کليل ڪلڪ هائوس ڊيٽابيس جي ڪري مريضن ۽ ڊاڪٽرن جي ذاتي ڊيٽا ڪيئن خراب ٿي سگهي ٿي

مان دنيا جي تقريبن سڀني ملڪن ۾ آزاد طور تي رسائي لائق ڊيٽابيس جي دريافت بابت گهڻو ڪجهه لکندو آهيان، پر عوامي ڊومين ۾ ڇڏيل روسي ڊيٽابيس بابت تقريبا ڪا به خبر ناهي. جيتوڻيڪ تازو لکيو "ڪرملين جي هٿ" بابت، جنهن کي ڊچ محقق 2000 کان وڌيڪ کليل ڊيٽابيس ۾ دريافت ڪرڻ کان خوفزده ڪيو ويو.

اتي هڪ غلط فڪر ٿي سگھي ٿو ته روس ۾ سڀ ڪجهه عظيم آهي ۽ وڏي روسي آن لائين منصوبن جا مالڪ صارف جي ڊيٽا کي محفوظ ڪرڻ لاء ذميوار طريقي سان وٺن ٿا. مون هن مثال کي استعمال ڪندي هن افساني کي ختم ڪرڻ ۾ جلدي ڪئي.

روسي آن لائن ميڊيڪل سروس DOC+ ظاهري طور تي ڪلڪ هاؤس ڊيٽابيس کي عوامي طور تي دستياب لاگن سان گڏ ڇڏڻ جو انتظام ڪيو. بدقسمتي سان، لاگز تمام تفصيلي نظر اچن ٿا ته ملازمن، ڀائيوارن ۽ خدمت جي گراهڪن جي ذاتي ڊيٽا ليڪ ٿي سگهي ٿي.

پهرين شيون پهرين ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

مون سان گڏ، ٽيليگرام چينل جي مالڪ جي حيثيت سان "معلومات لڪي"، هڪ چينل پڙهندڙ جيڪو گمنام رهڻ چاهيندو هو رابطي ۾ آيو ۽ لفظي طور هيٺ ڏنل رپورٽ ڪيو:

انٽرنيٽ تي هڪ کليل ClickHouse سرور دريافت ڪيو ويو، جيڪو ڪمپني doc+ سان تعلق رکي ٿو. سرور جو IP پتو IP پتي سان ملندو آهي جنهن تي docplus.ru ڊومين ترتيب ڏنل آهي.

وڪيپيڊيا تان: DOC+ (New Medicine LLC) هڪ روسي طبي ڪمپني آهي جيڪا ٽيلي ميڊيسن جي شعبي ۾ خدمتون مهيا ڪري ٿي، گهر ۾ ڊاڪٽر کي فون ڪري، اسٽوريج ۽ پروسيسنگ ڪري ٿي. ذاتي طبي ڊيٽا. ڪمپني Yandex کان سيڙپڪاري حاصل ڪئي.

گڏ ڪيل معلومات جي مطابق، ڪلڪ هائوس ڊيٽابيس واقعي آزاد طور تي رسائي لائق هو، ۽ ڪو به، IP پتي کي ڄاڻڻ، ان مان ڊيٽا حاصل ڪري سگهي ٿو. هي ڊيٽا ممڪن طور تي خدمت جي رسائي جي لاگن مان نڪرندي آهي.

جيئن توهان مٿي ڏنل تصوير مان ڏسي سگهو ٿا، www.docplus.ru ويب سرور ۽ ClickHouse سرور (port 9000) کان علاوه، MongoDB ڊيٽابيس ساڳئي IP پتي تي کليل آهي (جنهن ۾، ظاهري طور تي، ڪجهه به ناهي. دلچسپ).

جيتري قدر مون کي خبر آهي، Shodan.io سرچ انجڻ استعمال ڪيو ويو ClickHouse سرور کي دريافت ڪرڻ لاءِ (اٽڪل ڪئين محقق کليل ڊيٽابيس کي ڳوليندا آهن مون الڳ الڳ لکيو آهي) هڪ خاص اسڪرپٽ سان گڏ ڪلڪ ڊائون، جنهن تصديق جي کوٽ لاءِ مليل ڊيٽابيس کي چيڪ ڪيو ۽ ان جي سڀني جدولن کي درج ڪيو. ان وقت انهن مان 474 لڳي رهيا هئا.

دستاويزن مان اسان ڄاڻون ٿا ته ڊفالٽ طور، ڪلڪ هائوس سرور HTTP کي بندرگاهن 8123 تي ٻڌي ٿو. تنهن ڪري، ڏسڻ لاء ڇا آهي ٽيبل ۾ شامل آهي، اهو ڪافي آهي هلائڻ لاء ڪجهه هن SQL سوال وانگر:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

درخواست تي عمل ڪرڻ جي نتيجي ۾، شايد واپس ٿي سگھي ٿو جيڪو ھيٺ ڏنل اسڪرين شاٽ ۾ اشارو ڪيو ويو آھي:

اسڪرين شاٽ مان اهو واضح ٿئي ٿو ته فيلڊ ۾ معلومات هيڊرز صارف جي جڳھ (ويڪرائي ڦاڪ ۽ ڊگھائي) بابت ڊيٽا تي مشتمل آھي، سندس IP پتي، ڊوائيس بابت معلومات جنھن کان ھو سروس سان ڳنڍيل آھي، او ايس ورزن وغيره.

جيڪڏهن اهو ڪنهن سان ٿئي ٿو ته SQL سوال کي ٿورو تبديل ڪرڻ لاء، مثال طور، هن وانگر:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

پوءِ ملازمن جي ذاتي ڊيٽا سان ملندڙ شيءِ واپس ٿي سگهي ٿي، يعني: پورو نالو، ڄمڻ جي تاريخ، جنس، ٽيڪس شناختي نمبر، رجسٽريشن ۽ اصل جاءِ جا پتا، ٽيليفون نمبر، پوزيشنون، اي ميل ايڊريس ۽ گهڻو ڪجهه:

مٿي ڏنل اسڪرين شاٽ مان هي سڀ معلومات 1C: Enterprise 8.3 کان HR ڊيٽا سان تمام گهڻي ملندڙ جلندڙ آهي.

پيٽرول تي هڪ ويجهي نظر وٺو API_USER_TOKEN توهان شايد اهو سوچيو ته اهو هڪ "ڪم ڪندڙ" ٽوڪن آهي جنهن سان توهان صارف جي طرفان مختلف ڪارناما انجام ڏئي سگهو ٿا، بشمول سندس ذاتي ڊيٽا حاصل ڪرڻ. پر يقينن مان اهو نٿو چئي سگهان.

هن وقت ڪا به ڄاڻ نه آهي ته ڪلڪ هاؤس سرور اڃا تائين ساڳئي IP پتي تي آزاديء سان دستياب آهي.

جو ذريعو: www.habr.com