ओपन क्लिकहाऊस डेटाबेसमुळे रुग्ण आणि डॉक्टरांचा वैयक्तिक डेटा कसा खराब होऊ शकतो

मी जगातील जवळजवळ सर्व देशांमध्ये मुक्तपणे प्रवेश करण्यायोग्य डेटाबेसच्या शोधाबद्दल बरेच काही लिहितो, परंतु सार्वजनिक डोमेनमध्ये सोडलेल्या रशियन डेटाबेसबद्दल जवळजवळ कोणतीही बातमी नाही. जरी अलीकडे लिहिले "क्रेमलिनच्या हात" बद्दल, जे एका डच संशोधकाने 2000 हून अधिक खुल्या डेटाबेसमध्ये शोधून काढले.

असा गैरसमज असू शकतो की रशियामध्ये सर्व काही छान आहे आणि मोठ्या रशियन ऑनलाइन प्रकल्पांचे मालक वापरकर्ता डेटा संचयित करण्यासाठी जबाबदार दृष्टीकोन घेतात. मी हे उदाहरण वापरून ही समज खोडून काढण्याची घाई केली आहे.

रशियन ऑनलाइन वैद्यकीय सेवा DOC+ वरवर पाहता सार्वजनिकरीत्या उपलब्ध असलेल्या प्रवेश लॉगसह क्लिकहाऊस डेटाबेस सोडण्यात व्यवस्थापित झाली. दुर्दैवाने, लॉग इतके तपशीलवार दिसत आहेत की सेवेचे कर्मचारी, भागीदार आणि क्लायंटचा वैयक्तिक डेटा लीक केला जाऊ शकतो.

प्रथम गोष्टी प्रथम ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

माझ्यासोबत, टेलिग्राम चॅनेलचे मालक म्हणून "माहिती लीक", एक चॅनेल वाचक ज्याला निनावी राहण्याची इच्छा होती ती संपर्कात आली आणि अक्षरशः खालील अहवाल दिला:

इंटरनेटवर एक खुला क्लिकहाऊस सर्व्हर सापडला, जो कंपनी डॉक+ च्या मालकीचा आहे. सर्व्हरचा IP पत्ता ज्या IP पत्त्याशी docplus.ru डोमेन कॉन्फिगर केले आहे त्याच्याशी जुळतो.

विकिपीडियावरून: DOC+ (न्यू मेडिसिन एलएलसी) ही एक रशियन वैद्यकीय कंपनी आहे जी टेलिमेडिसिनच्या क्षेत्रात सेवा पुरवते, घरी डॉक्टरांना कॉल करते, स्टोरेज आणि प्रक्रिया करते. वैयक्तिक वैद्यकीय डेटा. कंपनीला Yandex कडून गुंतवणूक मिळाली.

संकलित केलेल्या माहितीनुसार, क्लिकहाऊस डेटाबेस खरोखरच मुक्तपणे प्रवेश करण्यायोग्य होता आणि कोणीही, ज्याला IP पत्ता माहित आहे, त्यातून डेटा मिळवू शकतो. हा डेटा बहुधा सेवा प्रवेश लॉग असल्याचे दिसून आले.

तुम्ही वरील चित्रावरून पाहू शकता की, www.docplus.ru वेब सर्व्हर आणि क्लिकहाऊस सर्व्हर (पोर्ट 9000) व्यतिरिक्त, मोंगोडीबी डेटाबेस त्याच IP पत्त्यावर उघडा लटकत आहे (ज्यामध्ये, वरवर पाहता, काहीही नाही. मनोरंजक).

माझ्या माहितीनुसार, Shodan.io शोध इंजिन क्लिकहाऊस सर्व्हर शोधण्यासाठी वापरले गेले होते (सुमारे संशोधक खुले डेटाबेस कसे शोधतात मी स्वतंत्रपणे लिहिले आहे) एका विशेष स्क्रिप्टच्या संयोगाने क्लिक डाउन, ज्याने प्रमाणीकरणाच्या अभावासाठी सापडलेला डेटाबेस तपासला आणि त्याची सर्व सारणी सूचीबद्ध केली. त्यावेळी त्यापैकी 474 असल्याचे दिसत होते.

दस्तऐवजीकरणावरून आम्हाला माहित आहे की डीफॉल्टनुसार, क्लिकहाऊस सर्व्हर पोर्ट 8123 वर HTTP ऐकतो. म्हणून, सारण्यांमध्ये काय समाविष्ट आहे हे पाहण्यासाठी, या SQL क्वेरीसारखे काहीतरी चालवणे पुरेसे आहे:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

विनंती कार्यान्वित केल्यामुळे, खाली स्क्रीनशॉटमध्ये जे सूचित केले आहे ते कदाचित परत केले जाऊ शकते:

स्क्रीनशॉटवरून हे स्पष्ट होते की फील्डमधील माहिती शीर्षलेख वापरकर्त्याचे स्थान (अक्षांश आणि रेखांश), त्याचा आयपी पत्ता, त्याने सेवेशी कनेक्ट केलेल्या डिव्हाइसबद्दल माहिती, OS आवृत्ती इ.

जर एखाद्याला एसक्यूएल क्वेरीमध्ये किंचित बदल करायचे असल्यास, उदाहरणार्थ, याप्रमाणे:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

नंतर कर्मचार्‍यांच्या वैयक्तिक डेटासारखे काहीतरी परत केले जाऊ शकते, म्हणजे: पूर्ण नाव, जन्मतारीख, लिंग, कर ओळख क्रमांक, नोंदणी आणि निवासाचे खरे ठिकाण, दूरध्वनी क्रमांक, स्थान, ईमेल पत्ते आणि बरेच काही:

वरील स्क्रीनशॉटमधील ही सर्व माहिती 1C: एंटरप्राइझ 8.3 मधील एचआर डेटाशी अगदी समान आहे.

पॅरामीटर जवळून पाहणे API_USER_TOKEN तुम्हाला वाटेल की हे एक "कार्यरत" टोकन आहे ज्याद्वारे तुम्ही वापरकर्त्याच्या वतीने त्याचा वैयक्तिक डेटा मिळवण्यासह विविध क्रिया करू शकता. पण अर्थातच मी हे सांगू शकत नाही.

याक्षणी अशी कोणतीही माहिती नाही की क्लिकहाऊस सर्व्हर अद्याप त्याच IP पत्त्यावर मुक्तपणे प्रवेशयोग्य आहे.

स्त्रोत: www.habr.com