ্ধতি এবং এর পরবর্তী প্রতিক্রিয়াও আলাদা। তবে প্রথম জিনিসগুলি প্রথমে…

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

কেস এক. "রাডারিও"

06.05.2019/XNUMX/XNUMX সন্ধ্যায় আমাদের সিস্টেম Elasticsearch সার্ভার অবাধে উপলব্ধ আবিষ্কৃত, ইলেকট্রনিক টিকিট বিক্রয় সেবা Radario মালিকানাধীন.

ইতিমধ্যে প্রতিষ্ঠিত দুঃখজনক ঐতিহ্য অনুসারে, সার্ভারে পরিষেবার তথ্য সিস্টেমের বিশদ লগ রয়েছে, যেখান থেকে ব্যক্তিগত ডেটা, ব্যবহারকারীর লগইন এবং পাসওয়ার্ড এবং সেইসাথে সারা দেশে বিভিন্ন ইভেন্টের জন্য ইলেকট্রনিক টিকিটগুলি পাওয়া সম্ভব ছিল।

লগের মোট ভলিউম 1 TB ছাড়িয়ে গেছে৷

শোডান সার্চ ইঞ্জিন অনুসারে, সার্ভারটি 11.03.2019 মার্চ, 06.05.2019 থেকে সর্বজনীনভাবে উপলব্ধ। আমি 22/50/07.05.2019 তারিখে 09:30 (MSK) তে Radario কর্মীদের জানিয়েছিলাম এবং XNUMX/XNUMX/XNUMX-এ প্রায় XNUMX:XNUMX সার্ভারটি অনুপলব্ধ হয়ে গিয়েছিল।

লগগুলিতে একটি সর্বজনীন (একক) অনুমোদনের টোকেন রয়েছে, বিশেষ লিঙ্কগুলির মাধ্যমে সমস্ত কেনা টিকিটগুলিতে অ্যাক্সেস প্রদান করে, যেমন:

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

সমস্যাটি ছিল যে টিকিটের হিসাব করার জন্য, ক্রমাগত অর্ডারের সংখ্যা ব্যবহার করা হয়েছিল এবং টিকিট নম্বরের সাধারণ গণনা (XXXXXXXX) অথবা আদেশ (YYYYYYY), সিস্টেম থেকে সব টিকিট পাওয়া সম্ভব ছিল।

ডাটাবেসের প্রাসঙ্গিকতা পরীক্ষা করার জন্য, আমি এমনকি সততার সাথে নিজেকে সবচেয়ে সস্তার টিকিট কিনেছি:

এবং পরে এটি আইএস লগগুলিতে একটি সর্বজনীন সার্ভারে পাওয়া যায়:

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

আলাদাভাবে, আমি জোর দিয়ে বলতে চাই যে ইতিমধ্যে যে ইভেন্টগুলি সংঘটিত হয়েছে এবং যেগুলি এখনও পরিকল্পনা করা হচ্ছে তাদের জন্য টিকিট উপলব্ধ ছিল। অর্থাৎ, একজন সম্ভাব্য আক্রমণকারী পরিকল্পিত ইভেন্টে প্রবেশের জন্য অন্য কারো টিকিট ব্যবহার করতে পারে।

গড়ে, প্রতিটি ইলাস্টিকসার্চ ইনডেক্সে একটি নির্দিষ্ট দিনের জন্য (24.01.2019/07.05.2019/25 থেকে 35/XNUMX/XNUMX পর্যন্ত) লগ রয়েছে XNUMX থেকে XNUMX হাজার টিকেট।

টিকিটগুলি ছাড়াও, সূচীতে লগইন (ইমেল ঠিকানা) এবং টেক্সট পাসওয়ার্ড রয়েছে যাতে রাডারিও অংশীদাররা এই পরিষেবার মাধ্যমে তাদের ইভেন্টে টিকিট বিক্রি করে তাদের ব্যক্তিগত অ্যাকাউন্টগুলিতে অ্যাক্সেসের জন্য:

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

মোট, 500 টিরও বেশি লগইন/পাসওয়ার্ড জোড়া সনাক্ত করা হয়েছে। টিকিট বিক্রির পরিসংখ্যান অংশীদারদের ব্যক্তিগত অ্যাকাউন্টে দৃশ্যমান:

