ഒരു ടെലിമെഡിസിൻ കമ്പനിയിൽ നിന്നുള്ള ഡാറ്റ ചോർച്ച (അത് സംഭവിക്കാമായിരുന്നു, പക്ഷേ സംഭവിച്ചില്ല).

ഏതാനും ദിവസം മുമ്പ് ഐ എഴുതി റഷ്യൻ ഓൺലൈൻ മെഡിക്കൽ സേവനമായ DOC+ എങ്ങനെ പബ്ലിക് ഡൊമെയ്‌നിൽ വിശദമായ ആക്‌സസ് ലോഗുകളുള്ള ഒരു ഡാറ്റാബേസ് ഇടാൻ സാധിച്ചു, അതിൽ നിന്ന് രോഗികളുടെയും സേവന ജീവനക്കാരുടെയും ഡാറ്റ ലഭിക്കും. രോഗികൾക്ക് ഡോക്ടർമാരുമായി ഓൺലൈൻ കൺസൾട്ടേഷനുകൾ നൽകുന്ന മറ്റൊരു റഷ്യൻ സേവനത്തോടൊപ്പം ഇതാ ഒരു പുതിയ സംഭവം - “ഡോക്ടർ അടുത്തുള്ളത്” (www.drclinics.ru).

ഡോക്ടറുടെ പര്യാപ്തതയ്ക്ക് നന്ദി, സ്റ്റാഫിനടുത്താണ്, അപകടസാധ്യത വേഗത്തിൽ (രാത്രി അറിയിപ്പ് ലഭിച്ച നിമിഷം മുതൽ 2 മണിക്കൂർ!) ഇല്ലാതാക്കി, മിക്കവാറും വ്യക്തിഗതവും മെഡിക്കൽ ഡാറ്റയും ചോർന്നിട്ടില്ലെന്ന് ഞാൻ ഉടൻ എഴുതും. DOC+ സംഭവത്തിൽ നിന്ന് വ്യത്യസ്‌തമായി, 3.5 GB വലുപ്പമുള്ള ഒരു json ഫയലെങ്കിലും "തുറന്ന ലോകത്തിൽ" അവസാനിച്ചു, ഔദ്യോഗിക സ്ഥാനം ഇതുപോലെ കാണപ്പെടുന്നു: "ഒരു ചെറിയ അളവിലുള്ള ഡാറ്റ താൽക്കാലികമായി പൊതുവായി ലഭ്യമായിരിക്കുന്നു, ഇത് DOC+ സേവനത്തിന്റെ ജീവനക്കാർക്കും ഉപയോക്താക്കൾക്കും പ്രതികൂലമായ പ്രത്യാഘാതങ്ങളിലേക്ക് നയിക്കില്ല.".

എന്നോടൊപ്പം, ടെലിഗ്രാം ചാനലിന്റെ ഉടമ എന്ന നിലയിൽ "വിവരങ്ങൾ ചോരുന്നു", www.drclinics.ru എന്ന വെബ്‌സൈറ്റിൽ ഒരു അജ്ഞാത സബ്‌സ്‌ക്രൈബർ ബന്ധപ്പെടുകയും ഒരു അപകടസാധ്യത റിപ്പോർട്ട് ചെയ്യുകയും ചെയ്തു.

URL അറിയുകയും നിങ്ങളുടെ അക്കൗണ്ടിന് കീഴിലുള്ള സിസ്റ്റത്തിൽ ആയിരിക്കുകയും ചെയ്താൽ, നിങ്ങൾക്ക് മറ്റ് രോഗികളുടെ ഡാറ്റ കാണാൻ കഴിയും എന്നതാണ് അപകടത്തിന്റെ സാരം.

Doctor Nearby സിസ്റ്റത്തിൽ ഒരു പുതിയ അക്കൗണ്ട് രജിസ്റ്റർ ചെയ്യുന്നതിന്, നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ ഒരു സ്ഥിരീകരണ SMS അയച്ച ഒരു മൊബൈൽ ഫോൺ നമ്പർ മാത്രമേ ആവശ്യമുള്ളൂ, അതിനാൽ ആർക്കും അവരുടെ സ്വകാര്യ അക്കൗണ്ടിലേക്ക് ലോഗിൻ ചെയ്യുന്നതിൽ പ്രശ്‌നങ്ങളൊന്നും ഉണ്ടാകില്ല.

