Il registrar APNIC, responsabile della distribuzione degli indirizzi IP nella regione Asia-Pacifico, ha segnalato un incidente che ha portato alla divulgazione pubblica di un dump SQL del servizio Whois, contenente dati riservati e hash delle password. È significativo notare che questa non è la prima occasione di fuga di dati personali in APNIC: nel 2017, il database Whois era già stato reso accessibile al pubblico a causa di una negligenza del personale.
Durante l'implementazione del supporto al protocollo RDAP, destinato a sostituire il protocollo WHOIS, i dipendenti di APNIC hanno caricato un dump SQL del database utilizzato nel servizio Whois su Google Cloud, senza limitare l'accesso. A causa di un errore nelle impostazioni, per tre mesi il dump SQL è stato accessibile pubblicamente, e il fatto è venuto alla luce solo il 4 giugno, quando uno dei ricercatori di sicurezza indipendenti ha notato il problema e ha avvisato il registrar.
Nel dump SQL erano presenti attributi "auth" contenenti hash delle password per modificare gli oggetti Maintainer e Incident Response Team (IRT), oltre ad alcune informazioni riservate sui clienti che non vengono visualizzate in Whois durante le normali query (di solito si tratta di dati di contatto aggiuntivi e note sugli utenti). In caso di recupero delle password, gli aggressori avrebbero avuto la possibilità di modificare il contenuto dei campi con i parametri dei proprietari dei blocchi indirizzi IP in Whois. L'oggetto Maintainer definisce la persona responsabile della modifica del gruppo di record, collegati tramite l'attributo "mnt-by", mentre l'oggetto IRT contiene i dati di contatto degli amministratori che rispondono alle segnalazioni di problemi. Le informazioni sugli algoritmi di hashing delle password utilizzati non sono fornite, ma nel 2017 venivano utilizzati algoritmi obsoleti come MD5 e CRYPT-PW (password di 8 caratteri con hash basati sulla funzione UNIX crypt).
Dopo la scoperta dell'incidente, APNIC ha avviato un ripristino delle password per gli oggetti in Whois. Da parte di APNIC non sono stati rilevati segni di azioni illegittime, ma non ci sono garanzie che i dati non siano caduti nelle mani di malintenzionati, poiché mancano log di accesso completi ai file in Google Cloud. Come dopo il precedente incidente, APNIC ha promesso di effettuare una revisione e apportare modifiche ai processi tecnologici per evitare simili fughe di dati in futuro.
Fonte: opennet.ru