এছাড়াও সর্বজনীনভাবে উপলব্ধ ক্রেতাদের নাম, ফোন নম্বর এবং ইমেল ঠিকানা ছিল যারা পূর্বে কেনা টিকিট ফেরত দেওয়ার সিদ্ধান্ত নিয়েছে:

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

এক এলোমেলোভাবে নির্বাচিত দিনে, 500 টিরও বেশি এই ধরনের রেকর্ড আবিষ্কৃত হয়েছে।

আমি Radario এর প্রযুক্তিগত পরিচালকের কাছ থেকে সতর্কতার একটি প্রতিক্রিয়া পেয়েছি:

আমি Radario-এর প্রযুক্তিগত পরিচালক এবং সমস্যাটি চিহ্নিত করার জন্য আপনাকে ধন্যবাদ জানাতে চাই। আপনি জানেন, আমরা ইলাস্টিকের অ্যাক্সেস বন্ধ করে দিয়েছি এবং ক্লায়েন্টদের জন্য পুনরায় টিকিট দেওয়ার সমস্যাটি সমাধান করছি।

একটু পরে কোম্পানি একটি অফিসিয়াল বিবৃতি দিয়েছে:

রাডারিও ইলেকট্রনিক টিকিট বিক্রয় ব্যবস্থায় একটি দুর্বলতা আবিষ্কৃত হয়েছে এবং অবিলম্বে সংশোধন করা হয়েছে, যা পরিষেবার ক্লায়েন্টদের কাছ থেকে ডেটা ফাঁস হতে পারে, কোম্পানির বিপণন পরিচালক, কিরিল মালিশেভ, মস্কো সিটি নিউজ এজেন্সিকে বলেছেন।

“আমরা আসলে নিয়মিত আপডেটের সাথে যুক্ত সিস্টেম অপারেশনে একটি দুর্বলতা আবিষ্কার করেছি, যা আবিষ্কারের পরপরই ঠিক করা হয়েছিল। দুর্বলতার ফলস্বরূপ, কিছু শর্তে, তৃতীয় পক্ষের বন্ধুত্বপূর্ণ কর্মের ফলে ডেটা ফাঁস হতে পারে, কিন্তু কোনো ঘটনা রেকর্ড করা হয়নি। এই মুহুর্তে, সমস্ত ত্রুটি দূর করা হয়েছে,” কে. মালিশেভ বলেছেন।

একটি কোম্পানির প্রতিনিধি জোর দিয়েছিলেন যে পরিষেবা ক্লায়েন্টদের বিরুদ্ধে যে কোনও প্রতারণার সম্ভাবনা সম্পূর্ণরূপে দূর করার জন্য সমস্যার সমাধানের সময় বিক্রি হওয়া সমস্ত টিকিট পুনরায় জারি করার সিদ্ধান্ত নেওয়া হয়েছিল।

কয়েকদিন পরে, আমি ফাঁস হওয়া লিঙ্কগুলি ব্যবহার করে ডেটার প্রাপ্যতা পরীক্ষা করেছি - "উন্মুক্ত" টিকিটগুলিতে অ্যাক্সেস প্রকৃতপক্ষে আচ্ছাদিত ছিল৷ আমার মতে, এটি ডেটা ফাঁসের সমস্যা সমাধানের জন্য একটি উপযুক্ত, পেশাদার পদ্ধতি।

কেস দুই. "Fly.ru"

15.05.2019/XNUMX/XNUMX খুব ভোরে DeviceLock ডেটা লঙ্ঘন বুদ্ধিমত্তা একটি নির্দিষ্ট IS এর লগ সহ একটি সর্বজনীন ইলাস্টিক সার্চ সার্ভার সনাক্ত করেছে৷

পরে এটি প্রতিষ্ঠিত হয়েছিল যে সার্ভারটি ভ্রমণ নির্বাচন পরিষেবা "Sletat.ru" এর অন্তর্গত।

সূচক থেকে cbto__0 হাজার হাজার (ডুপ্লিকেট সহ 11,7 হাজার) ইমেল ঠিকানা, সেইসাথে কিছু অর্থপ্রদানের তথ্য (ভ্রমণের খরচ) এবং সফরের ডেটা (কখন, কোথায়, এয়ার টিকিটের বিবরণ পাওয়া সম্ভব ছিল) всех ভ্রমণের অন্তর্ভুক্ত ভ্রমণকারীরা, ইত্যাদি) প্রায় 1,8 হাজার রেকর্ড পরিমাণে:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

