ટેલિમેડિસિન કંપનીમાંથી ડેટા લીક (જે થઈ શક્યું હોત, પરંતુ થયું ન હતું).

થોડા દિવસ પહેલા જ આઇ લખ્યું રશિયન ઓનલાઈન મેડિકલ સર્વિસ DOC+ કેવી રીતે પબ્લિક ડોમેનમાં વિગતવાર એક્સેસ લોગ્સ સાથે ડેટાબેઝ છોડવામાં વ્યવસ્થાપિત થઈ તે વિશે Habré પર, જેમાંથી દર્દીઓ અને સેવા કર્મચારીઓનો ડેટા મેળવી શકાય છે. અને અહીં એક નવી ઘટના છે, બીજી રશિયન સેવા કે જે દર્દીઓને ડોકટરો સાથે ઓનલાઈન પરામર્શ પ્રદાન કરે છે - “ડોક્ટર નજીકના” (www.drclinics.ru).

હું તરત જ લખીશ કે ડૉક્ટરની પર્યાપ્તતાના કારણે સ્ટાફ નજીક છે, નબળાઈ ઝડપથી દૂર થઈ ગઈ (રાત્રે સૂચનાની ક્ષણથી 2 કલાક!) અને સંભવતઃ વ્યક્તિગત અને તબીબી ડેટાનો કોઈ લીક થયો ન હતો. DOC+ ઘટનાથી વિપરીત, જ્યાં હું ખાતરીપૂર્વક જાણું છું કે ડેટા સાથે ઓછામાં ઓછી એક json ફાઇલ, 3.5 GB ની સાઇઝ, "ઓપન વર્લ્ડ" માં સમાપ્ત થાય છે, અને સત્તાવાર સ્થિતિ આના જેવી દેખાય છે: "ડેટાનો એક નાનો જથ્થો અસ્થાયી રૂપે સાર્વજનિક રૂપે ઉપલબ્ધ થયો છે, જે DOC+ સેવાના કર્મચારીઓ અને વપરાશકર્તાઓ માટે નકારાત્મક પરિણામો તરફ દોરી શકે નહીં.".

મારી સાથે, ટેલિગ્રામ ચેનલના માલિક તરીકે "માહિતી લીક", એક અનામી સબ્સ્ક્રાઇબરે સંપર્ક કર્યો અને વેબસાઇટ www.drclinics.ru પર સંભવિત નબળાઈની જાણ કરી.

નબળાઈનો સાર એ હતો કે, URL ને જાણીને અને તમારા એકાઉન્ટ હેઠળની સિસ્ટમમાં હોવાને કારણે, અન્ય દર્દીઓનો ડેટા જોવાનું શક્ય હતું.

Doctor Nearby સિસ્ટમમાં નવું એકાઉન્ટ રજીસ્ટર કરવા માટે, તમારે વાસ્તવમાં માત્ર એક મોબાઈલ ફોન નંબરની જરૂર છે જેના પર એક પુષ્ટિકરણ SMS મોકલવામાં આવે, જેથી કોઈને પણ તેમના વ્યક્તિગત ખાતામાં લોગ ઇન કરવામાં કોઈ સમસ્યા ન આવે.

વપરાશકર્તાએ તેના અંગત ખાતામાં લૉગ ઇન કર્યા પછી, તે તરત જ તેના બ્રાઉઝરના સરનામાં બારમાં URL બદલીને, દર્દીઓના વ્યક્તિગત ડેટા અને તબીબી નિદાનવાળા અહેવાલો જોઈ શકે છે.

એક નોંધપાત્ર સમસ્યા એ હતી કે સેવા અહેવાલોના સતત નંબરિંગનો ઉપયોગ કરે છે અને પહેલાથી જ આ નંબરોમાંથી URL બનાવે છે:

https://[адрес сайта]/…/…/40261/…

તેથી, સિસ્ટમમાં અહેવાલોની કુલ સંખ્યા (7911) ની ગણતરી કરવા માટે લઘુત્તમ માન્ય નંબર (42926) અને મહત્તમ (35015 - નબળાઈ સમયે) સેટ કરવા માટે તે પૂરતું હતું અને તે પણ (જો ત્યાં દૂષિત હેતુ હોય તો) ડાઉનલોડ તે બધા એક સરળ સ્ક્રિપ્ટ સાથે.

જોવા માટે ઉપલબ્ધ ડેટા પૈકી: ડૉક્ટર અને દર્દીનું પૂરું નામ, ડૉક્ટર અને દર્દીની જન્મ તારીખો, ડૉક્ટર અને દર્દીના ટેલિફોન નંબરો, ડૉક્ટર અને દર્દીનું લિંગ, ડૉક્ટર અને દર્દીના ઇમેઇલ સરનામાં, ડૉક્ટરની વિશેષતા , પરામર્શની તારીખ, પરામર્શની કિંમત અને કેટલાક કિસ્સાઓમાં નિદાન પણ (રિપોર્ટ પર ટિપ્પણી તરીકે).

