बायोमेट्रिक पहिचान प्लेटफर्म BioStar 28 मा प्रयोग गरिएको 2 मिलियन रेकर्ड को चुहावट

vpnMentor बाट अनुसन्धानकर्ताहरू खुलासा डाटाबेसमा खुला पहुँचको सम्भावना, जसले बायोमेट्रिक पहुँच नियन्त्रण प्रणालीको सञ्चालनसँग सम्बन्धित 27.8 मिलियन भन्दा बढी रेकर्डहरू (23 GB डाटा) भण्डारण गरेको छ। बायोस्टार २, जसको विश्वव्यापी रूपमा लगभग 1.5 मिलियन स्थापनाहरू छन् र AEOS प्लेटफर्ममा एकीकृत छ, ठूला निगमहरू र बैंकहरू, साथै सरकारी एजेन्सीहरू र प्रहरी विभागहरू सहित 5700 देशहरूमा 83 भन्दा बढी संस्थाहरूद्वारा प्रयोग गरिन्छ। चुहावट इलास्टिकसर्च भण्डारणको गलत कन्फिगरेसनको कारणले भएको थियो, जुन जो कोहीले पढ्न योग्य भयो।

धेरै जसो डाटाबेस ईन्क्रिप्ट गरिएको थिएन र व्यक्तिगत डाटा (नाम, फोन, इमेल, घर ठेगाना, स्थिति, भाडाको समय, आदि) को अतिरिक्त, प्रणाली प्रयोगकर्ता पहुँच लगहरू, खुला पासवर्डहरू (। ह्यासिङ बिना) र मोबाइल उपकरण डेटा, बायोमेट्रिक प्रयोगकर्ता पहिचानको लागि प्रयोग गरिएको अनुहार फोटोहरू र फिंगरप्रिन्ट छविहरू समावेश गरियो।

कुलमा, डाटाबेसले विशिष्ट व्यक्तिहरूसँग सम्बन्धित एक मिलियन भन्दा बढी मौलिक फिंगरप्रिन्ट स्क्यानहरू पहिचान गरेको छ। परिवर्तन गर्न नसकिने औंठाछापहरूको खुला छविहरूको उपस्थितिले आक्रमणकारीहरूलाई टेम्प्लेट प्रयोग गरेर फिंगरप्रिन्ट नक्कली गर्न र पहुँच नियन्त्रण प्रणालीहरू बाइपास गर्न वा गलत निशानहरू छोड्न प्रयोग गर्न सम्भव बनाउँछ। पासवर्डको गुणस्तरमा विशेष ध्यान दिइन्छ, जसमा "पासवर्ड" र "abcd1234" जस्ता धेरै मामूली कुराहरू छन्।

यसबाहेक, डाटाबेसले BioStar 2 प्रशासकहरूको प्रमाणहरू पनि समावेश गरेको हुनाले, आक्रमणको घटनामा, आक्रमणकारीहरूले प्रणालीको वेब इन्टरफेसमा पूर्ण पहुँच प्राप्त गर्न सक्छन् र रेकर्डहरू थप्न, सम्पादन गर्न र मेटाउन प्रयोग गर्न सक्छन्। उदाहरणका लागि, तिनीहरूले भौतिक पहुँच प्राप्त गर्न, पहुँच अधिकारहरू परिवर्तन गर्न र लगहरूबाट घुसपैठका निशानहरू हटाउन फिंगरप्रिन्ट डेटा प्रतिस्थापन गर्न सक्छन्।

यो उल्लेखनीय छ कि समस्या अगस्ट 5 मा पहिचान गरिएको थियो, तर त्यसपछि धेरै दिनहरू BioStar 2 को सिर्जनाकर्ताहरूलाई जानकारी पठाउन खर्च गरियो, जसले अनुसन्धानकर्ताहरूको कुरा सुन्न चाहँदैनन्। अन्ततः भदौ ७ गते कम्पनीलाई जानकारी गराए पनि भदौ १३ गते मात्रै समस्या समाधान भएको थियो । शोधकर्ताहरूले डाटाबेसलाई नेटवर्कहरू स्क्यान गर्न र उपलब्ध वेब सेवाहरूको विश्लेषण गर्ने परियोजनाको भागको रूपमा पहिचान गरे। डाटाबेस सार्वजनिक डोमेनमा कति समय रह्यो र आक्रमणकारीहरूलाई यसको अस्तित्वको बारेमा थाहा थियो कि थिएन भन्ने थाहा छैन।

स्रोत: opennet.ru