Ази-Номхон далайн бүс нутагт IP хаягийг түгээх үүрэгтэй APNIC бүртгэгч нь нууц мэдээлэл, нууц үгийн хэш зэрэг Whois үйлчилгээний SQL хаягийг олон нийтэд нээлттэй болгосны үр дүнд нэгэн тохиолдлыг мэдээлэв. Энэ нь APNIC-д хувийн мэдээлэл алдагдсан анхны тохиолдол биш гэдгийг тэмдэглэх нь зүйтэй - 2017 онд Whois мэдээллийн санг ажилтнуудын хяналтаас болж олон нийтэд нээлттэй болгосон.
WHOIS протоколыг орлох зорилготой RDAP протоколын дэмжлэгийг нэвтрүүлэх явцад APNIC-ийн ажилтнууд Whois үйлчилгээнд ашигладаг мэдээллийн сангийн SQL хаягийг Google Cloud үүл хадгалах санд байршуулсан боловч түүнд хандах хандалтыг хязгаарлаагүй. Тохиргоонд алдаа гарсны улмаас SQL хаягдал гурван сарын турш олон нийтэд нээлттэй байсан бөгөөд энэ баримтыг зөвхөн 4-р сарын XNUMX-ний өдөр илрүүлсэн бөгөөд бие даасан аюулгүй байдлын судлаачдын нэг үүнийг анзаарч, асуудлын талаар бүртгэгчид мэдэгдэв.
SQL dump нь засварлагч болон ослын хариу арга хэмжээний баг (IRT) объектуудыг өөрчлөх нууц үгийн хэш агуулсан "auth" шинж чанарууд, түүнчлэн ердийн асуулгын үед Whois дээр харагдахгүй байгаа хэрэглэгчийн зарим эмзэг мэдээллийг (ихэвчлэн нэмэлт холбоо барих мэдээлэл, хэрэглэгчийн тухай тэмдэглэл) агуулсан байв. . Нууц үг сэргээх тохиолдолд халдагчид Whois дахь IP хаягийн блок эзэмшигчийн параметрүүдтэй талбаруудын агуулгыг өөрчлөх боломжтой болсон. Maintainer объект нь "mnt-by" шинж чанараар холбогдсон бичлэгийн бүлэгт өөрчлөлт оруулах үүрэгтэй хүнийг тодорхойлдог ба IRT объект нь асуудлын мэдэгдэлд хариу өгөх админуудын холбоо барих мэдээллийг агуулдаг. Ашигласан нууц үг хэшлэх алгоритмын талаар мэдээлэл өгөөгүй ч 2017 онд хуучирсан MD5 болон CRYPT-PW алгоритмуудыг (UNIX крипт функц дээр суурилсан хэш бүхий 8 тэмдэгттэй нууц үг) хэш болгоход ашигласан.
Хэрэг явдлыг илрүүлсний дараа APNIC Whois дахь объектуудын нууц үгийг дахин тохируулах ажлыг эхлүүлсэн. APNIC тал дээр хууль бус үйлдлийн шинж тэмдэг хараахан илрээгүй байгаа боловч Google Cloud дахь файлуудад хандах бүрэн бүртгэл байхгүй тул өгөгдөл халдагчдын гарт ороогүй гэсэн баталгаа байхгүй. Өмнөх үйл явдлын дараа APNIC нь аудит хийж, ирээдүйд ижил төстэй алдагдлаас урьдчилан сэргийлэхийн тулд технологийн процесст өөрчлөлт оруулахаа амласан.
Эх сурвалж: opennet.ru