Allar greiningar þínar eru aðgengilegar almenningi

Halló aftur! Ég hef aftur fundið opinn gagnagrunn með læknisfræðilegum gögnum fyrir þig. Leyfðu mér að minna þig á að nýlega voru þrjár greinar mínar um þetta efni: leki á persónuupplýsingum sjúklinga og lækna frá netlækningaþjónustunni DOC+, varnarleysi þjónustunnar „Doctor Nearby“ и leki gagna frá sjúkraflutningastöðvum.

Að þessu sinni var Elasticsearch netþjónninn með annálum úr upplýsingatæknikerfi rannsóknarstofunnar aðgengilegur almenningi.Miðstöð sameindagreininga"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Miðlarinn uppgötvaðist að morgni 1. apríl og mér fannst það alls ekki fyndið. Tilkynning um vandamálið barst til CMD um klukkan 10 að morgni (Moskvatíma) og um klukkan 15:00 varð gagnagrunnurinn óaðgengilegur.

Samkvæmt Shodan leitarvélinni var þessi netþjónn fyrst gerður aðgengilegur 09.03.2019/XNUMX/XNUMX. Um það hvernig Elasticsearch greinir opna gagnagrunna, ég skrifaði sérstaka grein.

Hægt væri að fá mjög viðkvæmar upplýsingar úr annálunum, þ.á.m Fullt nafn, kyn, fæðingardagar sjúklinga, fullt nöfn lækna, kostnaður við rannsóknir, rannsóknargögn, skrár með skimunarniðurstöðum og margt fleira.

Dæmi um annál með niðurstöðum sjúklingaprófa:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Ég hef fyllt út öll viðkvæm gögn með „X“. Í raun og veru var öllu haldið opnu.

Frá slíkum annálum var auðvelt (með því að breyta frá Base64) að fá PNG skrár með skimunarniðurstöðum, þegar á auðlesnu formi:

Heildarstærð annálanna fór yfir 400 MB og alls innihéldu þeir meira en milljón færslur. Það er ljóst að ekki hver skrá táknaði einstök sjúklingagögn.

Opinbert svar frá CMD:

Við viljum þakka þér fyrir að senda strax upplýsingar þann 01.04.2019. apríl XNUMX um tilvist veikleika í Elasticsearch villuskráningar- og geymslugagnagrunni.

Á grundvelli þessara upplýsinga takmarkaðu starfsmenn okkar, ásamt viðeigandi sérfræðingum, aðgang að tilgreindum gagnagrunni. Villan við flutning trúnaðarupplýsinga í tæknigagnagrunninn hefur verið lagfærð.

Við greiningu atviksins var hægt að komast að því að útlit tilgreinds gagnagrunns með villuskrám á almenningi var vegna ástæðu sem tengdist mannlega þættinum. Aðgangi að gögnunum var tafarlaust lokað þann 01.04.2019/XNUMX/XNUMX.

Sem stendur gera innri og ytri sérfræðingar ráðstafanir til að endurskoða upplýsingatækniinnviði til gagnaverndar.

Stofnunin okkar hefur þróað sérstakar reglur um vinnu með persónuupplýsingar og kerfi um ábyrgðarstig starfsmanna.

Núverandi hugbúnaðarinnviði notar Elasticsearch gagnagrunn til að geyma villur. Til að bæta áreiðanleika sumra kerfa verða samsvarandi netþjónar fluttir í gagnaver samstarfsaðila okkar í vottað hugbúnaðar- og vélbúnaðarumhverfi.

Þakka þér fyrir tímanlega veittar upplýsingar.

Fréttir um upplýsingaleka og innherja má alltaf finna á Telegram rásinni minni "Upplýsingaleki'.

Heimild: www.habr.com