बायोमेट्रिक पहचान प्लेटफॉर्म बायोस्टार 28 में उपयोग किए गए 2 मिलियन रिकॉर्ड का लीक

vpnMentor के शोधकर्ता दिखाया गया डेटाबेस तक खुली पहुंच की संभावना, जिसमें बायोमेट्रिक एक्सेस कंट्रोल सिस्टम के संचालन से संबंधित 27.8 मिलियन से अधिक रिकॉर्ड (23 जीबी डेटा) संग्रहीत हैं बायोस्टार 2, जिसके दुनिया भर में लगभग 1.5 मिलियन इंस्टॉलेशन हैं और यह AEOS प्लेटफॉर्म में एकीकृत है, जिसका उपयोग 5700 देशों में 83 से अधिक संगठनों द्वारा किया जाता है, जिसमें बड़े निगम और बैंक, साथ ही सरकारी एजेंसियां ​​और पुलिस विभाग शामिल हैं। रिसाव इलास्टिक्स खोज भंडारण के गलत कॉन्फ़िगरेशन के कारण हुआ था, जो किसी के द्वारा भी पढ़ने योग्य था।

लीक इस तथ्य से और बढ़ गया है कि अधिकांश डेटाबेस एन्क्रिप्टेड नहीं था और, व्यक्तिगत डेटा (पूरा नाम, टेलीफोन, ईमेल, घर का पता, स्थिति, किराये का समय, आदि) के अलावा, सिस्टम उपयोगकर्ता एक्सेस लॉग, खुले पासवर्ड (हैशिंग के बिना) और मोबाइल डिवाइस डेटा में बायोमेट्रिक उपयोगकर्ता पहचान के लिए उपयोग की जाने वाली चेहरे की तस्वीरें और फिंगरप्रिंट छवियां शामिल हैं।

कुल मिलाकर, डेटाबेस ने विशिष्ट लोगों से जुड़े दस लाख से अधिक मूल फ़िंगरप्रिंट स्कैन की पहचान की है। फ़िंगरप्रिंट की खुली छवियों की उपस्थिति जिन्हें बदला नहीं जा सकता है, हमलावरों के लिए टेम्पलेट का उपयोग करके फ़िंगरप्रिंट को नकली बनाना और एक्सेस कंट्रोल सिस्टम को बायपास करने या झूठे निशान छोड़ने के लिए इसका उपयोग करना संभव बनाता है। पासवर्ड की गुणवत्ता पर विशेष ध्यान दिया जाता है, जिनमें "पासवर्ड" और "एबीसीडी1234" जैसे कई तुच्छ पासवर्ड होते हैं।

इसके अलावा, चूंकि डेटाबेस में बायोस्टार 2 प्रशासकों की साख भी शामिल है, हमले की स्थिति में, हमलावर सिस्टम के वेब इंटरफ़ेस तक पूर्ण पहुंच प्राप्त कर सकते हैं और रिकॉर्ड जोड़ने, संपादित करने और हटाने के लिए इसका उपयोग कर सकते हैं। उदाहरण के लिए, वे भौतिक पहुंच प्राप्त करने, पहुंच अधिकार बदलने और लॉग से घुसपैठ के निशान हटाने के लिए फिंगरप्रिंट डेटा को बदल सकते हैं।

उल्लेखनीय है कि समस्या की पहचान 5 अगस्त को की गई थी, लेकिन तब बायोस्टार 2 के रचनाकारों को जानकारी देने में कई दिन लग गए, जो शोधकर्ताओं की बात नहीं सुनना चाहते थे। आख़िरकार 7 अगस्त को कंपनी को जानकारी दी गई, लेकिन समस्या का समाधान 13 अगस्त को हुआ। शोधकर्ताओं ने नेटवर्क को स्कैन करने और उपलब्ध वेब सेवाओं का विश्लेषण करने के लिए एक परियोजना के हिस्से के रूप में डेटाबेस की पहचान की। यह अज्ञात है कि डेटाबेस सार्वजनिक डोमेन में कितने समय तक रहा और क्या हमलावरों को इसके अस्तित्व के बारे में पता था।

स्रोत: opennet.ru