ຂໍ້ມູນສ່ວນຕົວຂອງຄົນເຈັບແລະທ່ານຫມໍອາດຈະໄດ້ຮັບຄວາມເສຍຫາຍແນວໃດເນື່ອງຈາກຖານຂໍ້ມູນ ClickHouse ເປີດ

ຂ້າພະເຈົ້າຂຽນຫຼາຍກ່ຽວກັບການຄົ້ນພົບຖານຂໍ້ມູນທີ່ສາມາດເຂົ້າເຖິງໄດ້ຢ່າງເສລີໃນເກືອບທຸກປະເທດຂອງໂລກ, ແຕ່ເກືອບບໍ່ມີຂ່າວກ່ຽວກັບຖານຂໍ້ມູນລັດເຊຍທີ່ປະໄວ້ຢູ່ໃນສາທາລະນະ. ເຖິງແມ່ນວ່າບໍ່ດົນມານີ້ wrote ກ່ຽວກັບ "ມືຂອງວັງ Kremlin," ທີ່ນັກຄົ້ນຄວ້າຊາວໂຮນລັງຢ້ານກົວທີ່ຈະຄົ້ນພົບໃນຫຼາຍກວ່າ 2000 ຖານຂໍ້ມູນເປີດ.

ອາດຈະມີຄວາມເຂົ້າໃຈຜິດວ່າທຸກສິ່ງທຸກຢ່າງແມ່ນຍິ່ງໃຫຍ່ໃນລັດເຊຍແລະເຈົ້າຂອງໂຄງການອອນໄລນ໌ຂະຫນາດໃຫຍ່ຂອງລັດເຊຍໃຊ້ວິທີການທີ່ມີຄວາມຮັບຜິດຊອບໃນການເກັບຮັກສາຂໍ້ມູນຜູ້ໃຊ້. ຂ້າພະເຈົ້າເລັ່ງທີ່ຈະ debunk myth ນີ້ໂດຍໃຊ້ຕົວຢ່າງນີ້.

ການບໍລິການທາງການແພດອອນໄລນ໌ຂອງລັດເຊຍ DOC+ ໄດ້ຖືກຄຸ້ມຄອງຢ່າງຈະແຈ້ງໃຫ້ອອກຈາກຖານຂໍ້ມູນ ClickHouse ດ້ວຍບັນທຶກການເຂົ້າເຖິງສາທາລະນະ. ແຕ່ຫນ້າເສຍດາຍ, ບັນທຶກຂໍ້ມູນມີລັກສະນະລະອຽດຫຼາຍຈົນວ່າຂໍ້ມູນສ່ວນຕົວຂອງພະນັກງານ, ຄູ່ຮ່ວມງານ ແລະລູກຄ້າຂອງການບໍລິການອາດຈະຮົ່ວໄຫຼ.

ສິ່ງ​ທໍາ​ອິດ​ທໍາ​ອິດ ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

ກັບຂ້ອຍ, ເຊັ່ນດຽວກັນກັບເຈົ້າຂອງຊ່ອງ Telegram "ຂໍ້ມູນຮົ່ວໄຫຼ", ຜູ້ອ່ານຊ່ອງທາງທີ່ຢາກບໍ່ເປີດເຜີຍຊື່ໄດ້ຕິດຕໍ່ແລະລາຍງານຕາມຕົວອັກສອນດັ່ງຕໍ່ໄປນີ້:

ເຊີບເວີ ClickHouse ເປີດຖືກຄົ້ນພົບໃນອິນເຕີເນັດ, ເຊິ່ງເປັນຂອງບໍລິສັດ doc+. ທີ່ຢູ່ IP ຂອງເຊີບເວີກົງກັບທີ່ຢູ່ IP ທີ່ໂດເມນ docplus.ru ຖືກຕັ້ງຄ່າ.

ຈາກ Wikipedia: DOC+ (New Medicine LLC) ແມ່ນບໍລິສັດການແພດລັດເຊຍທີ່ໃຫ້ບໍລິການໃນດ້ານການແພດ, ການໂທຫາທ່ານຫມໍຢູ່ເຮືອນ, ການເກັບຮັກສາແລະການປຸງແຕ່ງ. ຂໍ້ມູນທາງການແພດສ່ວນບຸກຄົນ. ບໍລິສັດໄດ້ຮັບການລົງທຶນຈາກ Yandex.

ການຕັດສິນໂດຍຂໍ້ມູນທີ່ເກັບກໍາ, ຖານຂໍ້ມູນ ClickHouse ແມ່ນສາມາດເຂົ້າເຖິງໄດ້ຢ່າງເສລີ, ແລະທຸກຄົນ, ຮູ້ທີ່ຢູ່ IP, ສາມາດໄດ້ຮັບຂໍ້ມູນຈາກມັນ. ຂໍ້ມູນນີ້ສົມມຸດວ່າກາຍເປັນບັນທຶກການເຂົ້າເຖິງການບໍລິການ.

ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້ຈາກຮູບຂ້າງເທິງ, ນອກເຫນືອຈາກເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ www.docplus.ru ແລະເຄື່ອງແມ່ຂ່າຍ ClickHouse (ພອດ 9000), ຖານຂໍ້ມູນ MongoDB ໄດ້ຖືກຫ້ອຍເປີດກ້ວາງຢູ່ໃນທີ່ຢູ່ IP ດຽວກັນ (ໃນນັ້ນ, ປາກົດຂື້ນ, ບໍ່ມີຫຍັງ. ຫນ້າສົນໃຈ).

ເທົ່າທີ່ຂ້າພະເຈົ້າຮູ້, ເຄື່ອງຈັກຊອກຫາ Shodan.io ໄດ້ຖືກນໍາໃຊ້ເພື່ອຄົ້ນພົບເຄື່ອງແມ່ຂ່າຍ ClickHouse (ກ່ຽວກັບ ນັກຄົ້ນຄວ້າຄົ້ນພົບຖານຂໍ້ມູນເປີດແນວໃດ ຂ້າພະເຈົ້າໄດ້ຂຽນແຍກຕ່າງຫາກ) ໂດຍສົມທົບກັບ script ພິເສດ ຄລິກລົງ, ເຊິ່ງໄດ້ກວດເບິ່ງຖານຂໍ້ມູນທີ່ພົບເຫັນສໍາລັບການຂາດການຢືນຢັນແລະລາຍຊື່ຕາຕະລາງທັງຫມົດຂອງມັນ. ໃນເວລານັ້ນເບິ່ງຄືວ່າມີ 474 ຄົນ.

ຈາກເອກະສານທີ່ພວກເຮົາຮູ້ວ່າໂດຍຄ່າເລີ່ມຕົ້ນ, ເຄື່ອງແມ່ຂ່າຍ ClickHouse ຟັງ HTTP ໃນພອດ 8123. ດັ່ງນັ້ນ, ເພື່ອເບິ່ງສິ່ງທີ່ມີຢູ່ໃນຕາຕະລາງ, ມັນພຽງພໍທີ່ຈະດໍາເນີນການບາງສິ່ງບາງຢ່າງເຊັ່ນ SQL query ນີ້:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

ເປັນຜົນມາຈາກການປະຕິບັດຄໍາຮ້ອງຂໍ, ສິ່ງທີ່ອາດຈະຖືກສົ່ງຄືນແມ່ນສິ່ງທີ່ສະແດງຢູ່ໃນຫນ້າຈໍຂ້າງລຸ່ມນີ້:

ຈາກ screenshot ມັນເປັນທີ່ຊັດເຈນວ່າຂໍ້ມູນໃນພາກສະຫນາມ ຫົວ ມີຂໍ້ມູນກ່ຽວກັບສະຖານທີ່ (ເສັ້ນຂະໜານ ແລະເສັ້ນແວງ) ຂອງຜູ້ໃຊ້, ທີ່ຢູ່ IP ຂອງລາວ, ຂໍ້ມູນກ່ຽວກັບອຸປະກອນທີ່ລາວເຊື່ອມຕໍ່ກັບການບໍລິການ, ເວີຊັນ OS, ແລະອື່ນໆ.

ຖ້າມັນເກີດຂຶ້ນກັບບາງຄົນທີ່ຈະດັດແປງການສອບຖາມ SQL ເລັກນ້ອຍ, ຕົວຢ່າງເຊັ່ນນີ້:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

ຫຼັງຈາກນັ້ນ, ບາງສິ່ງບາງຢ່າງທີ່ຄ້າຍຄືກັນກັບຂໍ້ມູນສ່ວນຕົວຂອງພະນັກງານສາມາດຖືກສົ່ງຄືນ, ຄື: ຊື່ເຕັມ, ວັນເດືອນປີເກີດ, ເພດ, ເລກປະຈໍາຕົວພາສີ, ການລົງທະບຽນແລະທີ່ຢູ່ທີ່ແທ້ຈິງຂອງທີ່ຢູ່ອາໃສ, ເບີໂທລະສັບ, ຕໍາແຫນ່ງ, ທີ່ຢູ່ອີເມວແລະອື່ນໆ:

ຂໍ້ມູນທັງໝົດນີ້ຈາກພາບໜ້າຈໍຂ້າງເທິງແມ່ນຄ້າຍຄືກັນກັບຂໍ້ມູນ HR ຈາກ 1C: Enterprise 8.3.

ພິຈາລະນາຢ່າງໃກ້ຊິດກ່ຽວກັບພາລາມິເຕີ API_USER_TOKEN ທ່ານອາດຈະຄິດວ່ານີ້ແມ່ນ "ເຮັດວຽກ" token ທີ່ທ່ານສາມາດດໍາເນີນການຕ່າງໆໃນນາມຂອງຜູ້ໃຊ້, ລວມທັງການໄດ້ຮັບຂໍ້ມູນສ່ວນຕົວຂອງລາວ. ແຕ່ແນ່ນອນຂ້ອຍບໍ່ສາມາດເວົ້າເລື່ອງນີ້ໄດ້.

ໃນປັດຈຸບັນບໍ່ມີຂໍ້ມູນໃດໆວ່າເຄື່ອງແມ່ຂ່າຍ ClickHouse ຍັງສາມາດເຂົ້າເຖິງໄດ້ຢ່າງເສລີຢູ່ທີ່ທີ່ຢູ່ IP ດຽວກັນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com