생체인식 플랫폼 바이오스타28에 사용된 기록 2만건 유출

vpnMentor 연구원 노출된 생체 인식 접근 통제 시스템 운영과 관련된 27.8만 개 이상의 기록(23GB 데이터)이 저장된 데이터베이스에 대한 공개 접근 가능성 바이오스타 2는 전 세계적으로 약 1.5만 개 설치되었으며 AEOS 플랫폼에 통합되어 대기업, 은행은 물론 정부 기관 및 경찰서를 포함하여 5700개국 83개 이상의 조직에서 사용됩니다. 누출은 누구든지 읽을 수 있는 것으로 밝혀진 Elasticsearch 스토리지의 잘못된 구성으로 인해 발생했습니다.

대부분의 데이터베이스가 암호화되지 않았고 개인 데이터(이름, 전화, 이메일, 집 주소, 직위, 고용 시간 등) 외에도 시스템 사용자 액세스 로그, 공개 비밀번호( 해싱 없음) 및 모바일 장치 데이터에는 생체 인식 사용자 식별에 사용되는 얼굴 사진과 지문 이미지가 포함됩니다.

전체적으로 데이터베이스는 특정 인물과 관련된 백만 개 이상의 원본 지문 스캔을 식별했습니다. 변경할 수 없는 공개된 지문 이미지가 있으면 공격자가 템플릿을 사용하여 지문을 위조하고 이를 사용하여 접근 제어 시스템을 우회하거나 잘못된 흔적을 남길 수 있습니다. 비밀번호의 품질에 특별한 주의를 기울이고 있으며 그 중에는 "Password" 및 "abcd1234"와 같은 사소한 비밀번호가 많이 있습니다.

또한 데이터베이스에는 BioStar 2 관리자의 자격 증명도 포함되어 있으므로 공격이 발생할 경우 공격자는 시스템의 웹 인터페이스에 대한 전체 접근 권한을 얻을 수 있으며 이를 사용하여 기록을 추가, 편집 및 삭제할 수 있습니다. 예를 들어 지문 데이터를 대체하여 물리적 액세스 권한을 얻고, 액세스 권한을 변경하고, 로그에서 침입 흔적을 제거할 수 있습니다.

문제는 5월 2일에 확인되었지만 연구원들의 말을 듣고 싶지 않은 BioStar 7 제작자에게 정보를 전달하는 데 며칠이 걸렸다는 점은 주목할 만합니다. 결국 13월 XNUMX일 회사에 해당 내용이 전달됐으나 XNUMX월 XNUMX일에야 문제가 해결됐다. 연구원들은 이 데이터베이스가 네트워크를 스캔하고 사용 가능한 웹 서비스를 분석하는 프로젝트의 일부임을 확인했습니다. 데이터베이스가 얼마나 오랫동안 공개 도메인에 남아 있었으며 공격자가 그 존재를 알고 있었는지는 알 수 없습니다.

출처 : opennet.ru