O registrador APNIC, responsável pela distribuição de endereços IP na região Ásia-Pacífico, informou sobre um incidente que resultou na exposição de um dump SQL do serviço Whois, incluindo dados confidenciais e hashes de senhas. É notável que esta não é a primeira violação de dados pessoais no APNIC — em 2017, o banco de dados Whois já havia sido exposto publicamente, também devido à negligência da equipe.
Durante a implementação do suporte ao protocolo RDAP, destinado a substituir o protocolo WHOIS, os funcionários da APNIC armazenaram um dump SQL do banco de dados usado no serviço Whois em um armazenamento em nuvem do Google Cloud, mas não restringiram o acesso a ele. Devido a um erro nas configurações, o dump SQL ficou acessível publicamente por três meses, e esse fato foi descoberto apenas em 4 de junho, quando um dos pesquisadores independentes de segurança chamou a atenção para isso e notificou o registrador sobre o problema.
O dump SQL continha os atributos «auth», que continham hashes de senhas para a modificação de objetos Maintainer e Incident Response Team (IRT), além de algumas informações confidenciais sobre clientes que não aparecem no Whois em consultas normais (geralmente, esses são dados de contato adicionais e notas sobre o usuário). Em caso de recuperação de senhas, os atacantes poderiam alterar o conteúdo dos campos com parâmetros de proprietários de blocos endereços IP no Whois. O objeto Maintainer define a pessoa responsável pela modificação do grupo de registros relacionados através do atributo «mnt-by», enquanto o objeto IRT contém os dados de contato dos administradores responsáveis por responder às notificações sobre problemas. As informações sobre o algoritmo utilizado para a hash de senhas não são fornecidas, mas em 2017 foram utilizados algoritmos desatualizados como MD5 e CRYPT-PW (senhas de 8 caracteres com hashes baseados na função UNIX crypt).
Após a descoberta do incidente, o APNIC iniciou o reset de senhas para os objetos no Whois. Do lado do APNIC, ainda não foram encontrados sinais de ações ilegítimas, mas não há garantias de que os dados não tenham caído nas mãos de criminosos, pois não há logs de acesso completos aos arquivos no Google Cloud. Assim como após o último incidente, o APNIC prometeu realizar uma auditoria e fazer mudanças nos processos tecnológicos para evitar vazamentos semelhantes no futuro.
Fonte: opennet.ru