આ નબળાઈ અનિવાર્યપણે જે હતી તે સમાન છે ડિસેમ્બર 2017 માં શોધાયેલ માઇક્રોફાઇનાન્સ સંસ્થા "ઝાઇમોગ્રાડ" ના સર્વર પર. પછી, શોધ કરીને, સંસ્થાના ગ્રાહકોનો સંપૂર્ણ પાસપોર્ટ ડેટા ધરાવતા 36763 કરારો મેળવવાનું શક્ય હતું.

મેં શરૂઆતથી જ સૂચવ્યું તેમ, ડૉક્ટરની નજીકના કર્મચારીઓએ વાસ્તવિક વ્યાવસાયિકતા દર્શાવી અને મેં તેમને 23:00 વાગ્યે (મોસ્કો સમય) નબળાઈ વિશે જાણ કરી હોવા છતાં, મારા વ્યક્તિગત ખાતાની ઍક્સેસ તરત જ દરેક માટે બંધ કરવામાં આવી હતી, અને 1 સુધીમાં: 00 ( મોસ્કો સમય) આ નબળાઈને ઠીક કરવામાં આવી છે.

હું મદદ કરી શકતો નથી પણ ફરી એકવાર એ જ DOC+ (ન્યૂ મેડિસિન LLC) ના PR વિભાગને લાત મારી શકું છું. જાહેર કરી રહ્યા છીએ "થોડી માત્રામાં ડેટા અસ્થાયી રૂપે સાર્વજનિક રૂપે ઉપલબ્ધ કરવામાં આવ્યો હતો", તેઓ એ હકીકતની દૃષ્ટિ ગુમાવે છે કે અમારી પાસે અમારા નિકાલ પર "ઓબ્જેક્ટિવ કંટ્રોલ" ડેટા છે, એટલે કે શોદાન સર્ચ એન્જિન. તે લેખની ટિપ્પણીઓમાં યોગ્ય રીતે નોંધ્યું છે તેમ - શોદાન મુજબ, DOC+ IP સરનામાં પર ઓપન ક્લિકહાઉસ સર્વરના પ્રથમ ફિક્સેશનની તારીખ: 15.02.2019/03/08 00:17.03.2019:09, છેલ્લા ફિક્સેશનની તારીખ: 52/ 00/40 XNUMX:XNUMX:XNUMX. ડેટાબેઝનું કદ લગભગ XNUMX જીબી છે.

કુલ 15 ફિક્સેશન હતા:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

નિવેદન પરથી એવું જણાય છે અસ્થાયી રૂપે તે એક મહિનાથી થોડો વધારે છે, પરંતુ નાની માત્રામાં ડેટા આ લગભગ 40 ગીગાબાઇટ્સ છે. સારુ, મને નથી ખબર…

પણ ચાલો "ધ ડોકટર નજીકમાં છે" પર પાછા ફરીએ.

આ ક્ષણે, મારી વ્યાવસાયિક પેરાનોઇયા માત્ર એક જ બાકી રહેલી નાની સમસ્યાથી ત્રાસી છે - સર્વર પ્રતિસાદ દ્વારા તમે સિસ્ટમમાં અહેવાલોની સંખ્યા શોધી શકો છો. જ્યારે તમે એવા URL પરથી રિપોર્ટ મેળવવાનો પ્રયાસ કરો છો જે ઍક્સેસિબલ નથી (પરંતુ રિપોર્ટ પોતે જ ઉપલબ્ધ છે), ત્યારે સર્વર પરત આવે છે. પરવાનગી અસ્વીકાર, અને જ્યારે તમે એવો રિપોર્ટ મેળવવાનો પ્રયાસ કરો છો કે જે અસ્તિત્વમાં નથી, ત્યારે તે પાછો આવે છે NOT_FOUND. સમય જતાં (અઠવાડિયામાં એક વાર, મહિને, વગેરે) સિસ્ટમમાં અહેવાલોની સંખ્યામાં વધારાનું નિરીક્ષણ કરીને, તમે સેવાના વર્કલોડ અને પૂરી પાડવામાં આવતી સેવાઓની માત્રાનું મૂલ્યાંકન કરી શકો છો. આ, અલબત્ત, દર્દીઓ અને ડોકટરોના વ્યક્તિગત ડેટાનું ઉલ્લંઘન કરતું નથી, પરંતુ તે કંપનીના વેપાર રહસ્યોનું ઉલ્લંઘન હોઈ શકે છે.

સોર્સ: www.habr.com