যাইহোক, অর্থপ্রদানের ট্যুরের লিঙ্কগুলি বেশ কাজ করছে:

নাম সহ সূচীতে graylog_ স্পষ্ট পাঠ্যে ছিল Sletat.ru সিস্টেমের সাথে সংযুক্ত ট্রাভেল এজেন্সিগুলির লগইন এবং পাসওয়ার্ড এবং তাদের ক্লায়েন্টদের কাছে ট্যুর বিক্রি করা:

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

আমার অনুমান অনুযায়ী, কয়েকশ লগইন/পাসওয়ার্ড জোড়া প্রদর্শিত হয়েছে।

পোর্টালে ভ্রমণ সংস্থার ব্যক্তিগত অ্যাকাউন্ট থেকে agent.sletat.ru পাসপোর্ট নম্বর, আন্তর্জাতিক পাসপোর্ট, জন্ম তারিখ, পুরো নাম, টেলিফোন নম্বর এবং ইমেল ঠিকানা সহ গ্রাহকের ডেটা পাওয়া সম্ভব ছিল।

আমি 15.05.2019/10/46 তারিখে 16:00 (MSK) এ Sletat.ru পরিষেবাকে অবহিত করেছি এবং কয়েক ঘন্টা পরে (XNUMX:XNUMX পর্যন্ত) এটি তাদের বিনামূল্যে অ্যাক্সেস থেকে অদৃশ্য হয়ে গেছে। পরে, Kommersant-এ প্রকাশনার প্রতিক্রিয়ায়, পরিষেবাটির ব্যবস্থাপনা মিডিয়ার মাধ্যমে একটি খুব অদ্ভুত বিবৃতি দিয়েছে:

কোম্পানির প্রধান, আন্দ্রেই ভার্শিনিন, ব্যাখ্যা করেছেন যে Sletat.ru সার্চ ইঞ্জিনে অনুসন্ধানের ইতিহাসে অ্যাক্সেস সহ বেশ কয়েকটি প্রধান অংশীদার ট্যুর অপারেটরকে সরবরাহ করে। এবং তিনি ধরে নিয়েছিলেন যে ডিভাইসলক এটি পেয়েছে: "তবে, নির্দিষ্ট ডেটাবেসে পর্যটকদের পাসপোর্ট ডেটা, ট্রাভেল এজেন্সি লগইন এবং পাসওয়ার্ড, অর্থপ্রদানের তথ্য ইত্যাদি থাকে না।" আন্দ্রেই ভার্শিনিন উল্লেখ করেছেন যে Sletat.ru এখনও এই ধরনের গুরুতর অভিযোগের কোনো প্রমাণ পায়নি। “আমরা এখন ডিভাইসলকের সাথে যোগাযোগ করার চেষ্টা করছি। আমরা বিশ্বাস করি যে এটি একটি আদেশ। কিছু লোক আমাদের দ্রুত বৃদ্ধি পছন্দ করে না,” তিনি যোগ করেছেন। "

উপরে দেখানো হিসাবে, পর্যটকদের লগইন, পাসওয়ার্ড এবং পাসপোর্ট ডেটা বেশ দীর্ঘ সময়ের জন্য পাবলিক ডোমেনে ছিল (অন্তত 29.03.2019 মার্চ, XNUMX থেকে, যখন কোম্পানির সার্ভার প্রথম শোডান সার্চ ইঞ্জিন দ্বারা সর্বজনীন ডোমেনে রেকর্ড করা হয়েছিল)। অবশ্যই, কেউ আমাদের সাথে যোগাযোগ করেনি। আমি আশা করি অন্তত তারা ট্রাভেল এজেন্সিগুলোকে ফাঁস সম্পর্কে অবহিত করেছে এবং তাদের পাসওয়ার্ড পরিবর্তন করতে বাধ্য করেছে।

তথ্য ফাঁস এবং অভ্যন্তরীণ সম্পর্কে খবর সর্বদা আমার টেলিগ্রাম চ্যানেলে পাওয়া যাবে "তথ্য ফাঁস».

উত্স: www.habr.com