Протекување на 28 милиони записи користени во платформата за биометриска идентификација BioStar 2

Истражувачи од vpnMentor идентификувани можноста за отворен пристап до базата на податоци, која складираше повеќе од 27.8 милиони записи (23 GB податоци) поврзани со работата на системот за биометриска контрола на пристап Биостар 2, која има приближно 1.5 милиони инсталации ширум светот и е интегрирана во платформата AEOS, која ја користат повеќе од 5700 организации во 83 земји, вклучувајќи големи корпорации и банки, како и владини агенции и полициски оддели. Протекувањето било предизвикано од неправилна конфигурација на складиштето на Elasticsearch, кое се покажало дека било читливо.

Протекувањето е отежнато со фактот што поголемиот дел од базата на податоци не беше шифрирана и, покрај личните податоци (име, телефон, е-пошта, домашна адреса, позиција, време на вработување, итн.), дневници за пристап на корисниците на системот, отворени лозинки ( без хаширање) и податоци за мобилниот уред, вклучени фотографии на лицето и слики од отпечатоци од прсти што се користат за биометриска идентификација на корисникот.

Севкупно, базата на податоци идентификуваше повеќе од милион оригинални скенирања на отпечатоци поврзани со одредени луѓе. Присуството на отворени слики од отпечатоци од прсти кои не можат да се променат им овозможува на напаѓачите да лажираат отпечаток од прст користејќи шаблон и да го користат за да ги заобиколат системите за контрола на пристап или да остават лажни траги. Посебно внимание се посветува на квалитетот на лозинките, меѓу кои има многу тривијални, како што се „Лозинка“ и „abcd1234“.

Освен тоа, бидејќи базата на податоци ги вклучувала и ингеренциите на администраторите на BioStar 2, во случај на напад, напаѓачите би можеле да добијат целосен пристап до веб-интерфејсот на системот и да го користат за додавање, уредување и бришење записи. На пример, тие би можеле да ги заменат податоците за отпечатоци за да добијат физички пристап, да ги променат правата за пристап и да ги отстранат трагите на упад од дневниците.

Вреди да се одбележи дека проблемот беше идентификуван на 5 август, но потоа беа потрошени неколку дена за пренесување на информации до креаторите на BioStar 2, кои не сакаа да ги слушаат истражувачите. Конечно, на 7 август информацијата била соопштена до компанијата, но проблемот бил решен дури на 13 август. Истражувачите ја идентификуваа базата на податоци како дел од проектот за скенирање на мрежи и анализа на достапни веб-услуги. Не е познато колку долго базата на податоци останала во јавна сопственост и дали напаѓачите знаеле за нејзиното постоење.

Извор: opennet.ru