APNIC ઈન્ટરનેટ રજીસ્ટ્રારની Whois સેવાના પાસવર્ડ હેશનું લીકેજ

એશિયા-પેસિફિક પ્રદેશમાં IP એડ્રેસના વિતરણ માટે જવાબદાર APNIC રજિસ્ટ્રાર, એક ઘટનાની જાણ કરી જેના પરિણામે Whois સેવાનો SQL ડમ્પ, જેમાં ગોપનીય ડેટા અને પાસવર્ડ હેશનો સમાવેશ થાય છે, સાર્વજનિક રૂપે ઉપલબ્ધ કરવામાં આવ્યો હતો. નોંધનીય છે કે APNIC માં વ્યક્તિગત ડેટાનો આ પ્રથમ લીક નથી - 2017 માં, Whois ડેટાબેઝ પહેલેથી જ સાર્વજનિક રૂપે ઉપલબ્ધ કરવામાં આવ્યો હતો, તે પણ સ્ટાફની દેખરેખને કારણે.

WHOIS પ્રોટોકોલને બદલવા માટે રચાયેલ RDAP પ્રોટોકોલ માટે સપોર્ટ રજૂ કરવાની પ્રક્રિયામાં, APNIC કર્મચારીઓએ Whois સેવામાં ઉપયોગમાં લેવાતા ડેટાબેઝનો SQL ડમ્પ Google Cloud ક્લાઉડ સ્ટોરેજમાં મૂક્યો, પરંતુ તેની ઍક્સેસને પ્રતિબંધિત ન કરી. સેટિંગ્સમાં ભૂલને કારણે, SQL ડમ્પ ત્રણ મહિના માટે સાર્વજનિક રૂપે ઉપલબ્ધ હતું અને આ હકીકત 4 જૂને જ જાહેર થઈ હતી, જ્યારે એક સ્વતંત્ર સુરક્ષા સંશોધકોએ આની નોંધ લીધી અને રજિસ્ટ્રારને સમસ્યા વિશે જાણ કરી.

એસક્યુએલ ડમ્પમાં મેઇન્ટેનર અને ઇન્સિડેન્ટ રિસ્પોન્સ ટીમ (IRT) ઑબ્જેક્ટ્સ બદલવા માટે પાસવર્ડ હેશ ધરાવતા "ઓથ" એટ્રિબ્યુટ્સનો સમાવેશ થાય છે, તેમજ કેટલીક સંવેદનશીલ ગ્રાહક માહિતી કે જે સામાન્ય ક્વેરીઝ દરમિયાન Whois માં પ્રદર્શિત થતી નથી (સામાન્ય રીતે વધારાની સંપર્ક માહિતી અને વપરાશકર્તા વિશે નોંધો) . પાસવર્ડ પુનઃપ્રાપ્તિના કિસ્સામાં, હુમલાખોરો Whois માં IP એડ્રેસ બ્લોક્સના માલિકોના પરિમાણો સાથે ફીલ્ડની સામગ્રીને બદલવામાં સક્ષમ હતા. મેઇન્ટેનર ઑબ્જેક્ટ "mnt-by" એટ્રિબ્યુટ દ્વારા લિંક કરેલા રેકોર્ડ્સના જૂથને સંશોધિત કરવા માટે જવાબદાર વ્યક્તિને વ્યાખ્યાયિત કરે છે, અને IRT ઑબ્જેક્ટ એડમિનિસ્ટ્રેટર્સ માટે સંપર્ક માહિતી ધરાવે છે જેઓ સમસ્યાની સૂચનાઓનો જવાબ આપે છે. ઉપયોગમાં લેવાતા પાસવર્ડ હેશિંગ અલ્ગોરિધમ વિશેની માહિતી પૂરી પાડવામાં આવી નથી, પરંતુ 2017 માં, હેશિંગ માટે જૂના MD5 અને CRYPT-PW અલ્ગોરિધમ્સ (UNIX ક્રિપ્ટ ફંક્શન પર આધારિત હેશ સાથેના 8-અક્ષર પાસવર્ડ્સ) નો ઉપયોગ કરવામાં આવ્યો હતો.

ઘટનાની ઓળખ કર્યા પછી, APNIC એ Whois માં ઑબ્જેક્ટ્સ માટે પાસવર્ડ રીસેટ કરવાનું શરૂ કર્યું. APNIC બાજુ પર, ગેરકાયદેસર ક્રિયાઓના કોઈ ચિહ્નો હજુ સુધી મળી આવ્યા નથી, પરંતુ ત્યાં કોઈ ગેરેંટી નથી કે ડેટા હુમલાખોરોના હાથમાં આવ્યો નથી, કારણ કે Google ક્લાઉડ પર ફાઇલોની ઍક્સેસના કોઈ સંપૂર્ણ લોગ નથી. અગાઉની ઘટના પછી, APNIC એ ભવિષ્યમાં સમાન લીકને રોકવા માટે ઓડિટ કરવા અને તકનીકી પ્રક્રિયાઓમાં ફેરફાર કરવાનું વચન આપ્યું હતું.

સોર્સ: opennet.ru