বায়োমেট্রিক শনাক্তকরণ প্ল্যাটফর্ম BioStar 28-এ ব্যবহৃত 2 মিলিয়ন রেকর্ডের ফাঁস

ভিপিএনমেন্টর থেকে গবেষকরা প্রকাশিত ডাটাবেসে খোলা অ্যাক্সেসের সম্ভাবনা, যা বায়োমেট্রিক অ্যাক্সেস কন্ট্রোল সিস্টেমের অপারেশন সম্পর্কিত 27.8 মিলিয়নেরও বেশি রেকর্ড (23 গিগাবাইট ডেটা) সঞ্চয় করে বায়োস্টার 2, যার বিশ্বব্যাপী আনুমানিক 1.5 মিলিয়ন ইনস্টলেশন রয়েছে এবং AEOS প্ল্যাটফর্মে একীভূত করা হয়েছে, যা 5700টি দেশের 83টিরও বেশি সংস্থা দ্বারা ব্যবহৃত হয়েছে, যার মধ্যে বড় কর্পোরেশন এবং ব্যাঙ্ক, পাশাপাশি সরকারি সংস্থা এবং পুলিশ বিভাগ রয়েছে৷ লিকটি ইলাস্টিকসার্চ স্টোরেজের ভুল কনফিগারেশনের কারণে হয়েছিল, যা যে কেউ পাঠযোগ্য বলে প্রমাণিত হয়েছিল।

ফাঁসটি আরও তীব্র হয়েছে যে বেশিরভাগ ডাটাবেস এনক্রিপ্ট করা হয়নি এবং ব্যক্তিগত ডেটা ছাড়াও (নাম, ফোন, ইমেল, বাড়ির ঠিকানা, অবস্থান, ভাড়ার সময়, ইত্যাদি), সিস্টেম ব্যবহারকারীর অ্যাক্সেস লগ, খোলা পাসওয়ার্ড ( হ্যাশিং ছাড়া) এবং মোবাইল ডিভাইস ডেটা, বায়োমেট্রিক ব্যবহারকারী শনাক্তকরণের জন্য ব্যবহৃত মুখের ফটোগ্রাফ এবং আঙ্গুলের ছাপের ছবি অন্তর্ভুক্ত করে।

মোট, ডাটাবেস নির্দিষ্ট ব্যক্তিদের সাথে যুক্ত এক মিলিয়নেরও বেশি আসল আঙ্গুলের ছাপ স্ক্যান সনাক্ত করেছে। আঙ্গুলের ছাপের খোলা চিত্রগুলির উপস্থিতি যা পরিবর্তন করা যায় না আক্রমণকারীদের পক্ষে একটি টেমপ্লেট ব্যবহার করে একটি আঙ্গুলের ছাপ জাল করা এবং অ্যাক্সেস কন্ট্রোল সিস্টেমগুলিকে বাইপাস করতে বা মিথ্যা চিহ্নগুলি ছেড়ে দেওয়ার জন্য এটি ব্যবহার করা সম্ভব করে তোলে৷ পাসওয়ার্ডের গুণমানের দিকে বিশেষ মনোযোগ দেওয়া হয়, যার মধ্যে "পাসওয়ার্ড" এবং "abcd1234" এর মতো অনেক তুচ্ছ আছে।

অধিকন্তু, যেহেতু ডাটাবেসটিতে BioStar 2 অ্যাডমিনিস্ট্রেটরদের শংসাপত্রগুলিও অন্তর্ভুক্ত ছিল, আক্রমণের ক্ষেত্রে, আক্রমণকারীরা সিস্টেমের ওয়েব ইন্টারফেসে সম্পূর্ণ অ্যাক্সেস পেতে পারে এবং রেকর্ডগুলি যোগ, সম্পাদনা এবং মুছতে এটি ব্যবহার করতে পারে। উদাহরণস্বরূপ, তারা ফিজিক্যাল অ্যাক্সেস পেতে, অ্যাক্সেসের অধিকার পরিবর্তন করতে এবং লগ থেকে অনুপ্রবেশের চিহ্নগুলি সরাতে ফিঙ্গারপ্রিন্ট ডেটা প্রতিস্থাপন করতে পারে।

এটি লক্ষণীয় যে সমস্যাটি 5 আগস্ট সনাক্ত করা হয়েছিল, কিন্তু তারপরে বায়োস্টার 2 এর নির্মাতাদের কাছে তথ্য পৌঁছে দিতে বেশ কয়েক দিন ব্যয় করা হয়েছিল, যারা গবেষকদের কথা শুনতে চাননি। অবশেষে, 7 আগস্ট, কোম্পানির কাছে তথ্য জানানো হয়, কিন্তু সমস্যাটি 13 আগস্টেই সমাধান করা হয়। গবেষকরা নেটওয়ার্ক স্ক্যান করতে এবং উপলব্ধ ওয়েব পরিষেবাগুলি বিশ্লেষণ করার জন্য একটি প্রকল্পের অংশ হিসাবে ডাটাবেসটিকে চিহ্নিত করেছেন। ডাটাবেসটি কতক্ষণ সর্বজনীন ডোমেনে ছিল এবং আক্রমণকারীরা এর অস্তিত্ব সম্পর্কে জানত কিনা তা অজানা।

উত্স: opennet.ru