Leckage von Passwort-Hashes des Whois-Dienstes des Internet-Registrars APNIC

Der Registrar APNIC, der für die Verteilung von IP-Adressen in der Asien-Pazifik-Region zuständig ist, gab einen Vorfall bekannt, bei dem ein SQL-Dump des Whois-Dienstes öffentlich zugänglich wurde. Dieser enthielt vertrauliche Daten und Passwort-Hashes. Bemerkenswert ist, dass dies nicht die erste Leckage personenbezogener Daten bei APNIC ist - im Jahr 2017 wurde die Whois-Datenbank ebenfalls öffentlich zugänglich gemacht, auch aufgrund von Nachlässigkeit des Personals.

Im Rahmen der Einführung der Unterstützung des RDAP-Protokolls, das das WHOIS-Protokoll ersetzen soll, haben Mitarbeiter von APNIC einen SQL-Dump der Datenbank, die im Whois-Dienst verwendet wird, in einem Google Cloud-Speicher abgelegt, aber den Zugang nicht eingeschränkt. Aufgrund eines Fehlers in den Einstellungen war der SQL-Dump drei Monate lang öffentlich zugänglich und dieser Umstand wurde erst am 4. Juni bekannt, als ein unabhängiger Sicherheitsexperte darauf aufmerksam wurde und den Registrar über das Problem informierte.

Im SQL-Dump waren Attribute 'auth' enthalten, die Passwort-Hashes für die Änderungen an Objekten wie Maintainer und Incident Response Team (IRT) enthielten, sowie einige vertrauliche Informationen über Kunden, die normalerweise bei regulären Whois-Anfragen nicht angezeigt werden (gewöhnlich sind das zusätzliche Kontaktdaten und Hinweise zum Benutzer). Bei einer Wiederherstellung der Passwörter hatten Angreifer die Möglichkeit, den Inhalt der Felder mit den Eigentümerparametern zu ändern. IP-Adressen im Whois. Das Maintainer-Objekt definiert die Person, die für die Änderungen der Gruppe von Einträgen verantwortlich ist, die über das Attribut 'mnt-by' verbunden sind, während das IRT-Objekt die Kontaktdaten der Administratoren enthält, die auf Benachrichtigungen über Probleme reagieren. Informationen über den verwendeten Algorithmus zur Hash-Verschlüsselung der Passwörter werden nicht bereitgestellt, aber im Jahr 2017 wurden veraltete Algorithmen wie MD5 und CRYPT-PW (8-stellige Passwörter mit Hashes, die auf der UNIX-crypt-Funktion basieren) verwendet.

Nach dem Auftreten des Vorfalls hat APNIC einen Passwort-Reset für die Objekte im Whois eingeleitet. Auf Seiten von APNIC wurden bislang keine Anzeichen für illegitime Aktivitäten entdeckt, jedoch gibt es keine Gewissheit, dass die Daten nicht in die Hände von Angreifern gelangt sind, da vollständige Zugriffsprotokolle zu den Dateien in Google Cloud fehlen. Wie nach dem letzten Vorfall versprach APNIC, eine Überprüfung durchzuführen und Änderungen an den technischen Prozessen vorzunehmen, um derartige Leckagen in Zukunft zu vermeiden.

Quelle: opennet.ru