🥇क्लिकहाउस डेटाबेस खुले होने से मरीज़ों और डॉक्टरों का निजी डेटा कैसे ख़राब हो सकता था

मैं दुनिया के लगभग सभी देशों में स्वतंत्र रूप से सुलभ डेटाबेस की खोज के बारे में बहुत कुछ लिखता हूं, लेकिन सार्वजनिक डोमेन में रूसी डेटाबेस के बारे में लगभग कोई खबर नहीं बची है। हालाँकि हाल ही में मैंने लिखा था "क्रेमलिन के हाथ" के बारे में, जिसे एक डच शोधकर्ता 2000 से अधिक खुले डेटाबेस में खोजकर भयभीत हो गया था।

यह गलत धारणा हो सकती है कि रूस में सब कुछ बढ़िया है और बड़ी रूसी ऑनलाइन परियोजनाओं के मालिक उपयोगकर्ता डेटा संग्रहीत करने के लिए एक जिम्मेदार दृष्टिकोण अपनाते हैं। मैं इस उदाहरण का उपयोग करके इस मिथक को ख़त्म करने में जल्दबाजी करता हूँ।

रूसी ऑनलाइन चिकित्सा सेवा DOC+ स्पष्ट रूप से सार्वजनिक रूप से उपलब्ध एक्सेस लॉग के साथ ClickHouse डेटाबेस को छोड़ने में कामयाब रही। दुर्भाग्य से, लॉग इतने विस्तृत दिखते हैं कि सेवा के कर्मचारियों, भागीदारों और ग्राहकों का व्यक्तिगत डेटा संभवतः लीक हो सकता है।

सब कुछ क्रम में ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

मेरे साथ, टेलीग्राम चैनल के मालिक के रूप में"सूचना लीक", एक चैनल पाठक जो गुमनाम रहना चाहता था, उसने संपर्क किया और वस्तुतः निम्नलिखित रिपोर्ट दी:

इंटरनेट पर एक खुला ClickHouse सर्वर खोजा गया, जो doc+ कंपनी का है। सर्वर आईपी पता उस आईपी पते से मेल खाता है जिस पर docplus.ru डोमेन कॉन्फ़िगर किया गया है।

विकिपीडिया से: DOC+ (न्यू मेडिसिन एलएलसी) एक रूसी चिकित्सा कंपनी है जो टेलीमेडिसिन, घर पर डॉक्टर बुलाने, भंडारण और प्रसंस्करण के क्षेत्र में सेवाएं प्रदान करती है। व्यक्तिगत चिकित्सा डेटा. कंपनी को यांडेक्स से निवेश प्राप्त हुआ।

एकत्र की गई जानकारी को देखते हुए, क्लिकहाउस डेटाबेस वास्तव में स्वतंत्र रूप से पहुंच योग्य था, और आईपी पता जानने वाला कोई भी व्यक्ति इससे डेटा प्राप्त कर सकता था। यह डेटा संभवतः सेवा पहुंच लॉग निकला।

जैसा कि आप ऊपर चित्र में देख सकते हैं, www.docplus.ru वेब सर्वर और ClickHouse सर्वर (पोर्ट 9000) के अलावा, MongoDB डेटाबेस एक ही आईपी पते पर खुला लटका हुआ है (जिसमें, जाहिरा तौर पर, कुछ भी नहीं है) दिलचस्प)।

जहां तक मुझे पता है, Shodan.io सर्च इंजन का उपयोग ClickHouse सर्वर (लगभग) की खोज के लिए किया गया था शोधकर्ता खुले डेटाबेस की खोज कैसे करते हैं मैंने एक विशेष स्क्रिप्ट के संयोजन में अलग से लिखा)। नीचे क्लिक करें, जिसने प्रमाणीकरण की कमी के लिए पाए गए डेटाबेस की जाँच की और उसकी सभी तालिकाओं को सूचीबद्ध किया। उस समय इनकी संख्या 474 प्रतीत होती थी।

दस्तावेज़ीकरण से हम जानते हैं कि डिफ़ॉल्ट रूप से, ClickHouse सर्वर पोर्ट 8123 पर HTTP को सुनता है। इसलिए, यह देखने के लिए कि तालिकाओं में क्या शामिल है, इस SQL क्वेरी की तरह कुछ चलाना पर्याप्त है:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

अनुरोध को निष्पादित करने के परिणामस्वरूप, संभवतः जो लौटाया जा सकता है वह नीचे स्क्रीनशॉट में दर्शाया गया है:

स्क्रीनशॉट से यह स्पष्ट है कि फ़ील्ड में जानकारी हेडर इसमें उपयोगकर्ता के स्थान (अक्षांश और देशांतर), उसके आईपी पते, उस डिवाइस के बारे में जानकारी जिससे वह सेवा से जुड़ा है, ओएस संस्करण आदि के बारे में डेटा शामिल है।

यदि किसी के मन में SQL क्वेरी को थोड़ा संशोधित करने का विचार आया, उदाहरण के लिए, इस तरह:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

फिर कर्मचारियों के व्यक्तिगत डेटा के समान कुछ वापस किया जा सकता है, अर्थात्: पूरा नाम, जन्म तिथि, लिंग, कर पहचान संख्या, पंजीकरण और वास्तविक निवास स्थान का पता, टेलीफोन नंबर, पद, ईमेल पता और बहुत कुछ:

ऊपर दिए गए स्क्रीनशॉट की यह सारी जानकारी 1C: एंटरप्राइज़ 8.3 के HR डेटा के समान है।

पैरामीटर पर करीब से नज़र डालें API_USER_TOKEN आप सोच सकते हैं कि यह एक "कार्यशील" टोकन है जिसके साथ आप उपयोगकर्ता की ओर से उसका व्यक्तिगत डेटा प्राप्त करने सहित विभिन्न कार्य कर सकते हैं। लेकिन निःसंदेह मैं यह नहीं कह सकता।

फिलहाल ऐसी कोई जानकारी नहीं है कि ClickHouse सर्वर अभी भी उसी आईपी पते पर स्वतंत्र रूप से पहुंच योग्य है।

स्रोत: www.habr.com

खुले ClickHouse डेटाबेस के कारण मरीजों और डॉक्टरों का व्यक्तिगत डेटा कैसे प्रभावित हो सकता है?

एक टिप्पणी जोड़ें उत्तर रद्द