ਇੱਕ ਟੈਲੀਮੇਡੀਸਨ ਕੰਪਨੀ ਤੋਂ ਡੇਟਾ ਲੀਕ (ਜੋ ਹੋ ਸਕਦਾ ਸੀ, ਪਰ ਨਹੀਂ ਹੋਇਆ)

ਕੁਝ ਦਿਨ ਪਹਿਲਾਂ ਹੀ ਆਈ ਲਿਖੀ Habré 'ਤੇ ਇਸ ਬਾਰੇ ਕਿ ਕਿਵੇਂ ਰੂਸੀ ਔਨਲਾਈਨ ਮੈਡੀਕਲ ਸੇਵਾ DOC+ ਨੇ ਜਨਤਕ ਡੋਮੇਨ ਵਿੱਚ ਵਿਸਤ੍ਰਿਤ ਪਹੁੰਚ ਲੌਗਸ ਦੇ ਨਾਲ ਇੱਕ ਡੇਟਾਬੇਸ ਛੱਡਣ ਵਿੱਚ ਪ੍ਰਬੰਧਿਤ ਕੀਤਾ, ਜਿਸ ਤੋਂ ਮਰੀਜ਼ਾਂ ਅਤੇ ਸੇਵਾ ਕਰਮਚਾਰੀਆਂ ਦਾ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਅਤੇ ਇੱਥੇ ਇੱਕ ਨਵੀਂ ਘਟਨਾ ਹੈ, ਇੱਕ ਹੋਰ ਰੂਸੀ ਸੇਵਾ ਜੋ ਮਰੀਜ਼ਾਂ ਨੂੰ ਡਾਕਟਰਾਂ ਨਾਲ ਔਨਲਾਈਨ ਸਲਾਹ-ਮਸ਼ਵਰੇ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ - "ਡਾਕਟਰ ਨੇੜਬਾਈ" (www.drclinics.ru)।

ਮੈਂ ਤੁਰੰਤ ਲਿਖਾਂਗਾ ਕਿ ਡਾਕਟਰ ਦੇ ਨਜ਼ਦੀਕੀ ਸਟਾਫ਼ ਦੀ ਯੋਗਤਾ ਦੇ ਕਾਰਨ, ਕਮਜ਼ੋਰੀ ਤੇਜ਼ੀ ਨਾਲ ਖਤਮ ਹੋ ਗਈ ਸੀ (ਰਾਤ ਨੂੰ ਨੋਟੀਫਿਕੇਸ਼ਨ ਦੇ ਪਲ ਤੋਂ 2 ਘੰਟੇ!) ਅਤੇ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਨਿੱਜੀ ਅਤੇ ਡਾਕਟਰੀ ਡੇਟਾ ਦਾ ਕੋਈ ਲੀਕ ਨਹੀਂ ਹੋਇਆ ਸੀ। DOC + ਘਟਨਾ ਦੇ ਉਲਟ, ਜਿੱਥੇ ਮੈਂ ਨਿਸ਼ਚਤ ਤੌਰ 'ਤੇ ਜਾਣਦਾ ਹਾਂ ਕਿ ਘੱਟੋ-ਘੱਟ ਇੱਕ json ਫਾਈਲ, ਡੇਟਾ ਦੇ ਨਾਲ, 3.5 GB ਆਕਾਰ ਵਿੱਚ, "ਓਪਨ ਵਰਲਡ" ਵਿੱਚ ਖਤਮ ਹੋਈ, ਅਤੇ ਅਧਿਕਾਰਤ ਸਥਿਤੀ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ: "ਡਾਟਾ ਦੀ ਇੱਕ ਛੋਟੀ ਮਾਤਰਾ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਹੋ ਗਈ ਹੈ, ਜੋ ਕਿ DOC+ ਸੇਵਾ ਦੇ ਕਰਮਚਾਰੀਆਂ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਨਕਾਰਾਤਮਕ ਨਤੀਜੇ ਨਹੀਂ ਲੈ ਸਕਦੀ ਹੈ।".

