Fuite done (ki te kapab rive, men pa t rive) nan yon konpayi telemedsin

Jis yon koup de jou de sa mwen писал sou Habré sou fason Ris sou entènèt sèvis medikal DOC + jere yo kite yon baz done ak mòso bwa aksè detaye nan domèn piblik la, ki soti nan ki done pasyan yo ak anplwaye sèvis yo ka jwenn. Ak isit la se yon nouvo ensidan, ak yon lòt sèvis Ris ki bay pasyan yo konsiltasyon sou entènèt ak doktè - "Doktè ki tou pre" (www.drclinics.ru).

Mwen pral ekri touswit ke gras a konpetans Doktè a tou pre anplwaye, vilnerabilite a te byen vit (2 èdtan nan moman notifikasyon nan mitan lannwit!) elimine ak gen plis chans pa te gen okenn koule nan done pèsonèl ak medikal. Kontrèman ak ensidan DOC+ la, kote mwen konnen pou pi si ke omwen yon dosye json ak done, 3.5 GB nan gwosè, te fini nan "mond louvri", ak pozisyon ofisyèl la sanble sa a: "Yon ti kantite done te vin disponib pou yon ti tan piblik, sa ki pa ka mennen nan konsekans negatif pou anplwaye yo ak itilizatè sèvis DOC+ la.".

Avèk mwen, kòm pwopriyetè chanèl Telegram la "Enfòmasyon koule", yon abònen anonim kontakte epi rapòte yon vilnerabilite potansyèl sou sit entènèt la www.drclinics.ru.

Sans nan vilnerabilite a te ke, konnen URL la epi yo te nan sistèm nan anba kont ou, ou te kapab wè done yo nan lòt pasyan yo.

Pou anrejistre yon nouvo kont nan sistèm Doktè ki tou pre a, aktyèlman ou sèlman bezwen yon nimewo telefòn mobil kote yo voye yon SMS konfimasyon, kidonk pèsonn pa ka gen okenn pwoblèm konekte nan kont pèsonèl li.

Apre itilizatè a konekte nan kont pèsonèl li, li te kapab imedyatman, pa chanje URL la nan ba adrès navigatè li a, wè rapò ki gen done pèsonèl pasyan yo e menm dyagnostik medikal.

Yon pwoblèm enpòtan se te ke sèvis la itilize nimewote kontinyèl nan rapò ak deja fòme yon URL nan nimewo sa yo:

https://[адрес сайта]/…/…/40261/…

Se poutèt sa, li te ase yo mete kantite minimòm pèmèt (7911) ak maksimòm (42926 - nan moman vilnerabilite a) pou kalkile kantite total (35015) rapò nan sistèm nan e menm (si te gen entansyon move) telechaje. yo tout ak yon senp script.

Pami done ki disponib pou gade yo te: non konplè doktè a ak pasyan an, dat nesans doktè a ak pasyan an, nimewo telefòn doktè a ak pasyan an, sèks doktè a ak pasyan an, adrès imel doktè a ak pasyan an, espesyalizasyon doktè a. , dat konsiltasyon, pri konsiltasyon ak nan kèk ka menm dyagnostik (kòm yon kòmantè nan rapò a).

Vilnerabilite sa a se esansyèlman trè menm jan ak youn ki te dekouvri nan mwa desanm 2017 sou sèvè òganizasyon mikrofinans "Zaimograd". Lè sa a, nan rechèch, li te posib jwenn 36763 kontra ki gen done yo paspò konplè nan kliyan òganizasyon an.

Kòm mwen te endike depi nan konmansman an, anplwaye Doktè Nearby yo te montre pwofesyonalis reyèl e malgre lefèt ke mwen te enfòme yo sou vilnerabilite a nan 23:00 (lè Moskou), aksè a kont pèsonèl mwen an te imedyatman fèmen pou tout moun, ak pa 1: 00 (Moskou tan) vilnerabilite sa a te fikse.

Mwen pa ka ede men choute yon lòt fwa ankò depatman PR nan menm DOC + (New Medicine LLC). Deklarasyon "Yon ti kantite done te rann piblikman disponib tanporèman", yo pèdi je nan lefèt ke nou gen "kontwòl objektif" done a jete nou an, sètadi motè rechèch la Shodan. Kòm kòrèkteman te note nan kòmantè yo nan atik sa a - dapre Shodan, dat premye fiksasyon sèvè ClickHouse louvri sou adrès IP DOC+ la: 15.02.2019/03/08 00:17.03.2019:09, dat dènye fikse a: 52/ 00/40 XNUMX:XNUMX:XNUMX. Gwosè baz done a se sou XNUMX GB.

Te gen 15 fiksasyon an total:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

Soti nan deklarasyon an li parèt ke tanporèman se yon ti kras plis pase yon mwa, men ti kantite done sa a se apeprè 40 jigokte. Bon mwen pa konnen...

Men, ann retounen nan "Doktè a tou pre."

Nan moman sa a, paranoya pwofesyonèl mwen ante pa sèlman yon sèl pwoblèm minè ki rete - pa repons sèvè a ou ka jwenn ki kantite rapò nan sistèm nan. Lè ou eseye jwenn yon rapò nan yon URL ki pa aksesib (men rapò a li menm ki disponib), sèvè a retounen AKSÈ REFIZE, epi lè ou eseye jwenn yon rapò ki pa egziste, li retounen PA JWENN. Lè w kontwole ogmantasyon nan kantite rapò ki nan sistèm nan sou tan (yon fwa pa semèn, mwa, elatriye), ou ka evalye kantite travay sèvis la ak volim sèvis yo bay yo. Sa a, nan kou, pa vyole done pèsonèl pasyan yo ak doktè, men li ka yon vyolasyon sekrè komès konpayi an.

Sous: www.habr.com