टेलिमेडिसिन कंपनीकडून डेटा लीक (जे घडू शकले असते, पण झाले नाही).

काही दिवसांपूर्वीच मी लिहिले रशियन ऑनलाइन वैद्यकीय सेवा DOC+ ने सार्वजनिक डोमेनमध्ये तपशीलवार प्रवेश लॉगसह डेटाबेस कसा सोडला याविषयी Habré वर, ज्यामधून रुग्ण आणि सेवा कर्मचार्‍यांचा डेटा मिळवता येईल. आणि येथे एक नवीन घटना आहे, दुसर्या रशियन सेवेसह जी रुग्णांना डॉक्टरांशी ऑनलाइन सल्लामसलत प्रदान करते - "डॉक्टर जवळील" (www.drclinics.ru).

मी लगेच लिहीन की डॉक्टर इज निअर स्टाफच्या पर्याप्ततेबद्दल धन्यवाद, असुरक्षितता त्वरीत दूर झाली (रात्री सूचना मिळाल्यापासून 2 तास!) आणि बहुधा वैयक्तिक आणि वैद्यकीय डेटा लीक झाला नाही. DOC+ घटनेच्या विपरीत, जिथे मला खात्री आहे की डेटासह किमान एक json फाईल, 3.5 GB आकारमान, "ओपन वर्ल्ड" मध्ये समाप्त झाली आहे आणि अधिकृत स्थिती असे दिसते: "थोड्या प्रमाणात डेटा तात्पुरता सार्वजनिकरित्या उपलब्ध झाला आहे, ज्यामुळे कर्मचारी आणि DOC+ सेवेच्या वापरकर्त्यांसाठी नकारात्मक परिणाम होऊ शकत नाहीत.".

माझ्यासोबत, टेलिग्राम चॅनेलचे मालक म्हणून "माहिती लीक", एका निनावी सदस्याने संपर्क साधला आणि www.drclinics.ru वेबसाइटवर संभाव्य असुरक्षा कळवली.

असुरक्षिततेचे सार हे होते की, URL जाणून घेणे आणि तुमच्या खात्याखालील सिस्टममध्ये असल्याने, तुम्ही इतर रुग्णांचा डेटा पाहू शकता.

Doctor Nearby सिस्टीममध्ये नवीन खाते नोंदणी करण्यासाठी, तुम्हाला प्रत्यक्षात फक्त एका मोबाइल फोन नंबरची आवश्यकता आहे ज्यावर एक पुष्टीकरण एसएमएस पाठविला जातो, त्यामुळे कोणालाही त्यांच्या वैयक्तिक खात्यात लॉग इन करण्यात कोणतीही अडचण येऊ शकत नाही.

वापरकर्त्याने त्याच्या वैयक्तिक खात्यात लॉग इन केल्यानंतर, तो ताबडतोब, त्याच्या ब्राउझरच्या अॅड्रेस बारमधील URL बदलून, रुग्णांचा वैयक्तिक डेटा आणि अगदी वैद्यकीय निदानांचा अहवाल पाहू शकतो.

एक महत्त्वाची समस्या ही होती की सेवा अहवालांची सतत क्रमांकन वापरते आणि या क्रमांकावरून आधीच एक URL तयार करते:

https://[адрес сайта]/…/…/40261/…

त्यामुळे, सिस्टममधील अहवालांची एकूण संख्या (३५०१५) मोजण्यासाठी किमान अनुमत संख्या (७९११) आणि कमाल (४२९२६ - असुरक्षिततेच्या वेळी) सेट करणे पुरेसे होते आणि (दुर्भावनापूर्ण हेतू असल्यास) डाउनलोड देखील. ते सर्व एका साध्या स्क्रिप्टसह.

पाहण्यासाठी उपलब्ध असलेल्या डेटामध्ये: डॉक्टर आणि रुग्णाचे पूर्ण नाव, डॉक्टर आणि रुग्णाच्या जन्मतारीख, डॉक्टर आणि रुग्णाचे दूरध्वनी क्रमांक, डॉक्टर आणि रुग्णाचे लिंग, डॉक्टर आणि रुग्णाचे ईमेल पत्ते, डॉक्टरांचे स्पेशलायझेशन , सल्लामसलत तारीख, सल्लामसलत खर्च आणि काही प्रकरणांमध्ये निदान (अहवालावर टिप्पणी म्हणून).

