공개된 ClickHouse 데이터베이스로 인해 환자와 의사의 개인정보가 어떻게 손상될 수 있었습니까?

나는 전 세계 거의 모든 국가에서 자유롭게 접근할 수 있는 데이터베이스의 발견에 관해 많은 글을 쓰고 있지만, 공개 도메인에 남아 있는 러시아 데이터베이스에 관한 소식은 거의 없습니다. 비록 최근에는 내가 쓴 한 네덜란드 연구원이 2000개가 넘는 공개 데이터베이스에서 발견해 겁에 질린 '크렘린의 손'에 대해 이야기했습니다.

러시아에서는 모든 것이 훌륭하고 대규모 러시아 온라인 프로젝트의 소유자가 사용자 데이터 저장에 책임감 있는 접근 방식을 취한다는 오해가 있을 수 있습니다. 나는 이 예를 사용하여 이 신화가 거짓임을 서둘러 폭로합니다.

러시아 온라인 의료 서비스 DOC+는 분명히 ClickHouse 데이터베이스에 액세스 로그를 공개적으로 남겨 두었습니다. 안타깝게도 로그가 너무 상세해 서비스 직원, 파트너, 고객의 개인 데이터가 유출되었을 수 있습니다.

모든 것이 순서대로 ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

저와 함께 텔레그램 채널의 소유자로서 "정보 유출"라는 익명을 요구한 한 채널 독자가 연락해 문자 그대로 다음과 같이 보고했습니다.

doc+ 회사에 속한 공개 ClickHouse 서버가 인터넷에서 발견되었습니다. 서버 IP 주소는 docplus.ru 도메인이 구성된 IP 주소와 일치합니다.

위키 백과에서 : DOC+(New Medicine LLC)는 원격의료, 집에서 의사 호출, 보관 및 처리 분야의 서비스를 제공하는 러시아 의료 회사입니다. 개인 의료 데이터. 회사는 Yandex로부터 투자를 받았습니다.

수집된 정보로 판단하면 ClickHouse 데이터베이스는 실제로 자유롭게 접근할 수 있었고 IP 주소를 아는 사람은 누구나 이 데이터베이스에서 데이터를 얻을 수 있었습니다. 해당 데이터는 서비스 접속 로그로 추정된다.

위 그림에서 볼 수 있듯이 www.docplus.ru 웹 서버와 ClickHouse 서버(포트 9000) 외에도 MongoDB 데이터베이스가 동일한 IP 주소에 활짝 열려 있습니다. 흥미로운).

내가 아는 한 Shodan.io 검색 엔진은 ClickHouse 서버를 검색하는 데 사용되었습니다(약 연구자가 공개 데이터베이스를 발견하는 방법 별도로 작성했습니다) 특수 스크립트와 연계하여 클릭다운, 발견된 데이터베이스에서 인증이 부족한지 확인하고 모든 테이블을 나열했습니다. 당시에는 474명이었던 것 같습니다.

문서에 따르면 기본적으로 ClickHouse 서버는 포트 8123에서 HTTP를 수신합니다. 따라서 테이블에 포함된 내용을 보려면 다음 SQL 쿼리와 같은 것을 실행하면 충분합니다.

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

요청을 실행한 결과 아마도 반환될 수 있는 내용은 아래 스크린샷에 표시된 내용입니다.

스크린샷을 보면 해당 필드의 정보가 헤더 사용자의 위치(위도 및 경도), IP 주소, 서비스에 연결한 장치에 대한 정보, OS 버전 등에 대한 데이터가 포함됩니다.

예를 들어 다음과 같이 SQL 쿼리를 약간 수정한 경우가 있습니다.

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

그러면 직원의 개인 데이터와 유사한 정보, 즉 이름, 생년월일, 성별, 세금 식별 번호, 등록 및 실제 거주지 주소, 전화번호, 직위, 이메일 주소 등이 반환될 수 있습니다.

위 스크린샷의 이 모든 정보는 1C: Enterprise 8.3의 HR 데이터와 매우 유사합니다.

매개변수를 자세히 살펴보면 API_USER_TOKEN 귀하는 이것이 개인 데이터 획득을 포함하여 사용자를 대신하여 다양한 작업을 수행할 수 있는 "작동하는" 토큰이라고 생각할 수도 있습니다. 그러나 물론 나는 이것을 말할 수 없다.

현재로서는 ClickHouse 서버가 동일한 IP 주소에서 여전히 자유롭게 액세스할 수 있다는 정보가 없습니다.

출처 : habr.com