ਮੇਰੇ ਨਾਲ, ਟੈਲੀਗ੍ਰਾਮ ਚੈਨਲ ਦੇ ਮਾਲਕ ਵਜੋਂ "ਜਾਣਕਾਰੀ ਲੀਕ", ਇੱਕ ਅਗਿਆਤ ਗਾਹਕ ਨੇ ਸੰਪਰਕ ਕੀਤਾ ਅਤੇ ਵੈਬਸਾਈਟ www.drclinics.ru 'ਤੇ ਇੱਕ ਸੰਭਾਵੀ ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ।

ਕਮਜ਼ੋਰੀ ਦਾ ਸਾਰ ਇਹ ਸੀ ਕਿ, URL ਨੂੰ ਜਾਣ ਕੇ ਅਤੇ ਤੁਹਾਡੇ ਖਾਤੇ ਦੇ ਅਧੀਨ ਸਿਸਟਮ ਵਿੱਚ ਹੋਣ ਕਰਕੇ, ਤੁਸੀਂ ਦੂਜੇ ਮਰੀਜ਼ਾਂ ਦਾ ਡੇਟਾ ਦੇਖ ਸਕਦੇ ਹੋ।

ਡਾਕਟਰ ਨਿਅਰਬੀ ਸਿਸਟਮ ਵਿੱਚ ਇੱਕ ਨਵਾਂ ਖਾਤਾ ਰਜਿਸਟਰ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਸਿਰਫ਼ ਇੱਕ ਮੋਬਾਈਲ ਫ਼ੋਨ ਨੰਬਰ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਜਿਸ 'ਤੇ ਇੱਕ ਪੁਸ਼ਟੀਕਰਨ SMS ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਜੋ ਕਿਸੇ ਨੂੰ ਵੀ ਆਪਣੇ ਨਿੱਜੀ ਖਾਤੇ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਵਿੱਚ ਕੋਈ ਸਮੱਸਿਆ ਨਾ ਆਵੇ।

ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਆਪਣੇ ਨਿੱਜੀ ਖਾਤੇ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਉਹ ਤੁਰੰਤ, ਆਪਣੇ ਬ੍ਰਾਉਜ਼ਰ ਦੇ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ URL ਨੂੰ ਬਦਲ ਕੇ, ਮਰੀਜ਼ਾਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਅਤੇ ਇੱਥੋਂ ਤੱਕ ਕਿ ਡਾਕਟਰੀ ਨਿਦਾਨ ਵਾਲੀਆਂ ਰਿਪੋਰਟਾਂ ਨੂੰ ਦੇਖ ਸਕਦਾ ਹੈ।

ਇੱਕ ਮਹੱਤਵਪੂਰਣ ਸਮੱਸਿਆ ਇਹ ਸੀ ਕਿ ਸੇਵਾ ਲਗਾਤਾਰ ਰਿਪੋਰਟਾਂ ਦੀ ਸੰਖਿਆ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ ਅਤੇ ਇਹਨਾਂ ਨੰਬਰਾਂ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਇੱਕ URL ਬਣਾਉਂਦਾ ਹੈ:

https://[адрес сайта]/…/…/40261/…

ਇਸ ਲਈ, ਸਿਸਟਮ ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਦੀ ਕੁੱਲ ਸੰਖਿਆ (7911) ਦੀ ਗਣਨਾ ਕਰਨ ਲਈ ਘੱਟੋ ਘੱਟ ਮਨਜ਼ੂਰ ਸੰਖਿਆ (42926) ਅਤੇ ਵੱਧ ਤੋਂ ਵੱਧ (35015 - ਕਮਜ਼ੋਰੀ ਦੇ ਸਮੇਂ) ਨੂੰ ਸੈੱਟ ਕਰਨ ਲਈ ਇਹ ਕਾਫ਼ੀ ਸੀ ਅਤੇ ਭਾਵੇਂ (ਜੇ ਕੋਈ ਖ਼ਰਾਬ ਇਰਾਦਾ ਸੀ) ਡਾਊਨਲੋਡ ਉਹ ਸਾਰੇ ਇੱਕ ਸਧਾਰਨ ਸਕ੍ਰਿਪਟ ਦੇ ਨਾਲ.

ਦੇਖਣ ਲਈ ਉਪਲਬਧ ਡੇਟਾ ਵਿੱਚ ਇਹ ਸਨ: ਡਾਕਟਰ ਅਤੇ ਮਰੀਜ਼ ਦਾ ਪੂਰਾ ਨਾਮ, ਡਾਕਟਰ ਅਤੇ ਮਰੀਜ਼ ਦੀਆਂ ਜਨਮ ਮਿਤੀਆਂ, ਡਾਕਟਰ ਅਤੇ ਮਰੀਜ਼ ਦੇ ਟੈਲੀਫੋਨ ਨੰਬਰ, ਡਾਕਟਰ ਅਤੇ ਮਰੀਜ਼ ਦਾ ਲਿੰਗ, ਡਾਕਟਰ ਅਤੇ ਮਰੀਜ਼ ਦੇ ਈਮੇਲ ਪਤੇ, ਡਾਕਟਰ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ। , ਸਲਾਹ-ਮਸ਼ਵਰੇ ਦੀ ਮਿਤੀ, ਸਲਾਹ-ਮਸ਼ਵਰੇ ਦੀ ਲਾਗਤ ਅਤੇ ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ ਨਿਦਾਨ ਵੀ (ਰਿਪੋਰਟ ਦੀ ਟਿੱਪਣੀ ਵਜੋਂ)।

