एक टेलीमेडिसिन कंपनी से डेटा लीक (जो हो सकता था, लेकिन नहीं हुआ)।

अभी कुछ दिन पहले ही मैं मैंने लिखा था हेबे पर बताया गया है कि कैसे रूसी ऑनलाइन मेडिकल सेवा DOC+ सार्वजनिक डोमेन में विस्तृत एक्सेस लॉग के साथ एक डेटाबेस छोड़ने में कामयाब रही, जिससे रोगियों और सेवा कर्मचारियों का डेटा प्राप्त किया जा सकता था। और यहां एक नई घटना है, एक अन्य रूसी सेवा के साथ जो रोगियों को डॉक्टरों के साथ ऑनलाइन परामर्श प्रदान करती है - "डॉक्टर नियरबाय" (www.drclinics.ru)।

मैं तुरंत लिखूंगा कि डॉक्टर इज़ नियर स्टाफ की पर्याप्तता के कारण, भेद्यता जल्दी से समाप्त हो गई (रात में अधिसूचना के क्षण से 2 घंटे!) और सबसे अधिक संभावना है कि व्यक्तिगत और चिकित्सा डेटा का कोई रिसाव नहीं हुआ। DOC+ घटना के विपरीत, जहां मुझे निश्चित रूप से पता है कि 3.5 जीबी आकार के डेटा वाली कम से कम एक json फ़ाइल "खुली दुनिया" में समाप्त हो गई, और आधिकारिक स्थिति इस तरह दिखती है: "थोड़ी मात्रा में डेटा अस्थायी रूप से सार्वजनिक रूप से उपलब्ध हो गया है, जिससे DOC+ सेवा के कर्मचारियों और उपयोगकर्ताओं के लिए नकारात्मक परिणाम नहीं हो सकते।"।

मेरे साथ, टेलीग्राम चैनल के मालिक के रूप में"सूचना लीक", एक अज्ञात ग्राहक ने संपर्क किया और वेबसाइट www.drclinics.ru पर संभावित भेद्यता की सूचना दी।

भेद्यता का सार यह था कि, यूआरएल जानने और अपने खाते के तहत सिस्टम में होने पर, आप अन्य रोगियों का डेटा देख सकते थे।

डॉक्टर नियरबी सिस्टम में एक नया खाता पंजीकृत करने के लिए, आपको वास्तव में केवल एक मोबाइल फ़ोन नंबर की आवश्यकता होती है जिस पर एक पुष्टिकरण एसएमएस भेजा जाता है, ताकि किसी को भी अपने व्यक्तिगत खाते में लॉग इन करने में कोई समस्या न हो।

उपयोगकर्ता द्वारा अपने व्यक्तिगत खाते में लॉग इन करने के बाद, वह तुरंत, अपने ब्राउज़र के एड्रेस बार में यूआरएल बदलकर, मरीजों के व्यक्तिगत डेटा और यहां तक ​​कि चिकित्सा निदान वाली रिपोर्ट देख सकता है।

एक महत्वपूर्ण समस्या यह थी कि सेवा रिपोर्टों की निरंतर संख्या का उपयोग करती है और पहले से ही इन नंबरों से एक यूआरएल बनाती है:

https://[адрес сайта]/…/…/40261/…

इसलिए, सिस्टम में रिपोर्ट की कुल संख्या (7911) की गणना करने और यहां तक ​​​​कि (यदि कोई दुर्भावनापूर्ण इरादा था) डाउनलोड करने के लिए न्यूनतम अनुमत संख्या (42926) और अधिकतम (35015 - भेद्यता के समय) निर्धारित करना पर्याप्त था। उन सभी को एक सरल स्क्रिप्ट के साथ।

