De registrator APNIC, verantwoordelijk voor de distributie van IP-adressen in de Aziƫ-Pacific regio, heeft melding gemaakt van een incident waarbij een SQL-dump van de Whois-service openbaar beschikbaar kwam, inclusief gevoelige gegevens en wachtwoord-hashes. Het is vermeldenswaard dat dit niet de eerste datalek is bij APNIC; in 2017 werd de Whois-database ook al openbaar vanwege een fout van het personeel.
Tijdens de implementatie van de RDAP-protocolondersteuning, dat het WHOIS-protocol moet vervangen, heeft APNIC een SQL-dump van de database die door de Whois-service wordt gebruikt, geplaatst in Google Cloud, maar de toegang niet beperkt. Door een configuratiefout was de SQL-dump gedurende drie maanden openbaar toegankelijk en dit werd pas op 4 juni ontdekt, toen een onafhankelijke beveiligingsonderzoeker dit onder de aandacht bracht en de registrator waarschuwde over het probleem.
De SQL-dump bevatte attributen 'auth', die wachtwoord-hashes bevatten voor het wijzigen van de objecten Maintainer en Incident Response Team (IRT), evenals enkele vertrouwelijke gegevens over klanten die normaal niet in Whois worden weergegeven bij reguliere aanvragen (dit zijn doorgaans aanvullende contactgegevens en aantekeningen over de gebruiker). In het geval van herstelling van wachtwoorden hadden aanvallers de mogelijkheid om de inhoud van de velden met parameters van de eigenaar van blokken te wijzigen in Whois. IP-adressen Het Maintainer-object definieert de persoon die verantwoordelijk is voor het wijzigen van een groep records die zijn gelinkt via het attribuut 'mnt-by', en het IRT-object bevat contactgegevens van beheerders die verantwoordelijk zijn voor het reageren op meldingen van problemen. De informatie over het hashing-algoritme voor wachtwoorden wordt niet vermeld, maar in 2017 werden verouderde algoritmen zoals MD5 en CRYPT-PW (8-cijferige wachtwoorden met hashes op basis van de UNIX crypt-functie) gebruikt voor hashing.
Na het ontdekken van het incident heeft APNIC een wachtwoordreset-initiatief gelanceerd voor de objecten in Whois. Aan de zijde van APNIC zijn er nog geen tekenen van illegitieme activiteiten ontdekt, maar er zijn geen garanties dat de gegevens niet in handen van kwaadwillenden zijn gevallen, aangezien er geen volledige toegangsl logs zijn naar de bestanden in Google Cloud. Net zoals na het vorige incident, heeft APNIC beloofd een herziening uit te voeren en wijzigingen aan te brengen in de technologische processen om soortgelijke datalekken in de toekomst te voorkomen.
Bron: opennet.ru
