একটি টেলিমেডিসিন কোম্পানি থেকে ডেটা লিক (যা ঘটতে পারে, কিন্তু ঘটেনি)

মাত্র কয়েকদিন আগে আমি আমি লিখেছি হাব্রে-তে কীভাবে রাশিয়ান অনলাইন চিকিৎসা পরিষেবা DOC+ পাবলিক ডোমেনে বিস্তারিত অ্যাক্সেস লগ সহ একটি ডাটাবেস রেখে যেতে পেরেছিল, যেখান থেকে রোগী এবং পরিষেবা কর্মীদের ডেটা পাওয়া যেতে পারে। এবং এখানে একটি নতুন ঘটনা, আরেকটি রাশিয়ান পরিষেবা যা রোগীদের ডাক্তারদের সাথে অনলাইন পরামর্শ প্রদান করে - "ডাক্তার কাছাকাছি" (www.drclinics.ru)।

আমি এখনই লিখব যে ডাক্তার ইজ নিয়ার স্টাফের পর্যাপ্ততার জন্য ধন্যবাদ, দুর্বলতা দ্রুত (রাতে বিজ্ঞপ্তির মুহূর্ত থেকে 2 ঘন্টা!) দূর করা হয়েছিল এবং সম্ভবত ব্যক্তিগত এবং চিকিৎসা সংক্রান্ত তথ্য ফাঁস হয়নি। DOC+ ঘটনার বিপরীতে, যেখানে আমি নিশ্চিতভাবে জানি যে ডেটা সহ কমপক্ষে একটি json ফাইল, 3.5 GB আকারের, "ওপেন ওয়ার্ল্ড" এ শেষ হয়েছে এবং অফিসিয়াল অবস্থানটি এইরকম দেখাচ্ছে: "অল্প পরিমাণ ডেটা সাময়িকভাবে সর্বজনীনভাবে উপলব্ধ হয়েছে, যা DOC+ পরিষেবার কর্মচারী এবং ব্যবহারকারীদের জন্য নেতিবাচক পরিণতির দিকে নিয়ে যেতে পারে না।"।

আমার সাথে, টেলিগ্রাম চ্যানেলের মালিক হিসাবে "তথ্য ফাঁস", একজন বেনামী গ্রাহক যোগাযোগ করেছেন এবং www.drclinics.ru ওয়েবসাইটে একটি সম্ভাব্য দুর্বলতার কথা জানিয়েছেন৷

দুর্বলতার সারমর্ম ছিল যে, ইউআরএল জেনে এবং আপনার অ্যাকাউন্টের অধীনে সিস্টেমে থাকা, আপনি অন্যান্য রোগীদের ডেটা দেখতে পারেন।

Doctor Nearby সিস্টেমে একটি নতুন অ্যাকাউন্ট নিবন্ধন করতে, আপনার আসলে শুধুমাত্র একটি মোবাইল ফোন নম্বরের প্রয়োজন যেখানে একটি নিশ্চিতকরণ SMS পাঠানো হয়, যাতে কারো ব্যক্তিগত অ্যাকাউন্টে লগ ইন করতে কোনো সমস্যা না হয়।

ব্যবহারকারী তার ব্যক্তিগত অ্যাকাউন্টে লগ ইন করার পরে, তিনি অবিলম্বে, তার ব্রাউজারের ঠিকানা বারে URL পরিবর্তন করে, রোগীদের ব্যক্তিগত ডেটা এবং এমনকি চিকিৎসা নির্ণয়ের প্রতিবেদনগুলি দেখতে পারেন।

একটি উল্লেখযোগ্য সমস্যা ছিল যে পরিষেবাটি রিপোর্টের ক্রমাগত সংখ্যায়ন ব্যবহার করে এবং ইতিমধ্যে এই নম্বরগুলি থেকে একটি URL তৈরি করে:

https://[адрес сайта]/…/…/40261/…

অতএব, সিস্টেমে রিপোর্টের মোট সংখ্যা (7911) গণনা করার জন্য সর্বনিম্ন অনুমোদিত সংখ্যা (42926) এবং সর্বাধিক (35015 - দুর্বলতার সময়) সেট করা যথেষ্ট ছিল এবং এমনকি (যদি দূষিত উদ্দেশ্য ছিল) ডাউনলোড একটি সহজ স্ক্রিপ্ট সঙ্গে তাদের সব.

