टेलिमेडिसिन कम्पनीबाट डाटा चुहावट (जुन हुन सक्थ्यो, तर भएन)

केही दिन अघि मात्रै म लेखियो Habré मा कसरी रूसी अनलाइन चिकित्सा सेवा DOC+ ले सार्वजनिक डोमेनमा विस्तृत पहुँच लगहरू सहितको डाटाबेस छोड्न व्यवस्थित गर्यो, जसबाट बिरामीहरू र सेवा कर्मचारीहरूको डाटा प्राप्त गर्न सकिन्छ। र यहाँ एउटा नयाँ घटना हो, अर्को रूसी सेवाको साथ जसले बिरामीहरूलाई डाक्टरहरूसँग अनलाइन परामर्श प्रदान गर्दछ - "डाक्टर नजिकै" (www.drclinics.ru)।

म तुरुन्तै लेख्नेछु कि डाक्टरको पर्याप्तताको लागि धन्यवाद कर्मचारी नजिकै छ, जोखिम छिट्टै हटाइएको थियो (रातमा सूचनाको क्षणबाट 2 घण्टा!) र सम्भवतः त्यहाँ व्यक्तिगत र चिकित्सा डेटाको कुनै चुहावट थिएन। DOC + घटनाको विपरीत, जहाँ मलाई निश्चित रूपमा थाहा छ कि कम्तिमा एउटा json फाइल डाटाको साथ, 3.5 GB आकारमा, "खुला संसार" मा समाप्त भयो, र आधिकारिक स्थिति यस्तो देखिन्छ: "थोरै मात्रामा डाटा अस्थायी रूपमा सार्वजनिक रूपमा उपलब्ध भएको छ, जसले कर्मचारीहरू र DOC+ सेवाका प्रयोगकर्ताहरूका लागि नकारात्मक परिणाम ल्याउन सक्दैन।"।

मसँग, टेलिग्राम च्यानलको मालिकको रूपमा "सूचना चुहावट", एक अज्ञात ग्राहकले सम्पर्क गर्यो र वेबसाइट www.drclinics.ru मा सम्भावित जोखिम रिपोर्ट गर्यो।

जोखिमको सार यो थियो कि, URL थाहा पाउँदा र तपाइँको खाता अन्तर्गत प्रणालीमा रहँदा, तपाइँ अन्य बिरामीहरूको डाटा हेर्न सक्नुहुन्छ।

डाक्टर नजिकैको प्रणालीमा नयाँ खाता दर्ता गर्नको लागि, तपाईंलाई वास्तवमा एउटा मोबाइल फोन नम्बर चाहिन्छ जसमा पुष्टिकरण एसएमएस पठाइन्छ, त्यसैले कसैलाई पनि उनीहरूको व्यक्तिगत खातामा लग इन गर्न कुनै समस्या नहुन सक्छ।

प्रयोगकर्ताले आफ्नो व्यक्तिगत खातामा लग इन गरेपछि, उसले तुरुन्तै आफ्नो ब्राउजरको ठेगाना पट्टीमा URL परिवर्तन गरेर, बिरामीहरूको व्यक्तिगत डेटा र चिकित्सा निदानहरू सहितको रिपोर्टहरू हेर्न सक्छ।

एउटा महत्त्वपूर्ण समस्या यो थियो कि सेवाले रिपोर्टहरूको निरन्तर संख्या प्रयोग गर्दछ र पहिले नै यी नम्बरहरूबाट URL बनाउँछ:

https://[адрес сайта]/…/…/40261/…

तसर्थ, प्रणालीमा रिपोर्टहरूको कुल संख्या (7911) गणना गर्न न्यूनतम अनुमति संख्या (42926) र अधिकतम (35015 - जोखिमको समयमा) सेट गर्न पर्याप्त थियो र (यदि त्यहाँ दुर्भावनापूर्ण उद्देश्य थियो भने) डाउनलोड। ती सबै सरल लिपिको साथ।

