APNIC ਇੰਟਰਨੈਟ ਰਜਿਸਟਰਾਰ ਦੀ Whois ਸੇਵਾ ਦੇ ਪਾਸਵਰਡ ਹੈਸ਼ ਦਾ ਲੀਕ ਹੋਣਾ

ਏਪੀਐਨਆਈਸੀ ਰਜਿਸਟਰਾਰ, ਏਸ਼ੀਆ-ਪ੍ਰਸ਼ਾਂਤ ਖੇਤਰ ਵਿੱਚ IP ਪਤਿਆਂ ਦੀ ਵੰਡ ਲਈ ਜ਼ਿੰਮੇਵਾਰ, ਨੇ ਇੱਕ ਘਟਨਾ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ Whois ਸੇਵਾ ਦਾ ਇੱਕ SQL ਡੰਪ, ਗੁਪਤ ਡੇਟਾ ਅਤੇ ਪਾਸਵਰਡ ਹੈਸ਼ਾਂ ਸਮੇਤ, ਨੂੰ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਕਰਵਾਇਆ ਗਿਆ ਸੀ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ APNIC ਵਿੱਚ ਨਿੱਜੀ ਡੇਟਾ ਦਾ ਇਹ ਪਹਿਲਾ ਲੀਕ ਨਹੀਂ ਹੈ - 2017 ਵਿੱਚ, Whois ਡੇਟਾਬੇਸ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਕਰਵਾਇਆ ਗਿਆ ਸੀ, ਸਟਾਫ ਦੀ ਨਿਗਰਾਨੀ ਦੇ ਕਾਰਨ ਵੀ।

RDAP ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਸਮਰਥਨ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ, WHOIS ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਬਦਲਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ, APNIC ਕਰਮਚਾਰੀਆਂ ਨੇ Google Cloud ਕਲਾਉਡ ਸਟੋਰੇਜ ਵਿੱਚ Whois ਸੇਵਾ ਵਿੱਚ ਵਰਤੇ ਗਏ ਡੇਟਾਬੇਸ ਦਾ SQL ਡੰਪ ਰੱਖਿਆ, ਪਰ ਇਸ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਨਹੀਂ ਕੀਤਾ। ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਦੇ ਕਾਰਨ, SQL ਡੰਪ ਤਿੰਨ ਮਹੀਨਿਆਂ ਲਈ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸੀ ਅਤੇ ਇਹ ਤੱਥ ਸਿਰਫ 4 ਜੂਨ ਨੂੰ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ, ਜਦੋਂ ਇੱਕ ਸੁਤੰਤਰ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾ ਨੇ ਇਸ ਨੂੰ ਦੇਖਿਆ ਅਤੇ ਸਮੱਸਿਆ ਬਾਰੇ ਰਜਿਸਟਰਾਰ ਨੂੰ ਸੂਚਿਤ ਕੀਤਾ।

SQL ਡੰਪ ਵਿੱਚ ਮੇਨਟੇਨਰ ਅਤੇ ਇੰਸੀਡੈਂਟ ਰਿਸਪਾਂਸ ਟੀਮ (IRT) ਵਸਤੂਆਂ ਨੂੰ ਬਦਲਣ ਲਈ ਪਾਸਵਰਡ ਹੈਸ਼ਾਂ ਵਾਲੇ "auth" ਗੁਣ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਨਾਲ ਹੀ ਕੁਝ ਸੰਵੇਦਨਸ਼ੀਲ ਗਾਹਕ ਜਾਣਕਾਰੀ ਜੋ ਆਮ ਪੁੱਛਗਿੱਛਾਂ ਦੌਰਾਨ Whois ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਨਹੀਂ ਹੁੰਦੀ ਹੈ (ਆਮ ਤੌਰ 'ਤੇ ਉਪਭੋਗਤਾ ਬਾਰੇ ਵਾਧੂ ਸੰਪਰਕ ਜਾਣਕਾਰੀ ਅਤੇ ਨੋਟਸ) . ਪਾਸਵਰਡ ਰਿਕਵਰੀ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਹਮਲਾਵਰ Whois ਵਿੱਚ IP ਐਡਰੈੱਸ ਬਲਾਕਾਂ ਦੇ ਮਾਲਕਾਂ ਦੇ ਮਾਪਦੰਡਾਂ ਦੇ ਨਾਲ ਖੇਤਰਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਬਦਲਣ ਦੇ ਯੋਗ ਸਨ। ਮੇਨਟੇਨਰ ਆਬਜੈਕਟ "mnt-by" ਗੁਣ ਦੁਆਰਾ ਲਿੰਕ ਕੀਤੇ ਰਿਕਾਰਡਾਂ ਦੇ ਸਮੂਹ ਨੂੰ ਸੋਧਣ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਵਿਅਕਤੀ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ IRT ਵਸਤੂ ਵਿੱਚ ਉਹਨਾਂ ਪ੍ਰਸ਼ਾਸਕਾਂ ਲਈ ਸੰਪਰਕ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ ਜੋ ਸਮੱਸਿਆ ਦੀਆਂ ਸੂਚਨਾਵਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦੇ ਹਨ। ਵਰਤੇ ਗਏ ਪਾਸਵਰਡ ਹੈਸ਼ਿੰਗ ਐਲਗੋਰਿਦਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ 2017 ਵਿੱਚ, ਹੈਸ਼ਿੰਗ ਲਈ ਪੁਰਾਣੇ MD5 ਅਤੇ CRYPT-PW ਐਲਗੋਰਿਦਮ (UNIX ਕ੍ਰਿਪਟ ਫੰਕਸ਼ਨ 'ਤੇ ਅਧਾਰਤ ਹੈਸ਼ਾਂ ਵਾਲੇ 8-ਅੱਖਰਾਂ ਦੇ ਪਾਸਵਰਡ) ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ।

ਘਟਨਾ ਦੀ ਪਛਾਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, APNIC ਨੇ Whois ਵਿੱਚ ਵਸਤੂਆਂ ਲਈ ਪਾਸਵਰਡ ਰੀਸੈਟ ਕਰਨ ਦੀ ਸ਼ੁਰੂਆਤ ਕੀਤੀ। APNIC ਵਾਲੇ ਪਾਸੇ, ਅਜੇ ਤੱਕ ਗੈਰ-ਕਾਨੂੰਨੀ ਕਾਰਵਾਈਆਂ ਦੇ ਕੋਈ ਸੰਕੇਤ ਨਹੀਂ ਮਿਲੇ ਹਨ, ਪਰ ਇਸ ਗੱਲ ਦੀ ਕੋਈ ਗਾਰੰਟੀ ਨਹੀਂ ਹੈ ਕਿ ਡੇਟਾ ਹਮਲਾਵਰਾਂ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਨਹੀਂ ਆਇਆ, ਕਿਉਂਕਿ ਗੂਗਲ ਕਲਾਉਡ 'ਤੇ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਦਾ ਕੋਈ ਪੂਰਾ ਲੌਗ ਨਹੀਂ ਹੈ। ਜਿਵੇਂ ਕਿ ਪਿਛਲੀ ਘਟਨਾ ਤੋਂ ਬਾਅਦ, APNIC ਨੇ ਭਵਿੱਖ ਵਿੱਚ ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਲੀਕ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਆਡਿਟ ਕਰਨ ਅਤੇ ਤਕਨੀਕੀ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦਾ ਵਾਅਦਾ ਕੀਤਾ ਸੀ।

ਸਰੋਤ: opennet.ru