د APNIC راجستر کونکي، د آسیا - آرام سمندر په سیمه کې د IP پتې د ویش مسؤل، د یوې پیښې راپور ورکړی چې په پایله کې یې د Whois خدمت SQL ډمپ، د محرم معلوماتو او پټنوم هشونو په ګډون، په عامه توګه شتون درلود. د یادونې وړ ده چې دا په APNIC کې د شخصي معلوماتو لومړی لیک ندی - په 2017 کې، د Whois ډیټابیس دمخه په عامه توګه چمتو شوی و، د کارمندانو نظارت له امله.
د RDAP پروتوکول لپاره د ملاتړ معرفي کولو په پروسه کې، د WHOIS پروتوکول ځای په ځای کولو لپاره ډیزاین شوی، د APNIC کارمندانو د ګوګل کلاوډ کلاوډ ذخیره کې د Whois خدمت کې کارول شوي ډیټابیس SQL ډمپ کېښود، مګر هغې ته یې لاسرسی محدود نه کړ. په ترتیباتو کې د غلطۍ له امله، د SQL ډمپ د دریو میاشتو لپاره په عامه توګه شتون درلود او دا حقیقت یوازې د جون په 4 کې څرګند شو، کله چې یو خپلواک امنیتي څیړونکي دا ولیدل او د ستونزې په اړه یې راجستر ته خبر ورکړ.
د SQL ډمپ کې "auth" ځانګړتیاوې شتون لري چې د ساتونکي او پیښې غبرګون ټیم (IRT) شیانو بدلولو لپاره د پټنوم هشونه لري، په بیله بیا د پیرودونکي ځینې حساس معلومات چې د نورمال پوښتنو په جریان کې په Whois کې نه ښودل کیږي (معمولا د کارونکي په اړه د اړیکو اضافي معلومات او یادښتونه) . د پټنوم د بیرته راګرځولو په صورت کې، برید کونکي وکولی شول د ساحو مینځپانګې په Whois کې د IP پتې بلاکونو مالکینو پیرامیټونو سره بدل کړي. مینټینر اعتراض هغه شخص تعریفوي چې د "mnt-by" خاصیت له لارې تړل شوي د ریکارډونو د یوې ډلې د تعدیل مسؤلیت لري، او IRT اعتراض د مدیرانو لپاره د اړیکو معلومات لري چې د ستونزې خبرتیاو ته ځواب ووایی. د کارول شوي پټنوم هش کولو الګوریتم په اړه معلومات ندي ورکړل شوي، مګر په 2017 کې، زاړه شوي MD5 او CRYPT-PW الګوریتمونه (د UNIX کریپټ فعالیت پراساس د هشونو سره 8-حروف پاسورډونه) د هش کولو لپاره کارول شوي.
د پیښې پیژندلو وروسته، APNIC په Whois کې د شیانو لپاره د پاسورډونو بیا تنظیم پیل کړ. د APNIC اړخ کې، د غیرقانوني کړنو هیڅ نښې نښانې ندي موندل شوي، مګر هیڅ تضمین شتون نلري چې ډاټا د برید کونکو په لاس کې نه وي، ځکه چې په ګوګل کلاوډ کې فایلونو ته د لاسرسي بشپړ لاګ شتون نلري. لکه څنګه چې د تیرې پیښې وروسته، APNIC ژمنه وکړه چې یوه پلټنه ترسره کړي او په تخنیکي پروسو کې بدلون راولي ترڅو په راتلونکي کې د ورته لیکونو مخه ونیسي.
سرچینه: opennet.ru