बायोमेट्रिक ओळख प्लॅटफॉर्म बायोस्टार 28 मध्ये वापरलेले 2 दशलक्ष रेकॉर्ड लीक झाले

vpnMentor मधील संशोधक ओळखले बायोमेट्रिक ऍक्सेस कंट्रोल सिस्टमच्या ऑपरेशनशी संबंधित 27.8 दशलक्ष पेक्षा जास्त रेकॉर्ड (23 GB डेटा) संग्रहित केलेल्या डेटाबेसमध्ये खुल्या प्रवेशाची शक्यता बायोस्टार २, ज्याची जगभरात अंदाजे 1.5 दशलक्ष स्थापना आहेत आणि AEOS प्लॅटफॉर्ममध्ये समाकलित आहे, मोठ्या कॉर्पोरेशन आणि बँकांसह तसेच सरकारी संस्था आणि पोलिस विभागांसह 5700 देशांमधील 83 हून अधिक संस्था वापरतात. गळती इलास्टिकसर्च स्टोरेजच्या चुकीच्या कॉन्फिगरेशनमुळे झाली होती, जी कोणीही वाचण्यायोग्य असल्याचे दिसून आले.

बहुतेक डेटाबेस एनक्रिप्ट केलेले नव्हते आणि वैयक्तिक डेटा (नाव, फोन, ईमेल, घराचा पत्ता, स्थिती, भाड्याची वेळ इ.) व्यतिरिक्त, सिस्टम वापरकर्ता प्रवेश लॉग, खुले संकेतशब्द ( हॅशिंगशिवाय) आणि मोबाइल डिव्हाइस डेटा, बायोमेट्रिक वापरकर्ता ओळखीसाठी वापरल्या जाणार्‍या चेहर्यावरील छायाचित्रे आणि फिंगरप्रिंट प्रतिमा समाविष्ट केल्या आहेत.

एकूण, डेटाबेसने विशिष्ट लोकांशी संबंधित दशलक्षाहून अधिक मूळ फिंगरप्रिंट स्कॅन ओळखले आहेत. फिंगरप्रिंट्सच्या खुल्या प्रतिमांची उपस्थिती जी बदलली जाऊ शकत नाही, आक्रमणकर्त्यांना टेम्पलेट वापरून फिंगरप्रिंट बनावट बनवणे आणि प्रवेश नियंत्रण प्रणालींना बायपास करण्यासाठी किंवा खोटे ट्रेस सोडण्यासाठी वापरणे शक्य करते. पासवर्डच्या गुणवत्तेकडे विशेष लक्ष दिले जाते, ज्यामध्ये "पासवर्ड" आणि "abcd1234" सारखे बरेच क्षुल्लक आहेत.

शिवाय, डेटाबेसमध्ये BioStar 2 प्रशासकांची क्रेडेन्शियल्स देखील समाविष्ट असल्याने, आक्रमण झाल्यास, आक्रमणकर्ते सिस्टमच्या वेब इंटरफेसमध्ये पूर्ण प्रवेश मिळवू शकतात आणि रेकॉर्ड जोडण्यासाठी, संपादित करण्यासाठी आणि हटवण्यासाठी त्याचा वापर करू शकतात. उदाहरणार्थ, ते भौतिक प्रवेश मिळविण्यासाठी, प्रवेश अधिकार बदलण्यासाठी आणि लॉगमधून घुसखोरीचे ट्रेस काढून टाकण्यासाठी फिंगरप्रिंट डेटा बदलू शकतात.

हे लक्षात घेण्यासारखे आहे की ही समस्या 5 ऑगस्ट रोजी ओळखली गेली होती, परंतु नंतर बायोस्टार 2 च्या निर्मात्यांना माहिती देण्यासाठी बरेच दिवस घालवले गेले, जे संशोधकांचे ऐकू इच्छित नव्हते. अखेर 7 ऑगस्टला कंपनीला माहिती कळवण्यात आली, मात्र 13 ऑगस्टलाच ही समस्या दूर झाली. नेटवर्क स्कॅन करण्यासाठी आणि उपलब्ध वेब सेवांचे विश्लेषण करण्यासाठी प्रकल्पाचा भाग म्हणून संशोधकांनी डेटाबेस ओळखला. डेटाबेस सार्वजनिक डोमेनमध्ये किती काळ राहिला आणि हल्लेखोरांना त्याच्या अस्तित्वाबद्दल माहिती होती की नाही हे अज्ञात आहे.

स्त्रोत: opennet.ru