ਇਹ ਕਮਜ਼ੋਰੀ ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਉਸ ਨਾਲ ਮਿਲਦੀ ਜੁਲਦੀ ਹੈ ਜੋ ਸੀ ਦਸੰਬਰ 2017 ਵਿੱਚ ਖੋਜਿਆ ਗਿਆ ਮਾਈਕ੍ਰੋਫਾਈਨੈਂਸ ਸੰਸਥਾ "ਜ਼ੈਮੋਗਰਾਡ" ਦੇ ਸਰਵਰ 'ਤੇ. ਫਿਰ, ਖੋਜ ਕਰਕੇ, ਸੰਸਥਾ ਦੇ ਗਾਹਕਾਂ ਦੇ ਪੂਰੇ ਪਾਸਪੋਰਟ ਡੇਟਾ ਵਾਲੇ 36763 ਇਕਰਾਰਨਾਮੇ ਪ੍ਰਾਪਤ ਕਰਨਾ ਸੰਭਵ ਸੀ।

ਜਿਵੇਂ ਕਿ ਮੈਂ ਸ਼ੁਰੂ ਤੋਂ ਹੀ ਸੰਕੇਤ ਦਿੱਤਾ ਸੀ, ਡਾਕਟਰ ਦੇ ਨਜ਼ਦੀਕੀ ਕਰਮਚਾਰੀਆਂ ਨੇ ਅਸਲ ਪੇਸ਼ੇਵਰਤਾ ਦਿਖਾਈ ਅਤੇ ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਮੈਂ ਉਨ੍ਹਾਂ ਨੂੰ 23:00 ਵਜੇ (ਮਾਸਕੋ ਦੇ ਸਮੇਂ) ਦੀ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਸੂਚਿਤ ਕੀਤਾ, ਮੇਰੇ ਨਿੱਜੀ ਖਾਤੇ ਤੱਕ ਪਹੁੰਚ ਤੁਰੰਤ ਹਰ ਕਿਸੇ ਲਈ ਬੰਦ ਕਰ ਦਿੱਤੀ ਗਈ ਸੀ, ਅਤੇ 1 ਦੁਆਰਾ: 00 (ਮਾਸਕੋ ਸਮਾਂ) ਇਸ ਕਮਜ਼ੋਰੀ ਨੂੰ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ।

ਮੈਂ ਮਦਦ ਨਹੀਂ ਕਰ ਸਕਦਾ ਪਰ ਇੱਕ ਵਾਰ ਫਿਰ ਉਸੇ DOC+ (ਨਿਊ ਮੈਡੀਸਨ ਐਲਐਲਸੀ) ਦੇ ਪੀਆਰ ਵਿਭਾਗ ਨੂੰ ਮਾਰ ਸਕਦਾ ਹਾਂ। ਐਲਾਨ ਕਰਨਾ "ਡੇਟਾ ਦੀ ਇੱਕ ਛੋਟੀ ਜਿਹੀ ਮਾਤਰਾ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਕਰਵਾਈ ਗਈ ਸੀ", ਉਹ ਇਸ ਤੱਥ ਨੂੰ ਭੁੱਲ ਜਾਂਦੇ ਹਨ ਕਿ ਸਾਡੇ ਕੋਲ ਸਾਡੇ ਨਿਪਟਾਰੇ 'ਤੇ "ਉਦੇਸ਼ ਨਿਯੰਤਰਣ" ਡੇਟਾ ਹੈ, ਅਰਥਾਤ ਸ਼ੋਡਨ ਖੋਜ ਇੰਜਣ। ਜਿਵੇਂ ਕਿ ਉਸ ਲੇਖ ਦੀਆਂ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਸਹੀ ਢੰਗ ਨਾਲ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ - ਸ਼ੋਡਨ ਦੇ ਅਨੁਸਾਰ, DOC+ IP ਪਤੇ 'ਤੇ ਓਪਨ ਕਲਿਕਹਾਊਸ ਸਰਵਰ ਦੇ ਪਹਿਲੇ ਫਿਕਸੇਸ਼ਨ ਦੀ ਮਿਤੀ: 15.02.2019/03/08 00:17.03.2019:09, ਆਖਰੀ ਫਿਕਸੇਸ਼ਨ ਦੀ ਮਿਤੀ: 52/ 00/40 XNUMX:XNUMX:XNUMX। ਡਾਟਾਬੇਸ ਦਾ ਆਕਾਰ ਲਗਭਗ XNUMX GB ਹੈ।

