APNIC, registratoren der er ansvarlig for fordelingen af IP-adresser i Asien og Stillehavsområdet, har rapporteret om en hændelse, hvor et SQL-dump af Whois-tjenesten er blevet offentliggjort, hvilket inkluderer fortrolige oplysninger og adgangskoder i hashet format. Det er bemærkelsesværdigt, at dette ikke er første gang, der er lækket persondata fra APNIC — i 2017 blev Whois-databasen også offentliggjort på grund af en medarbejderfejl.
Under implementeringen af understøttelse af RDAP-protokollen, som skal erstatte WHOIS-protokollen, har APNIC-medarbejdere placeret SQL-dumpet af databasen, der bruges i Whois-tjenesten, i Google Cloud, men de begrænsede ikke adgangen til det. På grund af en fejl i indstillingerne har SQL-dumpet været offentligt tilgængeligt i tre måneder, og dette blev først opdaget den 4. juni, da en uafhængig sikkerhedsforsker gjorde opmærksom på det og underrettede registratoren om problemet.
SQL-dumpet indeholdt attributter 'auth', der indeholdt hashede adgangskoder til ændring af objekter som Maintainer og Incident Response Team (IRT), samt nogle fortrolige oplysninger om kunder, der normalt ikke vises i Whois ved almindelige forespørgsler (ofte ekstra kontaktoplysninger og noter om brugeren). I tilfælde af at adgangskoderne blev genoprettet, havde angriberne mulighed for at ændre indholdet i felterne med ejerens parametre. IP-adresser i Whois. Objektet Maintainer definerer den person, der er ansvarlig for at ændre gruppen af poster, der er relateret via attributten 'mnt-by', mens objektet IRT indeholder kontaktoplysninger for administratorer, der reagerer på underretninger om problemer. Oplysninger om den anvendte hashing-algoritme for adgangskoderne gives ikke, men i 2017 blev der brugt forældede algoritmer som MD5 og CRYPT-PW (8-tegnede adgangskoder med hashes baseret på UNIX crypt-funktionen).
Efter identificeringen af hændelsen har APNIC iværksat nulstilling af adgangskoder for objekterne i Whois. På APNIC's side er der ikke fundet tegn på uretmæssige handlinger endnu, men der er ingen garantier for, at oplysningerne ikke er havnet i hænderne på ondsindede aktører, da der ikke findes fulde adgangslogs til filerne i Google Cloud. Som efter den tidligere hændelse har APNIC lovet at gennemgå og ændre de teknologiske processer for at forhindre lignende lækager i fremtiden.
Kilde: opennet.ru
