როგორ შეიძლებოდა დაზიანებულიყო პაციენტებისა და ექიმების პერსონალური მონაცემები ღია ClickHouse მონაცემთა ბაზის გამო

ბევრს ვწერ მსოფლიოს თითქმის ყველა ქვეყანაში თავისუფლად ხელმისაწვდომი მონაცემთა ბაზების აღმოჩენის შესახებ, მაგრამ საჯარო დომენში რუსული მონაცემთა ბაზების შესახებ სიახლე თითქმის არ არის დარჩენილი. მიუხედავად იმისა, რომ ცოტა ხნის წინ წერდა „კრემლის ხელის“ შესახებ, რომლის აღმოჩენაც ჰოლანდიელმა მკვლევარმა შეაშინა 2000-ზე მეტ ღია მონაცემთა ბაზაში.

შეიძლება არსებობდეს მცდარი წარმოდგენა, რომ რუსეთში ყველაფერი მშვენივრადაა და მსხვილი რუსული ონლაინ პროექტების მფლობელები პასუხისმგებელნი არიან მომხმარებლის მონაცემების შესანახად. მე ვჩქარობ ამ მითის დანგრევას ამ მაგალითის გამოყენებით.

რუსულმა ონლაინ სამედიცინო სერვისმა DOC+-მა, როგორც ჩანს, მოახერხა ClickHouse მონაცემთა ბაზის დატოვება საჯაროდ ხელმისაწვდომი წვდომის ჟურნალებით. სამწუხაროდ, ჟურნალები იმდენად დეტალურად გამოიყურება, რომ სერვისის თანამშრომლების, პარტნიორებისა და კლიენტების პერსონალური მონაცემები შესაძლოა გაჟონილიყო.

პირველ რიგში...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

ჩემთან ერთად, როგორც ტელეგრამის არხის მფლობელი "ინფორმაციის გაჟონვა“, დაუკავშირდა არხის მკითხველს, რომელმაც ანონიმურად დარჩენა სურდა და სიტყვასიტყვით თქვა შემდეგი:

ინტერნეტში აღმოაჩინეს ღია ClickHouse სერვერი, რომელიც ეკუთვნის კომპანია doc+-ს. სერვერის IP მისამართი ემთხვევა IP მისამართს, რომელზეც არის კონფიგურირებული დომენი docplus.ru.

ვიკიპედიიდან: DOC+ (New Medicine LLC) არის რუსული სამედიცინო კომპანია, რომელიც უზრუნველყოფს მომსახურებას ტელემედიცინის სფეროში, ექიმის გამოძახებით სახლში, შენახვასა და დამუშავებას. პირადი სამედიცინო მონაცემები. კომპანიამ ინვესტიციები Yandex-ისგან მიიღო.

შეგროვებული ინფორმაციის მიხედვით ვიმსჯელებთ, ClickHouse მონაცემთა ბაზა მართლაც თავისუფლად იყო ხელმისაწვდომი და ყველას, ვინც იცოდა IP მისამართი, შეეძლო მისგან მონაცემების მიღება. ეს მონაცემები სავარაუდოდ სერვისზე წვდომის ჟურნალი აღმოჩნდა.

როგორც ზემოთ მოყვანილი სურათიდან ხედავთ, www.docplus.ru ვებ სერვერისა და ClickHouse სერვერის (პორტი 9000) გარდა, MongoDB მონაცემთა ბაზა ღიაა იმავე IP მისამართზე (რომელშიც, როგორც ჩანს, არაფერია საინტერესო).

რამდენადაც მე ვიცი, Shodan.io საძიებო სისტემა გამოიყენებოდა ClickHouse სერვერის აღმოსაჩენად (დაახლოებით როგორ აღმოაჩენენ მკვლევარები ღია მონაცემთა ბაზებს ცალკე დავწერე) სპეციალურ სცენართან ერთად დააჭირეთ ქვემოთ, რომელმაც შეამოწმა ნაპოვნი მონაცემთა ბაზა ავთენტიფიკაციის არარსებობის გამო და ჩამოთვალა მისი ყველა ცხრილი. იმ დროს 474 ჩანდა.

დოკუმენტაციიდან ვიცით, რომ ნაგულისხმევად, ClickHouse სერვერი უსმენს HTTP-ს 8123 პორტზე. ამიტომ, იმის სანახავად, თუ რას შეიცავს ცხრილები, საკმარისია მსგავსი SQL შეკითხვის გაშვება:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

მოთხოვნის შესრულების შედეგად, რაც შეიძლება დაბრუნდეს, არის ის, რაც მითითებულია ქვემოთ მოცემულ ეკრანის სურათზე:

სკრინშოტიდან ირკვევა, რომ ინფორმაცია ველშია HEADERS შეიცავს მონაცემებს მომხმარებლის ადგილმდებარეობის (გრძედი და განედი), მისი IP მისამართი, ინფორმაცია მოწყობილობის შესახებ, საიდანაც იგი დაუკავშირდა სერვისს, OS ვერსიას და ა.შ.

თუ ვინმეს მოუვიდა, რომ ოდნავ შეცვალოს SQL მოთხოვნა, მაგალითად, ასე:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

შემდეგ შეიძლება დაბრუნდეს თანამშრომლების პერსონალური მონაცემების მსგავსი რამ, კერძოდ: სრული სახელი, დაბადების თარიღი, სქესი, საგადასახადო საიდენტიფიკაციო ნომერი, რეგისტრაციისა და რეალური საცხოვრებელი ადგილის მისამართები, ტელეფონის ნომრები, თანამდებობები, ელექტრონული ფოსტის მისამართები და მრავალი სხვა:

ზემოთ მოყვანილი ეკრანის ყველა ეს ინფორმაცია ძალიან ჰგავს HR მონაცემებს 1C: Enterprise 8.3.

პარამეტრის უფრო დეტალურად დათვალიერება API_USER_TOKEN შეიძლება ფიქრობთ, რომ ეს არის „სამუშაო“ ჟეტონი, რომლითაც შეგიძლიათ შეასრულოთ სხვადასხვა მოქმედებები მომხმარებლის სახელით, მათ შორის მისი პერსონალური მონაცემების მოპოვება. მაგრამ ამას, რა თქმა უნდა, ვერ ვიტყვი.

ამ დროისთვის არ არსებობს ინფორმაცია იმის შესახებ, რომ ClickHouse სერვერი კვლავ თავისუფლად არის ხელმისაწვდომი იმავე IP მისამართით.

წყარო: www.habr.com