ਕੁੱਲ ਮਿਲਾ ਕੇ 15 ਫਿਕਸੇਸ਼ਨ ਸਨ:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

ਬਿਆਨ ਤੋਂ ਇਹ ਪ੍ਰਤੀਤ ਹੁੰਦਾ ਹੈ ਕਿ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਇਹ ਇੱਕ ਮਹੀਨੇ ਤੋਂ ਥੋੜ੍ਹਾ ਵੱਧ ਹੈ, ਪਰ ਡਾਟਾ ਦੀ ਛੋਟੀ ਮਾਤਰਾ ਇਹ ਲਗਭਗ 40 ਗੀਗਾਬਾਈਟ ਹੈ। ਖੈਰ ਮੈਨੂੰ ਨਹੀਂ ਪਤਾ...

ਪਰ ਆਓ "ਡਾਕਟਰ ਨੇੜੇ ਹੈ" 'ਤੇ ਵਾਪਸ ਆਓ।

ਇਸ ਸਮੇਂ, ਮੇਰਾ ਪੇਸ਼ੇਵਰ ਵਿਗਾੜ ਸਿਰਫ ਇੱਕ ਬਾਕੀ ਬਚੀ ਮਾਮੂਲੀ ਸਮੱਸਿਆ ਦੁਆਰਾ ਪ੍ਰੇਸ਼ਾਨ ਹੈ - ਸਰਵਰ ਜਵਾਬ ਦੁਆਰਾ ਤੁਸੀਂ ਸਿਸਟਮ ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਦੀ ਗਿਣਤੀ ਦਾ ਪਤਾ ਲਗਾ ਸਕਦੇ ਹੋ. ਜਦੋਂ ਤੁਸੀਂ ਕਿਸੇ URL ਤੋਂ ਰਿਪੋਰਟ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋ ਜੋ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੈ (ਪਰ ਰਿਪੋਰਟ ਖੁਦ ਉਪਲਬਧ ਹੈ), ਸਰਵਰ ਵਾਪਸ ਆਉਂਦਾ ਹੈ ਐਕਸੇਸ ਡਿਨਾਇਡ, ਅਤੇ ਜਦੋਂ ਤੁਸੀਂ ਅਜਿਹੀ ਰਿਪੋਰਟ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋ ਜੋ ਮੌਜੂਦ ਨਹੀਂ ਹੈ, ਤਾਂ ਇਹ ਵਾਪਸ ਆਉਂਦੀ ਹੈ ਨਹੀਂ ਲਭਿਆ. ਸਮੇਂ ਦੇ ਨਾਲ ਸਿਸਟਮ ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਦੀ ਗਿਣਤੀ ਵਿੱਚ ਵਾਧੇ ਦੀ ਨਿਗਰਾਨੀ ਕਰਕੇ (ਹਫ਼ਤੇ ਵਿੱਚ ਇੱਕ ਵਾਰ, ਮਹੀਨੇ, ਆਦਿ), ਤੁਸੀਂ ਸੇਵਾ ਦੇ ਕੰਮ ਦੇ ਬੋਝ ਅਤੇ ਪ੍ਰਦਾਨ ਕੀਤੀਆਂ ਸੇਵਾਵਾਂ ਦੀ ਮਾਤਰਾ ਦਾ ਮੁਲਾਂਕਣ ਕਰ ਸਕਦੇ ਹੋ। ਇਹ, ਬੇਸ਼ੱਕ, ਮਰੀਜ਼ਾਂ ਅਤੇ ਡਾਕਟਰਾਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਦੀ ਉਲੰਘਣਾ ਨਹੀਂ ਕਰਦਾ, ਪਰ ਇਹ ਕੰਪਨੀ ਦੇ ਵਪਾਰਕ ਭੇਦ ਦੀ ਉਲੰਘਣਾ ਹੋ ਸਕਦਾ ਹੈ।

ਸਰੋਤ: www.habr.com