ওপেন ক্লিকহাউস ডাটাবেসের কারণে রোগী এবং ডাক্তারদের ব্যক্তিগত তথ্য কীভাবে ক্ষতিগ্রস্ত হতে পারে

আমি বিশ্বের প্রায় সমস্ত দেশে অবাধে অ্যাক্সেসযোগ্য ডাটাবেসগুলির আবিষ্কার সম্পর্কে অনেক কিছু লিখি, তবে পাবলিক ডোমেনে রাশিয়ান ডাটাবেসগুলি সম্পর্কে প্রায় কোনও খবর নেই। যদিও সম্প্রতি আমি লিখেছি "ক্রেমলিনের হাত" সম্পর্কে, যা একজন ডাচ গবেষক 2000 টিরও বেশি খোলা ডেটাবেসে আবিষ্কার করতে ভয় পেয়েছিলেন।

একটি ভুল ধারণা থাকতে পারে যে রাশিয়ায় সবকিছু দুর্দান্ত এবং বড় রাশিয়ান অনলাইন প্রকল্পের মালিকরা ব্যবহারকারীর ডেটা সংরক্ষণের জন্য একটি দায়িত্বশীল পদ্ধতি গ্রহণ করে। আমি এই উদাহরণ ব্যবহার করে এই পৌরাণিক কাহিনী ডিবাঙ্ক করতে ত্বরান্বিত।

রাশিয়ান অনলাইন চিকিৎসা সেবা DOC+ দৃশ্যত ক্লিকহাউস ডাটাবেসটি প্রকাশ্যভাবে উপলব্ধ অ্যাক্সেস লগ সহ ছেড়ে যেতে পরিচালিত হয়েছে। দুর্ভাগ্যবশত, লগগুলি এত বিস্তারিত দেখায় যে পরিষেবার কর্মচারী, অংশীদার এবং ক্লায়েন্টদের ব্যক্তিগত ডেটা সম্ভবত ফাঁস হয়ে যেতে পারে৷

আগেরটা আগে...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

আমার সাথে, টেলিগ্রাম চ্যানেলের মালিক হিসাবে "তথ্য ফাঁস", একজন চ্যানেল পাঠক যিনি বেনামী থাকতে ইচ্ছুক ছিলেন তার সাথে যোগাযোগ করেছেন এবং আক্ষরিক অর্থে নিম্নলিখিতটি রিপোর্ট করেছেন:

ইন্টারনেটে একটি খোলা ক্লিকহাউস সার্ভার আবিষ্কৃত হয়েছে, যা কোম্পানি ডক+ এর অন্তর্গত। সার্ভারের আইপি ঠিকানাটি আইপি ঠিকানার সাথে মেলে যার সাথে docplus.ru ডোমেন কনফিগার করা হয়েছে।

উইকিপিডিয়া থেকে: DOC+ (নিউ মেডিসিন এলএলসি) হল একটি রাশিয়ান চিকিৎসা সংস্থা যা টেলিমেডিসিনের ক্ষেত্রে পরিষেবা প্রদান করে, বাড়িতে একজন ডাক্তারকে ডাকা, স্টোরেজ এবং প্রক্রিয়াকরণ ব্যক্তিগত চিকিৎসা তথ্য. কোম্পানি ইয়ানডেক্স থেকে বিনিয়োগ পেয়েছে।

সংগৃহীত তথ্য দ্বারা বিচার করে, ClickHouse ডাটাবেসটি প্রকৃতপক্ষে অবাধে অ্যাক্সেসযোগ্য ছিল, এবং যে কেউ, আইপি ঠিকানা জানা, এটি থেকে ডেটা পেতে পারে। এই ডেটা সম্ভবত পরিষেবা অ্যাক্সেস লগ হতে পরিণত.

আপনি উপরের ছবিটি থেকে দেখতে পাচ্ছেন, www.docplus.ru ওয়েব সার্ভার এবং ক্লিকহাউস সার্ভার (পোর্ট 9000) ছাড়াও, মঙ্গোডিবি ডাটাবেসটি একই আইপি ঠিকানায় ব্যাপকভাবে ঝুলছে (যাতে, দৃশ্যত, কিছুই নেই মজাদার).

যতদূর আমি জানি, Shodan.io সার্চ ইঞ্জিনটি ClickHouse সার্ভার আবিষ্কার করতে ব্যবহৃত হয়েছিল (প্রায় কিভাবে গবেষকরা খোলা ডাটাবেস আবিষ্কার করেন আমি আলাদাভাবে লিখেছি) একটি বিশেষ স্ক্রিপ্টের সাথে একত্রে ক্লিক ডাউন, যা প্রমাণীকরণের অভাবের জন্য পাওয়া ডাটাবেস পরীক্ষা করেছে এবং এর সমস্ত টেবিল তালিকাভুক্ত করেছে। সেই সময় তাদের মধ্যে 474 জন বলে মনে হয়েছিল।

ডকুমেন্টেশন থেকে আমরা জানি যে ডিফল্টরূপে, ClickHouse সার্ভার পোর্ট 8123-এ HTTP শোনে। অতএব, টেবিলে কী রয়েছে তা দেখতে, এই SQL কোয়েরির মতো কিছু চালানো যথেষ্ট:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

অনুরোধটি কার্যকর করার ফলস্বরূপ, সম্ভবত যা ফিরে আসতে পারে তা হল নীচের স্ক্রিনশটে নির্দেশিত:

স্ক্রিনশট থেকে বোঝা যাচ্ছে যে ক্ষেত্রবিশেষে তথ্য হেডার ব্যবহারকারীর অবস্থান (অক্ষাংশ এবং দ্রাঘিমাংশ), তার আইপি ঠিকানা, তিনি যে ডিভাইস থেকে পরিষেবাটির সাথে সংযুক্ত ছিলেন সে সম্পর্কে তথ্য, OS সংস্করণ ইত্যাদি সম্পর্কে ডেটা রয়েছে।

যদি কারও কাছে এসকিউএল ক্যোয়ারীটি সামান্য পরিবর্তন করতে হয়, উদাহরণস্বরূপ, এইরকম:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

তারপরে কর্মীদের ব্যক্তিগত ডেটার অনুরূপ কিছু ফেরত দেওয়া যেতে পারে, যথা: পুরো নাম, জন্ম তারিখ, লিঙ্গ, ট্যাক্স সনাক্তকরণ নম্বর, নিবন্ধন এবং বাসস্থানের আসল ঠিকানা, টেলিফোন নম্বর, অবস্থান, ইমেল ঠিকানা এবং আরও অনেক কিছু:

উপরের স্ক্রিনশট থেকে এই সমস্ত তথ্য 1C: এন্টারপ্রাইজ 8.3 এর HR ডেটার সাথে খুব মিল।

পরামিতি একটি ঘনিষ্ঠ কটাক্ষপাত গ্রহণ API_USER_TOKEN আপনি ভাবতে পারেন যে এটি একটি "কাজ করা" টোকেন যার সাহায্যে আপনি ব্যবহারকারীর পক্ষে তার ব্যক্তিগত ডেটা প্রাপ্ত করা সহ বিভিন্ন ক্রিয়া সম্পাদন করতে পারেন৷ তবে অবশ্যই এটা বলতে পারব না।

এই মুহুর্তে এমন কোন তথ্য নেই যে ClickHouse সার্ভারটি এখনও একই IP ঠিকানায় অবাধে অ্যাক্সেসযোগ্য।

উত্স: www.habr.com