हेर्नको लागि उपलब्ध डाटा मध्ये: डाक्टर र बिरामीको पूरा नाम, डाक्टर र बिरामीको जन्म मिति, डाक्टर र बिरामीको टेलिफोन नम्बर, डाक्टर र बिरामीको लिंग, डाक्टर र बिरामीको इमेल ठेगाना, डाक्टरको विशेषज्ञता। , परामर्शको मिति, परामर्शको लागत र केहि अवस्थामा पनि निदान (रिपोर्टमा टिप्पणीको रूपमा)।

यो भेद्यता अनिवार्य रूपमा थियो जुन धेरै समान छ डिसेम्बर 2017 मा पत्ता लाग्यो माइक्रोफाइनान्स संगठन "Zaimograd" को सर्भरमा। त्यसपछि, खोजी गरेर, संगठनका ग्राहकहरूको पूर्ण राहदानी डाटा समावेश गरी 36763 ठेक्काहरू प्राप्त गर्न सम्भव भयो।

मैले सुरुदेखि नै संकेत गरे अनुसार, डाक्टर नजिकैका कर्मचारीहरूले वास्तविक व्यावसायिकता देखाए र मैले उनीहरूलाई 23:00 (मस्को समय) मा जोखिमको बारेमा जानकारी दिए तापनि, मेरो व्यक्तिगत खातामा पहुँच तुरुन्तै सबैको लागि बन्द गरियो, र 1: ०० (मस्को समय) यो जोखिम फिक्स गरिएको छ।

म मद्दत गर्न सक्दिन तर फेरि उही DOC+ (नयाँ मेडिसिन LLC) को PR विभागलाई लात मार्छु। घोषणा गर्दै"थोरै मात्रामा डाटा अस्थायी रूपमा सार्वजनिक रूपमा उपलब्ध गराइयो", तिनीहरूले यो तथ्यलाई गुमाउँछन् कि हामीसँग हाम्रो निपटानमा "उद्देश्य नियन्त्रण" डेटा छ, शोडान खोज इन्जिन। त्यो लेखको टिप्पणीहरूमा सही रूपमा उल्लेख गरिएको छ - Shodan अनुसार, DOC+ IP ठेगानामा खुला क्लिकहाउस सर्भरको पहिलो फिक्सेसनको मिति: 15.02.2019/03/08 00:17.03.2019:09, अन्तिम निर्धारणको मिति: 52/ 00/40 XNUMX:XNUMX:XNUMX। डाटाबेस आकार लगभग XNUMX GB छ।

त्यहाँ कुल 15 फिक्सेशनहरू थिए:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

विज्ञप्तिबाट यस्तो देखिन्छ अस्थायी रूपमा यो एक महिना भन्दा अलि बढी छ, तर डाटा को सानो मात्रा यो लगभग 40 गीगाबाइट छ। खैर, मलाई थाहा छैन ...

तर "डाक्टर नजिकै छ" मा फर्कौं।

यस समयमा, मेरो व्यावसायिक पागलपन केवल एउटा बाँकी रहेको सानो समस्याले प्रेतवाधित छ - सर्भर प्रतिक्रिया द्वारा तपाइँ प्रणालीमा रिपोर्टहरूको संख्या पत्ता लगाउन सक्नुहुन्छ। जब तपाइँ पहुँचयोग्य नभएको URL बाट रिपोर्ट प्राप्त गर्ने प्रयास गर्नुहुन्छ (तर रिपोर्ट आफै उपलब्ध छ), सर्भर फर्कन्छ। प्रवेश अस्वीकृत, र जब तपाइँ अवस्थित नभएको रिपोर्ट प्राप्त गर्न प्रयास गर्नुहुन्छ, यो फिर्ता हुन्छ फेला परेन। समयको साथ प्रणालीमा रिपोर्टहरूको संख्यामा भएको वृद्धिको अनुगमन गरेर (हप्तामा एक पटक, महिना, आदि), तपाइँ सेवाको कार्यभार र प्रदान गरिएका सेवाहरूको मात्रा मूल्याङ्कन गर्न सक्नुहुन्छ। यसले निस्सन्देह, बिरामी र डाक्टरहरूको व्यक्तिगत डेटाको उल्लङ्घन गर्दैन, तर यो कम्पनीको व्यापार रहस्यको उल्लङ्घन हुन सक्छ।

स्रोत: www.habr.com