Il registratore APNIC, responsabile della distribuzione degli indirizzi IP nella regione Asia-Pacifico, ha comunicato un incidente che ha portato alla pubblicazione di un dump SQL del servizio Whois, contenente dati riservati e hash delle password. È notevole che questa non sia la prima fuga di dati personali in APNIC: nel 2017, il database Whois era già stato reso pubblico a causa di negligenza del personale.
Nel processo di implementazione del supporto per il protocollo RDAP, destinato a sostituire il protocollo WHOIS, i dipendenti di APNIC hanno caricato un dump SQL del database utilizzato dal servizio Whois su uno storage cloud di Google Cloud, ma non hanno limitato l'accesso a esso. A causa di un errore nelle impostazioni, per tre mesi il dump SQL è stato accessibile pubblicamente e questo fatto è stato scoperto solo il 4 giugno, quando uno dei ricercatori di sicurezza indipendenti ha richiamato l'attenzione su di esso e ha avvisato il registratore del problema.
Nel dump SQL erano presenti attributi "auth" contenenti gli hash delle password per la modifica degli oggetti Maintainer e Incident Response Team (IRT), oltre ad alcune informazioni riservate sui clienti che generalmente non vengono visualizzate in Whois durante le normali richieste (di solito si tratta di dati di contatto aggiuntivi e note sull'utente). In caso di recupero delle password, gli attaccanti avrebbero potuto modificare il contenuto dei campi con i parametri dei proprietari dei blocchi in Whois. IP addresses L'oggetto Maintainer definisce la persona responsabile della modifica del gruppo di record legati tramite l'attributo "mnt-by", mentre l'oggetto IRT contiene i dati di contatto degli amministratori che rispondono alle notifiche di problemi. Non viene fornita l'informazione sull'algoritmo di hashing delle password utilizzato, ma nel 2017 venivano usati algoritmi obsoleti come MD5 e CRYPT-PW (password di 8 caratteri con hash basati sulla funzione UNIX crypt).
Dopo l'emergere dell'incidente, APNIC ha avviato un reset delle password per gli oggetti in Whois. Da parte di APNIC non sono stati riscontrati segni di attività illegittima, ma non ci sono garanzie che i dati non siano finiti nelle mani di malintenzionati, poiché mancano registri completi degli accessi ai file in Google Cloud. Come dopo il precedente incidente, APNIC ha promesso di condurre una revisione e apportare modifiche ai processi tecnologici per evitare simili fughe in futuro.
Fonte: opennet.ru
