APNIC 인터넷 등록 기관 Whois 비밀번호 해시 유출

아시아 태평양 지역의 IP 주소 배포를 담당하는 APNIC 등록 기관은 기밀 데이터 및 비밀번호 해시를 포함한 Whois 서비스의 SQL 덤프가 공개된 사건을 보고했습니다. APNIC에서 개인 데이터가 유출된 것은 이번이 처음이 아니라는 점은 주목할 만합니다. 또한 직원의 감독으로 인해 Whois 데이터베이스는 이미 2017년에 공개적으로 공개되었습니다.

WHOIS 프로토콜을 대체하기 위해 고안된 RDAP 프로토콜 지원을 도입하는 과정에서 APNIC 직원은 Whois 서비스에 사용되는 데이터베이스의 SQL 덤프를 Google Cloud 클라우드 스토리지에 배치했지만 이에 대한 액세스를 제한하지는 않았습니다. 설정 오류로 인해 SQL 덤프는 4개월 동안 공개되었으며, 이 사실은 독립 보안 ​​연구원 중 한 명이 이를 발견하고 등록 기관에 문제를 알린 XNUMX월 XNUMX일에야 공개되었습니다.

SQL 덤프에는 유지 관리 담당자 및 IRT(사고 대응 팀) 개체를 변경하기 위한 비밀번호 해시가 포함된 "인증" 속성과 일반 쿼리 중에 Whois에 표시되지 않는 일부 민감한 고객 정보(일반적으로 사용자에 대한 추가 연락처 정보 및 메모)가 포함되어 있습니다. . 비밀번호 복구의 경우, 공격자는 Whois의 IP 주소 블록 소유자의 매개변수를 사용하여 필드의 내용을 변경할 수 있었습니다. 유지관리자 개체는 "mnt-by" 속성을 통해 연결된 레코드 그룹을 수정하는 담당자를 정의하고, IRT 개체에는 문제 알림에 응답하는 관리자의 연락처 정보가 포함되어 있습니다. 사용된 비밀번호 해싱 알고리즘에 대한 정보는 제공되지 않지만, 2017년에는 오래된 MD5 및 CRYPT-PW 알고리즘(UNIX 암호화 기능 기반 해시가 포함된 8자 비밀번호)이 해싱에 사용되었습니다.

사건을 확인한 후 APNIC는 Whois의 개체에 대한 비밀번호 재설정을 시작했습니다. APNIC 측에서는 아직 불법 행위의 징후가 감지되지 않았지만, Google Cloud에는 파일 액세스에 대한 완전한 로그가 없기 때문에 데이터가 공격자의 손에 들어가지 않았다는 보장이 없습니다. 이전 사건 이후 APNIC는 감사를 실시하고 향후 유사한 유출을 방지하기 위해 기술 프로세스를 변경하겠다고 약속했습니다.

출처 : opennet.ru