דליפה של 28 מיליון רשומות בשימוש בפלטפורמת הזיהוי הביומטרי BioStar 2

חוקרים מ-vpnMentor גילה אפשרות לגישה פתוחה למסד הנתונים, שאחסן למעלה מ-27.8 מיליון רשומות (23 ג'יגה-בייט של נתונים) הקשורים לתפעול מערכת בקרת הגישה הביומטרית ביוסטאר 2, שיש לה כ-1.5 מיליון התקנות ברחבי העולם ומשולבת בפלטפורמת AEOS, המשמשת יותר מ-5700 ארגונים ב-83 מדינות, כולל תאגידים גדולים ובנקים, כמו גם סוכנויות ממשלתיות ומשרדי משטרה. הדליפה נגרמה כתוצאה מתצורה לא נכונה של אחסון Elasticsearch, שהתברר כקריא על ידי כל אחד.

הדליפה מחמירה בשל העובדה שרוב מאגר הנתונים לא הוצפן, ובנוסף לנתונים אישיים (שם, טלפון, דואר אלקטרוני, כתובת בית, תפקיד, זמן העסקה וכו'), יומני גישה של משתמשי המערכת, סיסמאות פתוחות ( ללא hashing) ונתוני מכשירים ניידים, כולל צילומי פנים ותמונות טביעות אצבע המשמשות לזיהוי משתמש ביומטרי.

בסך הכל, מסד הנתונים זיהה יותר ממיליון סריקות טביעות אצבע מקוריות הקשורות לאנשים ספציפיים. נוכחותן של תמונות פתוחות של טביעות אצבע שאינן ניתנות לשינוי מאפשרת לתוקפים לזייף טביעת אצבע באמצעות תבנית ולהשתמש בה כדי לעקוף מערכות בקרת גישה או להשאיר עקבות שווא. תשומת לב מיוחדת מוקדשת לאיכות הסיסמאות, ביניהן יש הרבה סיסמאות טריוויאליות, כגון "סיסמה" ו-"abcd1234".

יתרה מכך, מכיוון שמסד הנתונים כלל גם את האישורים של מנהלי BioStar 2, במקרה של התקפה, התוקפים יכלו לקבל גישה מלאה לממשק האינטרנט של המערכת ולהשתמש בו כדי להוסיף, לערוך ולמחוק רשומות. לדוגמה, הם יכולים להחליף נתוני טביעת אצבע כדי לקבל גישה פיזית, לשנות זכויות גישה ולהסיר עקבות של חדירה מיומנים.

ראוי לציין שהבעיה זוהתה ב-5 באוגוסט, אבל אז הוקדשו מספר ימים להעברת מידע ליוצרי BioStar 2, שלא רצו להקשיב לחוקרים. לבסוף, ב-7 באוגוסט, המידע הועבר לחברה, אך הבעיה נפתרה רק ב-13 באוגוסט. חוקרים זיהו את מסד הנתונים כחלק מפרויקט לסריקת רשתות וניתוח שירותי אינטרנט זמינים. לא ידוע כמה זמן המאגר נשאר ברשות הציבור והאם התוקפים ידעו על קיומו.

מקור: OpenNet.ru