দেখার জন্য উপলব্ধ ডেটাগুলির মধ্যে ছিল: ডাক্তার এবং রোগীর পুরো নাম, ডাক্তার এবং রোগীর জন্ম তারিখ, ডাক্তার এবং রোগীর টেলিফোন নম্বর, ডাক্তার এবং রোগীর লিঙ্গ, ডাক্তার এবং রোগীর ইমেল ঠিকানা, ডাক্তারের বিশেষীকরণ , পরামর্শের তারিখ, পরামর্শের খরচ এবং কিছু ক্ষেত্রে এমনকি রোগ নির্ণয় (প্রতিবেদনের মন্তব্য হিসাবে)।

এই দুর্বলতা মূলত যা ছিল তার সাথে খুব মিল ডিসেম্বর 2017 এ আবিষ্কৃত হয় ক্ষুদ্রঋণ সংস্থা "জাইমোগ্রাদ" এর সার্ভারে। তারপরে, অনুসন্ধান করে, সংস্থার ক্লায়েন্টদের সম্পূর্ণ পাসপোর্ট ডেটা সহ 36763 টি চুক্তি পাওয়া সম্ভব হয়েছিল।

আমি প্রথম থেকেই ইঙ্গিত দিয়েছিলাম, ডাক্তারের কাছাকাছি কর্মচারীরা প্রকৃত পেশাদারিত্ব দেখিয়েছিল এবং আমি তাদের 23:00 (মস্কোর সময়) তে দুর্বলতা সম্পর্কে অবহিত করা সত্ত্বেও, আমার ব্যক্তিগত অ্যাকাউন্টে অ্যাক্সেস অবিলম্বে সবার জন্য বন্ধ করে দেওয়া হয়েছিল এবং 1 এর মধ্যে: 00 (মস্কো সময়) এই দুর্বলতা সংশোধন করা হয়েছে.

আমি সাহায্য করতে পারব না কিন্তু একই DOC+ (New Medicine LLC) এর পিআর বিভাগকে আবার লাথি মেরে ফেলব। ঘোষণা করা হচ্ছে"অল্প পরিমাণ ডেটা সাময়িকভাবে সর্বজনীনভাবে উপলব্ধ করা হয়েছিল", তারা এই সত্যটি হারিয়ে ফেলে যে আমাদের হাতে "উদ্দেশ্য নিয়ন্ত্রণ" ডেটা রয়েছে, যথা শোডান সার্চ ইঞ্জিন৷ সেই নিবন্ধের মন্তব্যে সঠিকভাবে উল্লেখ করা হয়েছে - শোডানের মতে, DOC+ আইপি ঠিকানায় খোলা ক্লিকহাউস সার্ভারের প্রথম স্থিরকরণের তারিখ: 15.02.2019/03/08 00:17.03.2019:09, শেষ নির্ধারণের তারিখ: 52/ 00/40 XNUMX:XNUMX:XNUMX ডাটাবেসের আকার প্রায় XNUMX গিগাবাইট।

মোট 15 টি ফিক্সেশন ছিল:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

বিবৃতি থেকে এটা প্রতীয়মান হয় যে সাময়িকভাবে এটা এক মাসের একটু বেশি, কিন্তু অল্প পরিমাণ ডেটা এটি প্রায় 40 গিগাবাইট। ভাল, আমি জানি না…

তবে আসুন "ডাক্তার কাছাকাছি" এ ফিরে যাই।

এই মুহুর্তে, আমার পেশাদার প্যারানিয়া শুধুমাত্র একটি অবশিষ্ট ছোট সমস্যা দ্বারা ভূতুড়ে - সার্ভার প্রতিক্রিয়া দ্বারা আপনি সিস্টেমে রিপোর্টের সংখ্যা খুঁজে পেতে পারেন। আপনি যখন একটি URL থেকে একটি প্রতিবেদন পাওয়ার চেষ্টা করেন যা অ্যাক্সেসযোগ্য নয় (কিন্তু প্রতিবেদনটি নিজেই উপলব্ধ), সার্ভার ফিরে আসে ACCESS_DENIED, এবং যখন আপনি এমন একটি প্রতিবেদন পাওয়ার চেষ্টা করেন যা বিদ্যমান নেই, এটি ফিরে আসে NOT_FOUND. সময়ের সাথে সাথে সিস্টেমে রিপোর্টের সংখ্যা বৃদ্ধি পর্যবেক্ষণ করে (সপ্তাহে একবার, মাসে, ইত্যাদি), আপনি পরিষেবার কাজের চাপ এবং প্রদত্ত পরিষেবার পরিমাণ মূল্যায়ন করতে পারেন। এটি অবশ্যই রোগী এবং ডাক্তারদের ব্যক্তিগত তথ্য লঙ্ঘন করে না, তবে এটি কোম্পানির বাণিজ্য গোপনীয়তার লঙ্ঘন হতে পারে।

উত্স: www.habr.com