Registrátor APNIC, odpovědný za distribuci IP adres v Asijsko-Pacifické oblasti, oznámil incident, při kterém se do veřejné sféry dostal SQL dump služby Whois, zahrnující citlivé údaje a hash hesel. Je pozoruhodné, že to není první únik osobních údajů v APNIC — v roce 2017 byla databáze Whois rovněž zveřejněna kvůli nedbalosti zaměstnanců.
Při zavádění podpory protokolu RDAP, který má nahradit protokol WHOIS, zaměstnanci APNIC uložili SQL dump databáze používané ve službě Whois do cloudového úložiště Google Cloud, ale neomezený přístup k němu nezakázali. Kvůli chybě v nastavení byl SQL dump po dobu tří měsíců veřejně přístupný a tento fakt vyšel najevo až 4. června, když si toho jeden z nezávislých bezpečnostních výzkumníků všiml a upozornil registrátora na problém.
V SQL dumpu byly přítomny atributy 'auth', obsahující hashe hesel pro změnu objektů Maintainer a Incident Response Team (IRT), stejně jako některé citlivé informace o klientech, které se obvykle nezobrazují ve Whois při běžných dotazech (obvykle to jsou další kontaktní údaje a poznámky o uživateli). V případě obnovení hesel měli útočníci možnost měnit obsah polí s parametry vlastníků bloků IP adress ve Whois. Objekt Maintainer určuje osobu odpovědnou za změny v sadě záznamů, které jsou spojeny atributem 'mnt-by', a objekt IRT obsahuje kontaktní údaje administrátorů, kteří reagují na oznámení o problémech. Informace o použitých hashovacích algoritmech hesel nejsou uvedeny, ale v roce 2017 byly používány zastaralé algoritmy MD5 a CRYPT-PW (8-znaková hesla s hash na základě funkce UNIX crypt).
Po zjištění incidentu APNIC inicioval reset hesel pro objekty ve Whois. Na straně APNIC nebyly zatím zjištěny žádné znaky nelegitimních akcí, ale záruky, že data se nedostala do rukou útočníků, nejsou, protože chybějí kompletní access logy k souborům v Google Cloud. Podobně jako po minulém incidentu APNIC slíbil provést revizi a zavést změny v technologických procesech, aby se podobným únikům v budoucnosti předešlo.
Zdroj: opennet.ru
