ਬਾਇਓਮੈਟ੍ਰਿਕ ਪਛਾਣ ਪਲੇਟਫਾਰਮ ਬਾਇਓਸਟਾਰ 28 ਵਿੱਚ ਵਰਤੇ ਗਏ 2 ਮਿਲੀਅਨ ਰਿਕਾਰਡਾਂ ਦਾ ਲੀਕ

vpnMentor ਤੋਂ ਖੋਜਕਰਤਾ ਪ੍ਰਗਟ ਕੀਤਾ ਡੇਟਾਬੇਸ ਤੱਕ ਖੁੱਲ੍ਹੀ ਪਹੁੰਚ ਦੀ ਸੰਭਾਵਨਾ, ਜਿਸ ਵਿੱਚ ਬਾਇਓਮੀਟ੍ਰਿਕ ਪਹੁੰਚ ਨਿਯੰਤਰਣ ਪ੍ਰਣਾਲੀ ਦੇ ਸੰਚਾਲਨ ਨਾਲ ਸਬੰਧਤ 27.8 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਰਿਕਾਰਡ (23 GB ਡੇਟਾ) ਸਟੋਰ ਕੀਤੇ ਗਏ ਹਨ। ਬਾਇਓਸਟਾਰ 2, ਜਿਸਦੀ ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਲਗਭਗ 1.5 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਹਨ ਅਤੇ AEOS ਪਲੇਟਫਾਰਮ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ 5700 ਦੇਸ਼ਾਂ ਵਿੱਚ 83 ਤੋਂ ਵੱਧ ਸੰਸਥਾਵਾਂ ਦੁਆਰਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਵੱਡੀਆਂ ਕਾਰਪੋਰੇਸ਼ਨਾਂ ਅਤੇ ਬੈਂਕਾਂ ਦੇ ਨਾਲ-ਨਾਲ ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਅਤੇ ਪੁਲਿਸ ਸਟੇਸ਼ਨ ਸ਼ਾਮਲ ਹਨ। ਲੀਕ Elasticsearch ਸਟੋਰੇਜ਼ ਦੀ ਇੱਕ ਗਲਤ ਸੰਰਚਨਾ ਦੇ ਕਾਰਨ ਹੋਈ ਸੀ, ਜੋ ਕਿ ਹਰ ਕਿਸੇ ਦੁਆਰਾ ਪੜ੍ਹਨਯੋਗ ਸੀ।

ਲੀਕ ਇਸ ਤੱਥ ਦੁਆਰਾ ਵਧ ਗਈ ਹੈ ਕਿ ਜ਼ਿਆਦਾਤਰ ਡੇਟਾਬੇਸ ਐਨਕ੍ਰਿਪਟਡ ਨਹੀਂ ਸੀ ਅਤੇ, ਨਿੱਜੀ ਡੇਟਾ (ਨਾਮ, ਫੋਨ, ਈਮੇਲ, ਘਰ ਦਾ ਪਤਾ, ਸਥਿਤੀ, ਰੁਜ਼ਗਾਰ ਦਾ ਸਮਾਂ, ਆਦਿ) ਤੋਂ ਇਲਾਵਾ, ਸਿਸਟਮ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਐਕਸੈਸ ਲੌਗ, ਓਪਨ ਪਾਸਵਰਡ (ਬਿਨਾਂ ਹੈਸ਼ਿੰਗ) ਅਤੇ ਬਾਇਓਮੀਟ੍ਰਿਕ ਉਪਭੋਗਤਾ ਦੀ ਪਛਾਣ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਚਿਹਰਿਆਂ ਦੀਆਂ ਤਸਵੀਰਾਂ ਅਤੇ ਫਿੰਗਰਪ੍ਰਿੰਟਸ ਸਮੇਤ ਮੋਬਾਈਲ ਡਿਵਾਈਸ ਡੇਟਾ।