ഉപയോക്താവ് തന്റെ സ്വകാര്യ അക്കൗണ്ടിലേക്ക് ലോഗിൻ ചെയ്‌തതിനുശേഷം, അവന്റെ ബ്രൗസറിന്റെ വിലാസ ബാറിലെ URL മാറ്റുന്നതിലൂടെ, രോഗികളുടെ വ്യക്തിഗത ഡാറ്റയും മെഡിക്കൽ ഡയഗ്നോസിസ് പോലും അടങ്ങിയ റിപ്പോർട്ടുകൾ കാണാനാകും.

ഈ സേവനം റിപ്പോർട്ടുകളുടെ തുടർച്ചയായ നമ്പറിംഗ് ഉപയോഗിക്കുകയും ഈ നമ്പറുകളിൽ നിന്ന് ഇതിനകം ഒരു URL രൂപീകരിക്കുകയും ചെയ്യുന്നു എന്നതാണ് ഒരു പ്രധാന പ്രശ്നം:

https://[адрес сайта]/…/…/40261/…

അതിനാൽ, സിസ്റ്റത്തിലെ റിപ്പോർട്ടുകളുടെ ആകെ എണ്ണം (7911) കണക്കാക്കാനും (ദുരുദ്ദേശ്യമുണ്ടെങ്കിൽ) ഡൗൺലോഡ് ചെയ്യാനും അനുവദനീയമായ ഏറ്റവും കുറഞ്ഞ നമ്പറും (42926) പരമാവധി (35015 - അപകടസമയത്ത്) സജ്ജീകരിച്ചാലും മതിയായിരുന്നു. അവയെല്ലാം ഒരു ലളിതമായ സ്ക്രിപ്റ്റ് ഉപയോഗിച്ച്.

കാണുന്നതിന് ലഭ്യമായ ഡാറ്റയിൽ ഇവ ഉൾപ്പെടുന്നു: ഡോക്ടറുടെയും രോഗിയുടെയും മുഴുവൻ പേര്, ഡോക്ടറുടെയും രോഗിയുടെയും ജനനത്തീയതി, ഡോക്ടറുടെയും രോഗിയുടെയും ടെലിഫോൺ നമ്പറുകൾ, ഡോക്ടറുടെയും രോഗിയുടെയും ലിംഗഭേദം, ഡോക്ടറുടെയും രോഗിയുടെയും ഇമെയിൽ വിലാസങ്ങൾ, ഡോക്ടറുടെ സ്പെഷ്യലൈസേഷൻ , കൺസൾട്ടേഷൻ തീയതി, കൺസൾട്ടേഷന്റെ ചിലവ്, ചില സന്ദർഭങ്ങളിൽ രോഗനിർണയം പോലും (റിപ്പോർട്ടിലെ ഒരു അഭിപ്രായമായി).

ഈ അപകടസാധ്യത അടിസ്ഥാനപരമായി ഉണ്ടായിരുന്നതിന് സമാനമാണ് 2017 ഡിസംബറിൽ കണ്ടെത്തി "Zaimograd" എന്ന മൈക്രോഫിനാൻസ് ഓർഗനൈസേഷന്റെ സെർവറിൽ. തുടർന്ന്, തിരയുന്നതിലൂടെ, ഓർഗനൈസേഷന്റെ ക്ലയന്റുകളുടെ മുഴുവൻ പാസ്‌പോർട്ട് ഡാറ്റയും അടങ്ങുന്ന 36763 കരാറുകൾ നേടാൻ കഴിഞ്ഞു.

ഞാൻ തുടക്കം മുതലേ സൂചിപ്പിച്ചതുപോലെ, അടുത്തുള്ള ഡോക്ടർ ജീവനക്കാർ യഥാർത്ഥ പ്രൊഫഷണലിസം കാണിച്ചു, 23:00 ന് (മോസ്കോ സമയം) അപകടസാധ്യതയെക്കുറിച്ച് ഞാൻ അവരെ അറിയിച്ചിട്ടും, എന്റെ സ്വകാര്യ അക്കൗണ്ടിലേക്കുള്ള പ്രവേശനം ഉടനടി എല്ലാവർക്കും അടച്ചു, കൂടാതെ 1: 00 ( മോസ്കോ സമയം) ഈ അപകടസാധ്യത പരിഹരിച്ചു.

