खुला क्लिकहाउस डाटाबेसका कारण बिरामी र डाक्टरहरूको व्यक्तिगत डाटा कसरी क्षतिग्रस्त हुन सक्छ

म संसारका लगभग सबै देशहरूमा स्वतन्त्र रूपमा पहुँचयोग्य डाटाबेसहरूको खोजको बारेमा धेरै लेख्छु, तर त्यहाँ सार्वजनिक डोमेनमा रूसी डाटाबेसहरूको बारेमा लगभग कुनै समाचार छैन। यद्यपि हालै लेखियो "क्रेमलिनको हात" को बारेमा, जुन एक डच अनुसन्धानकर्ता 2000 भन्दा बढी खुला डाटाबेसमा पत्ता लगाउन डराए।

त्यहाँ एक गलत धारणा हुन सक्छ कि रूसमा सबै कुरा उत्कृष्ट छ र ठूला रूसी अनलाइन परियोजनाहरूका मालिकहरूले प्रयोगकर्ता डेटा भण्डारण गर्न जिम्मेवार दृष्टिकोण लिन्छन्। म यो उदाहरण प्रयोग गरेर यो मिथकलाई हटाउन हतार गर्छु।

रूसी अनलाइन चिकित्सा सेवा DOC+ ले सार्वजनिक रूपमा उपलब्ध पहुँच लगहरू सहित ClickHouse डाटाबेस छोड्न व्यवस्थित गर्यो। दुर्भाग्यवश, लगहरू यति विस्तृत देखिन्छन् कि कर्मचारीहरू, साझेदारहरू र सेवाका ग्राहकहरूको व्यक्तिगत डेटा लीक हुन सक्छ।

पहिलो कुरा पहिले...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

मसँग, टेलिग्राम च्यानलको मालिकको रूपमा "सूचना चुहावट", गुमनाम रहन चाहने च्यानल पाठक सम्पर्कमा आए र शाब्दिक रूपमा निम्न रिपोर्ट गरे:

इन्टरनेटमा खुला क्लिकहाउस सर्भर फेला पर्‍यो, जुन कम्पनी कागजात+सँग सम्बन्धित छ। सर्भरको IP ठेगानाले docplus.ru डोमेन कन्फिगर गरिएको IP ठेगानासँग मेल खान्छ।

विकिपीडियाबाट: DOC+ (New Medicine LLC) टेलिमेडिसिनको क्षेत्रमा सेवाहरू उपलब्ध गराउने रुसी मेडिकल कम्पनी हो, घरमा डाक्टरलाई बोलाउने, भण्डारण र प्रशोधन गर्ने। व्यक्तिगत चिकित्सा डाटा। कम्पनीले Yandex बाट लगानी प्राप्त गर्यो।

संकलित जानकारीको आधारमा, क्लिकहाउस डाटाबेस वास्तवमै स्वतन्त्र रूपमा पहुँचयोग्य थियो, र जो कोहीले, आईपी ठेगाना थाहा पाएर, यसबाट डाटा प्राप्त गर्न सक्थे। यो डाटा सम्भवतः सेवा पहुँच लगहरू हुन सकियो।

तपाईले माथिको तस्विरबाट देख्न सक्नुहुन्छ, www.docplus.ru वेब सर्भर र ClickHouse सर्भर (पोर्ट 9000) को अतिरिक्त, MongoDB डाटाबेस एउटै आईपी ठेगानामा खुला झुण्डिएको छ (जसमा, स्पष्ट रूपमा, त्यहाँ केहि छैन। रोचक)।

जहाँसम्म मलाई थाहा छ, Shodan.io खोज इन्जिन क्लिकहाउस सर्भर पत्ता लगाउन प्रयोग गरिएको थियो (लगभग कसरी अनुसन्धानकर्ताहरूले खुला डाटाबेस पत्ता लगाउँछन् मैले छुट्टै लेखेको छु) एक विशेष स्क्रिप्टको साथ संयोजनमा क्लिक डाउन, जसले प्रमाणीकरणको कमीको लागि फेला परेको डाटाबेस जाँच गर्यो र यसको सबै तालिकाहरू सूचीबद्ध गर्यो। त्यतिबेला तीमध्ये ४७४ जना देखिन्थ्यो।

कागजातबाट हामीलाई थाहा छ कि पूर्वनिर्धारित रूपमा, क्लिकहाउस सर्भरले पोर्ट 8123 मा HTTP सुन्छ। त्यसकारण, तालिकाहरूमा के समावेश छ हेर्नको लागि, यो SQL क्वेरी जस्तै केहि चलाउन पर्याप्त छ:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

अनुरोध कार्यान्वयनको परिणामको रूपमा, तलको स्क्रिनसटमा के संकेत गरिएको छ के फर्काउन सकिन्छ:

स्क्रिनसटबाट यो स्पष्ट छ कि फिल्डमा जानकारी हेडरहरू प्रयोगकर्ताको स्थान (अक्षांश र देशान्तर), उसको आईपी ठेगाना, उसले सेवामा जडान गरेको उपकरणको बारेमा जानकारी, ओएस संस्करण, आदि बारे डाटा समावेश गर्दछ।

यदि कसैलाई SQL क्वेरी थोरै परिमार्जन गर्न आयो भने, उदाहरणका लागि, यो जस्तै:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

त्यसपछि कर्मचारीहरूको व्यक्तिगत डेटा जस्तै केहि फिर्ता गर्न सकिन्छ, जस्तै: पूरा नाम, जन्म मिति, लिङ्ग, कर पहिचान नम्बर, दर्ता र वास्तविक निवास ठेगाना, टेलिफोन नम्बर, स्थिति, इमेल ठेगाना र अधिक:

माथिको स्क्रिनसटबाट यो सबै जानकारी 1C: इन्टरप्राइज 8.3 को HR डेटासँग धेरै मिल्दोजुल्दो छ।

प्यारामिटरमा नजिकबाट हेर्दै API_USER_TOKEN तपाईले सोच्न सक्नुहुन्छ कि यो एक "कार्यरत" टोकन हो जसको साथ तपाईले प्रयोगकर्ताको तर्फबाट विभिन्न कार्यहरू गर्न सक्नुहुन्छ, उसको व्यक्तिगत डेटा प्राप्त गर्ने सहित। तर पक्कै पनि म यो भन्न सक्दिन।

यस समयमा त्यहाँ कुनै जानकारी छैन कि ClickHouse सर्भर अझै पनि समान IP ठेगानामा स्वतन्त्र रूपमा पहुँचयोग्य छ।

स्रोत: www.habr.com