ही असुरक्षा मूलत: होती तशीच आहे डिसेंबर 2017 मध्ये सापडला मायक्रोफायनान्स संस्थेच्या सर्व्हरवर “झैमोग्राड”. त्यानंतर, शोधून, संस्थेच्या ग्राहकांचा संपूर्ण पासपोर्ट डेटा असलेले 36763 करार प्राप्त करणे शक्य झाले.

मी अगदी सुरुवातीपासूनच सूचित केल्याप्रमाणे, डॉक्टरांच्या जवळपासच्या कर्मचार्‍यांनी खरी व्यावसायिकता दाखवली आणि मी त्यांना 23:00 वाजता (मॉस्को वेळ) असुरक्षिततेबद्दल माहिती दिली असूनही, माझ्या वैयक्तिक खात्यात प्रवेश त्वरित प्रत्येकासाठी बंद करण्यात आला आणि 1: 00 (मॉस्को वेळ) ही भेद्यता निश्चित केली गेली आहे.

मी मदत करू शकत नाही पण पुन्हा एकदा त्याच DOC+ (न्यू मेडिसिन एलएलसी) च्या PR विभागाला लाथ मारू शकत नाही. घोषित करत आहे "थोड्या प्रमाणात डेटा तात्पुरता सार्वजनिकरित्या उपलब्ध करण्यात आला", आमच्याकडे आमच्या विल्हेवाटीवर "वस्तुनिष्ठ नियंत्रण" डेटा आहे, म्हणजे शोडन शोध इंजिन या वस्तुस्थितीकडे ते दुर्लक्ष करतात. त्या लेखातील टिप्पण्यांमध्ये योग्यरित्या नमूद केल्याप्रमाणे - शोडनच्या मते, DOC+ IP पत्त्यावर ओपन क्लिकहाऊस सर्व्हरच्या पहिल्या फिक्सेशनची तारीख: 15.02.2019/03/08 00:17.03.2019:09, शेवटची फिक्सेशनची तारीख: 52/ 00/40 XNUMX:XNUMX:XNUMX. डेटाबेस आकार सुमारे XNUMX GB आहे.

एकूण 15 फिक्सेशन होते:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

निवेदनावरून असे दिसून येते की तात्पुरते एका महिन्यापेक्षा थोडा जास्त आहे, पण लहान प्रमाणात डेटा हे अंदाजे 40 गीगाबाइट्स आहे. बरं मला माहित नाही…

पण "डॉक्टर जवळ आहे" वर परत येऊ.

याक्षणी, माझ्या व्यावसायिक पॅरानोइयाला फक्त एका उरलेल्या किरकोळ समस्येने पछाडले आहे - सर्व्हर प्रतिसादाद्वारे आपण सिस्टममधील अहवालांची संख्या शोधू शकता. जेव्हा तुम्ही प्रवेशयोग्य नसलेल्या URL वरून अहवाल मिळवण्याचा प्रयत्न करता (परंतु अहवाल स्वतः उपलब्ध असतो), तेव्हा सर्व्हर परत येतो ACCESS_DENIED, आणि जेव्हा तुम्ही अस्तित्वात नसलेला अहवाल मिळवण्याचा प्रयत्न करता तेव्हा तो परत येतो NOT_FOUND. कालांतराने (आठवड्यातून, महिन्यातून एकदा, इ.) सिस्टीममधील अहवालांच्या संख्येतील वाढीचे निरीक्षण करून, आपण सेवेच्या वर्कलोडचे आणि प्रदान केलेल्या सेवांच्या प्रमाणाचे मूल्यांकन करू शकता. हे अर्थातच रुग्ण आणि डॉक्टरांच्या वैयक्तिक डेटाचे उल्लंघन करत नाही, परंतु हे कंपनीच्या व्यापार गुपितांचे उल्लंघन असू शकते.

स्त्रोत: www.habr.com