അതേ DOC+ (ന്യൂ മെഡിസിൻ LLC) ന്റെ PR ഡിപ്പാർട്ട്‌മെന്റിനെ ഒരിക്കൽക്കൂടി ചവിട്ടാതിരിക്കാൻ എനിക്ക് കഴിയില്ല. പ്രഖ്യാപിക്കുന്നു"ഒരു ചെറിയ അളവിലുള്ള ഡാറ്റ താൽക്കാലികമായി പൊതുവായി ലഭ്യമാക്കി“, ഞങ്ങളുടെ പക്കൽ “ഒബ്ജക്റ്റീവ് കൺട്രോൾ” ഡാറ്റയുണ്ട്, അതായത് ഷോഡാൻ സെർച്ച് എഞ്ചിൻ എന്ന വസ്തുത അവർ കാണാതെ പോകുന്നു. ആ ലേഖനത്തിലേക്കുള്ള കമന്റുകളിൽ ശരിയായി രേഖപ്പെടുത്തിയിരിക്കുന്നതുപോലെ - ഷോഡൻ അനുസരിച്ച്, DOC+ IP വിലാസത്തിൽ തുറന്ന ക്ലിക്ക്ഹൗസ് സെർവറിന്റെ ആദ്യ ഫിക്സേഷൻ തീയതി: 15.02.2019/03/08 00:17.03.2019:09, അവസാന ഫിക്സേഷൻ തീയതി: 52/ 00/40 XNUMX:XNUMX:XNUMX. ഡാറ്റാബേസ് വലുപ്പം ഏകദേശം XNUMX GB ആണ്.

ആകെ 15 ഫിക്സേഷനുകൾ ഉണ്ടായിരുന്നു:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

പ്രസ്താവനയിൽ നിന്ന് അത് തോന്നുന്നു താൽക്കാലികമായി ഇത് ഒരു മാസത്തിൽ കൂടുതലാണ്, പക്ഷേ ചെറിയ അളവിലുള്ള ഡാറ്റ ഇത് ഏകദേശം 40 ജിഗാബൈറ്റ് ആണ്. ശരി, എനിക്കറിയില്ല ...

എന്നാൽ നമുക്ക് "ഡോക്ടർ അടുത്തുണ്ട്" എന്നതിലേക്ക് മടങ്ങാം.

ഇപ്പോൾ, എന്റെ പ്രൊഫഷണൽ ഭ്രാന്തിനെ വേട്ടയാടുന്നത് ഒരു ചെറിയ പ്രശ്നം മാത്രമാണ് - സെർവർ പ്രതികരണത്തിലൂടെ നിങ്ങൾക്ക് സിസ്റ്റത്തിലെ റിപ്പോർട്ടുകളുടെ എണ്ണം കണ്ടെത്താനാകും. ആക്‌സസ് ചെയ്യാനാകാത്ത ഒരു URL-ൽ നിന്ന് ഒരു റിപ്പോർട്ട് ലഭിക്കാൻ നിങ്ങൾ ശ്രമിക്കുമ്പോൾ (എന്നാൽ റിപ്പോർട്ട് തന്നെ ലഭ്യമാണ്), സെർവർ മടങ്ങുന്നു പ്രവേശനം തടയപ്പെട്ടു, കൂടാതെ നിങ്ങൾ നിലവിലില്ലാത്ത ഒരു റിപ്പോർട്ട് ലഭിക്കാൻ ശ്രമിക്കുമ്പോൾ, അത് തിരികെ നൽകുന്നു കണ്ടെത്തിയില്ല. കാലക്രമേണ സിസ്റ്റത്തിലെ റിപ്പോർട്ടുകളുടെ എണ്ണത്തിൽ വർദ്ധനവ് നിരീക്ഷിക്കുന്നതിലൂടെ (ആഴ്ചയിൽ ഒരിക്കൽ, മാസം മുതലായവ), നിങ്ങൾക്ക് സേവനത്തിന്റെ ജോലിഭാരവും നൽകിയ സേവനങ്ങളുടെ അളവും വിലയിരുത്താൻ കഴിയും. ഇത് തീർച്ചയായും രോഗികളുടെയും ഡോക്ടർമാരുടെയും സ്വകാര്യ ഡാറ്റ ലംഘിക്കുന്നില്ല, പക്ഷേ ഇത് കമ്പനിയുടെ വ്യാപാര രഹസ്യങ്ങളുടെ ലംഘനമായിരിക്കാം.

അവലംബം: www.habr.com