देखने के लिए उपलब्ध डेटा में ये थे: डॉक्टर और मरीज का पूरा नाम, डॉक्टर और मरीज की जन्मतिथि, डॉक्टर और मरीज के टेलीफोन नंबर, डॉक्टर और मरीज का लिंग, डॉक्टर और मरीज का ईमेल पता, डॉक्टर की विशेषज्ञता , परामर्श की तारीख, परामर्श की लागत और कुछ मामलों में निदान भी (रिपोर्ट पर एक टिप्पणी के रूप में)।

यह भेद्यता मूलतः उसी के समान है जो पहले थी दिसंबर 2017 में खोजा गया माइक्रोफाइनांस संगठन "ज़ाइमोग्राड" के सर्वर पर। फिर, खोज करके, संगठन के ग्राहकों के पूर्ण पासपोर्ट डेटा वाले 36763 अनुबंध प्राप्त करना संभव हुआ।

जैसा कि मैंने शुरू से ही संकेत दिया था, डॉक्टर नियरबी के कर्मचारियों ने वास्तविक व्यावसायिकता दिखाई और इस तथ्य के बावजूद कि मैंने उन्हें 23:00 (मास्को समय) पर भेद्यता के बारे में सूचित किया, मेरे व्यक्तिगत खाते तक पहुंच तुरंत सभी के लिए बंद कर दी गई, और 1 बजे तक: 00 (मास्को समय) इस भेद्यता को ठीक कर दिया गया है।

मैं मदद नहीं कर सकता लेकिन एक बार फिर उसी DOC+ (न्यू मेडिसिन एलएलसी) के पीआर विभाग को लात मार सकता हूं। घोषणा "थोड़ी मात्रा में डेटा अस्थायी रूप से सार्वजनिक रूप से उपलब्ध कराया गया था", वे इस तथ्य को नज़रअंदाज कर देते हैं कि हमारे पास "उद्देश्य नियंत्रण" डेटा है, अर्थात् शोडन सर्च इंजन। जैसा कि उस लेख की टिप्पणियों में सही ढंग से उल्लेख किया गया है - शोडन के अनुसार, DOC+ IP पते पर खुले ClickHouse सर्वर के पहले निर्धारण की तिथि: 15.02.2019/03/08 00:17.03.2019:09, अंतिम निर्धारण की तिथि: 52/ 00/40 XNUMX:XNUMX:XNUMX. डेटाबेस का आकार लगभग XNUMX जीबी है।

कुल मिलाकर 15 निर्धारण थे:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

बयान से ऐसा प्रतीत होता है अस्थायी रूप से एक महीने से थोड़ा अधिक समय हो गया है, लेकिन डेटा की छोटी मात्रा यह लगभग 40 गीगाबाइट है. खैर मैं नहीं जानता…

लेकिन आइए "द डॉक्टर इज़ नियरबी" पर वापस लौटें।

इस समय, मेरी व्यावसायिक व्याकुलता केवल एक शेष छोटी समस्या से ग्रस्त है - सर्वर प्रतिक्रिया से आप सिस्टम में रिपोर्टों की संख्या का पता लगा सकते हैं। जब आप किसी ऐसे यूआरएल से रिपोर्ट प्राप्त करने का प्रयास करते हैं जो पहुंच योग्य नहीं है (लेकिन रिपोर्ट स्वयं उपलब्ध है), तो सर्वर वापस आ जाता है पहुंच अस्वीकृत, और जब आप ऐसी रिपोर्ट प्राप्त करने का प्रयास करते हैं जो मौजूद नहीं है, तो वह वापस आ जाती है पता नहीं चला. समय के साथ सिस्टम में रिपोर्टों की संख्या में वृद्धि (सप्ताह, महीने आदि में एक बार) की निगरानी करके, आप सेवा के कार्यभार और प्रदान की गई सेवाओं की मात्रा का आकलन कर सकते हैं। बेशक, यह मरीजों और डॉक्टरों के व्यक्तिगत डेटा का उल्लंघन नहीं करता है, लेकिन यह कंपनी के व्यापार रहस्यों का उल्लंघन हो सकता है।

स्रोत: www.habr.com