כיצד הנתונים האישיים של מטופלים ורופאים עלולים להיפגע עקב מאגר הנתונים הפתוח של ClickHouse

אני כותב הרבה על גילוי מאגרי מידע נגישים באופן חופשי כמעט בכל מדינות העולם, אבל כמעט לא נותרו חדשות על מאגרי מידע רוסיים ברשות הציבור. אמנם לאחרונה כתבתי על "יד הקרמלין", שחוקר הולנדי נבהל לגלות בלמעלה מ-2000 מאגרי מידע פתוחים.

ייתכן שיש תפיסה מוטעית שהכל נהדר ברוסיה והבעלים של פרויקטים מקוונים רוסיים גדולים נוקטים בגישה אחראית לאחסון נתוני משתמשים. אני ממהר להפריך את המיתוס הזה באמצעות הדוגמה הזו.

השירות הרפואי המקוון הרוסי DOC+ הצליח ככל הנראה לעזוב את מסד הנתונים של ClickHouse עם יומני גישה זמינים לציבור. למרבה הצער, היומנים נראים כל כך מפורטים עד כדי כך שניתן היה לדלוף נתונים אישיים של עובדים, שותפים ולקוחות של השירות.

קודם כל...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

איתי, כבעלים של ערוץ הטלגרם"דליפות מידע", קורא ערוץ שרצה להישאר בעילום שם יצר קשר ודיווח פשוטו כמשמעו על הדברים הבאים:

באינטרנט התגלה שרת ClickHouse פתוח, השייך לחברת doc+. כתובת ה-IP של השרת תואמת לכתובת ה-IP שאליה מוגדר הדומיין docplus.ru.

מוויקיפדיה: DOC+ (New Medicine LLC) היא חברה רפואית רוסית המספקת שירותים בתחום הטלרפואה, קריאה לרופא בבית, אחסון ועיבוד נתונים רפואיים אישיים. החברה קיבלה השקעות מיאנדקס.

אם לשפוט לפי המידע שנאסף, מסד הנתונים של ClickHouse אכן היה נגיש באופן חופשי, וכל מי שיודע את כתובת ה-IP, יכול היה להשיג ממנו נתונים. הנתונים הללו התבררו ככל הנראה כיומני גישה לשירות.

כפי שניתן לראות מהתמונה למעלה, בנוסף לשרת האינטרנט www.docplus.ru ולשרת ClickHouse (יציאה 9000), מסד הנתונים של MongoDB תלוי לרווחה על אותה כתובת IP (שכנראה אין בה כלום מעניין).

עד כמה שידוע לי, מנוע החיפוש Shodan.io שימש לגילוי שרת ClickHouse (בערך איך חוקרים מגלים מסדי נתונים פתוחים כתבתי בנפרד) בשילוב עם תסריט מיוחד לחץ למטה, שבדק את מסד הנתונים שנמצא על חוסר אימות ורשום את כל הטבלאות שלו. באותו זמן נראה שהיו 474 מהם.

מהתיעוד אנו יודעים כי כברירת מחדל, שרת ClickHouse מאזין ל-HTTP ביציאה 8123. לכן, כדי לראות מה כלול בטבלאות, מספיק להריץ משהו כמו שאילתת SQL זו:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

כתוצאה מביצוע הבקשה, מה שכנראה ניתן להחזיר הוא מה שמצוין בצילום המסך למטה:

מצילום המסך ברור שהמידע בשטח כותרות מכיל נתונים על מיקומו (קו הרוחב והאורך) של המשתמש, כתובת ה-IP שלו, מידע על המכשיר ממנו התחבר לשירות, גרסת מערכת ההפעלה וכו'.

אם מישהו עלה בדעתו לשנות מעט את שאילתת SQL, למשל, כך:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

אז ניתן להחזיר משהו דומה לנתונים האישיים של עובדים, כלומר: שם מלא, תאריך לידה, מין, מספר זיהוי מס, כתובות רישום ומקום מגורים בפועל, מספרי טלפון, תפקידים, כתובות דוא"ל ועוד:

כל המידע הזה מצילום המסך למעלה דומה מאוד לנתוני משאבי אנוש מ-1C: Enterprise 8.3.

מבט מקרוב על הפרמטר API_USER_TOKEN אתה עלול לחשוב שזהו אסימון "עובד" שבאמצעותו תוכל לבצע פעולות שונות בשם המשתמש, לרבות השגת הנתונים האישיים שלו. אבל כמובן שאני לא יכול להגיד את זה.

כרגע אין מידע ששרת ClickHouse עדיין נגיש באופן חופשי באותה כתובת IP.

מקור: www.habr.com