ਕੁੱਲ ਮਿਲਾ ਕੇ, ਡੇਟਾਬੇਸ ਵਿੱਚ ਖਾਸ ਲੋਕਾਂ ਨਾਲ ਜੁੜੇ ਇੱਕ ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਅਸਲ ਫਿੰਗਰਪ੍ਰਿੰਟ ਸਕੈਨ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। ਖੁੱਲ੍ਹੇ ਫਿੰਗਰਪ੍ਰਿੰਟਸ ਦੀ ਮੌਜੂਦਗੀ ਜਿਸ ਨੂੰ ਬਦਲਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ, ਹਮਲਾਵਰਾਂ ਲਈ ਇੱਕ ਟੈਂਪਲੇਟ ਦੇ ਅਨੁਸਾਰ ਇੱਕ ਫਿੰਗਰਪ੍ਰਿੰਟ ਬਣਾਉਣਾ ਅਤੇ ਇਸਨੂੰ ਐਕਸੈਸ ਕੰਟਰੋਲ ਸਿਸਟਮ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਜਾਂ ਗਲਤ ਨਿਸ਼ਾਨ ਛੱਡਣ ਲਈ ਵਰਤਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ। ਪਾਸਵਰਡਾਂ ਦੀ ਗੁਣਵੱਤਾ ਵੱਲ ਵੱਖਰਾ ਧਿਆਨ ਖਿੱਚਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ "ਪਾਸਵਰਡ" ਅਤੇ "abcd1234" ਵਰਗੇ ਬਹੁਤ ਸਾਰੇ ਮਾਮੂਲੀ ਹਨ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕਿਉਂਕਿ ਡੇਟਾਬੇਸ ਵਿੱਚ BioStar 2 ਪ੍ਰਸ਼ਾਸਕਾਂ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਵੀ ਸ਼ਾਮਲ ਹਨ, ਹਮਲੇ ਦੀ ਸਥਿਤੀ ਵਿੱਚ, ਹਮਲਾਵਰ ਸਿਸਟਮ ਦੇ ਵੈਬ ਇੰਟਰਫੇਸ ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਰਿਕਾਰਡਾਂ ਨੂੰ ਜੋੜਨ, ਸੰਪਾਦਿਤ ਕਰਨ ਅਤੇ ਮਿਟਾਉਣ ਲਈ ਇਸਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਉਹ ਭੌਤਿਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਫਿੰਗਰਪ੍ਰਿੰਟ ਡੇਟਾ ਨੂੰ ਬਦਲ ਸਕਦੇ ਹਨ, ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਨੂੰ ਬਦਲ ਸਕਦੇ ਹਨ, ਅਤੇ ਲੌਗਸ ਤੋਂ ਪ੍ਰਵੇਸ਼ ਦੇ ਨਿਸ਼ਾਨ ਹਟਾ ਸਕਦੇ ਹਨ।

ਧਿਆਨਯੋਗ ਹੈ ਕਿ ਸਮੱਸਿਆ ਦੀ ਪਛਾਣ 5 ਅਗਸਤ ਨੂੰ ਕੀਤੀ ਗਈ ਸੀ, ਪਰ ਫਿਰ ਬਾਇਓਸਟਾਰ 2 ਦੇ ਨਿਰਮਾਤਾਵਾਂ ਨੂੰ ਜਾਣਕਾਰੀ ਦੇਣ ਲਈ ਕਈ ਦਿਨ ਬਿਤਾਏ ਗਏ, ਜੋ ਖੋਜਕਰਤਾਵਾਂ ਦੀ ਗੱਲ ਨਹੀਂ ਸੁਣਨਾ ਚਾਹੁੰਦੇ ਸਨ। ਆਖ਼ਰਕਾਰ 7 ਅਗਸਤ ਨੂੰ ਇਸ ਦੀ ਜਾਣਕਾਰੀ ਕੰਪਨੀ ਨੂੰ ਦਿੱਤੀ ਗਈ ਪਰ 13 ਅਗਸਤ ਨੂੰ ਹੀ ਸਮੱਸਿਆ ਹੱਲ ਹੋ ਗਈ। ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਨੈਟਵਰਕ ਨੂੰ ਸਕੈਨ ਕਰਨ ਅਤੇ ਉਪਲਬਧ ਵੈਬ ਸੇਵਾਵਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰੋਜੈਕਟ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਡੇਟਾਬੇਸ ਦੀ ਪਛਾਣ ਕੀਤੀ। ਇਹ ਪਤਾ ਨਹੀਂ ਹੈ ਕਿ ਡੇਟਾਬੇਸ ਜਨਤਕ ਡੋਮੇਨ ਵਿੱਚ ਕਿੰਨਾ ਸਮਾਂ ਰਿਹਾ ਅਤੇ ਕੀ ਹਮਲਾਵਰਾਂ ਨੂੰ ਇਸਦੀ ਮੌਜੂਦਗੀ ਬਾਰੇ ਪਤਾ ਸੀ।

ਸਰੋਤ: opennet.ru