Leck von Passwort-Hashes des Whois-Dienstes des Internetregistrars APNIC

Der APNIC-Registrar, der für die Vergabe von IP-Adressen in der Asien-Pazifik-Region zuständig ist, hat einen Vorfall gemeldet, bei dem ein SQL-Dump des Whois-Dienstes öffentlich zugänglich wurde. Dieser Inhalt enthält vertrauliche Daten und Passwort-Hashes. Bemerkenswert ist, dass dies nicht die erste Datenleckage bei APNIC ist – bereits 2017 gelangte die Whois-Datenbank ebenfalls durch ein Versehen des Personals in die Öffentlichkeit.

Im Zuge der Einführung der Unterstützung des RDAP-Protokolls, das das WHOIS-Protokoll ablösen soll, haben Mitarbeiter von APNIC den SQL-Dump der Datenbank, die im Whois-Dienst verwendet wird, in einem Google Cloud-Speicher abgelegt, jedoch den Zugriff darauf nicht eingeschränkt. Aufgrund eines Fehlers in den Einstellungen war der SQL-Dump drei Monate lang öffentlich zugänglich, und dieser Umstand wurde erst am 4. Juni entdeckt, als ein unabhängiger Sicherheitsforscher darauf aufmerksam wurde und den Registrar über das Problem informierte.

Im SQL-Dump fanden sich die Attribute „auth“, die Passwort-Hashes für die Änderung der Objekte Maintainer und Incident Response Team (IRT) enthalten, sowie einige vertrauliche Informationen über Kunden, die bei normalen Whois-Anfragen nicht angezeigt werden (in der Regel sind dies zusätzliche Kontaktdaten und Hinweise zum Benutzer). Im Falle von Passwortwiederherstellungen hatten Angreifer die Möglichkeit, den Inhalt der Felder mit den Eigentümerparametern zu ändern. IP-Adressen in Whois. Das Objekt Maintainer definiert die Person, die für die Änderung der Gruppe von Datensätzen verantwortlich ist, die über das Attribut „mnt-by“ miteinander verbunden sind, während das Objekt IRT die Kontaktdaten der Administratoren enthält, die auf Problembenachrichtigungen reagieren. Informationen über den verwendeten Passwort-Hashing-Algorithmus werden nicht bereitgestellt, jedoch wurden im Jahr 2017 veraltete Algorithmen wie MD5 und CRYPT-PW (8-stellige Passwörter mit Hashes, die auf der UNIX-crypt-Funktion basieren) verwendet.

Nach dem Vorfall hat APNIC einen Passwortreset für die Objekte im Whois initiiert. Auf Seiten von APNIC wurden bisher keine Anzeichen für illegitime Aktivitäten festgestellt, jedoch gibt es keine Garantie, dass die Daten nicht in die Hände von Angreifern gelangt sind, da vollständige Zugriffsprotokolle auf die Dateien in Google Cloud fehlen. Wie nach dem letzten Vorfall hat APNIC versprochen, eine Überprüfung durchzuführen und Änderungen an den technologischen Prozessen vorzunehmen, um ähnliche Leaks in der Zukunft zu verhindern.

Quelle: opennet.ru