Jinsi data ya kibinafsi ya wagonjwa na madaktari inaweza kuharibiwa kwa sababu ya hifadhidata iliyo wazi ya ClickHouse

Ninaandika mengi juu ya ugunduzi wa hifadhidata zinazopatikana kwa uhuru katika karibu nchi zote za ulimwengu, lakini karibu hakuna habari kuhusu hifadhidata za Kirusi zilizoachwa kwenye kikoa cha umma. Ingawa hivi karibuni aliandika kuhusu "mkono wa Kremlin," ambao mtafiti wa Uholanzi aliogopa kugundua katika hifadhidata wazi zaidi ya 2000.

Kunaweza kuwa na maoni potofu kwamba kila kitu ni nzuri nchini Urusi na wamiliki wa miradi mikubwa ya mtandaoni ya Kirusi huchukua njia ya kuwajibika ya kuhifadhi data ya mtumiaji. Ninaharakisha kufafanua hadithi hii kwa kutumia mfano huu.

Huduma ya matibabu ya mtandaoni ya Kirusi DOC+ inaonekana iliweza kuondoka kwenye hifadhidata ya ClickHouse na kumbukumbu za ufikiaji zinapatikana kwa umma. Kwa bahati mbaya, kumbukumbu zinaonekana kwa undani sana kwamba data ya kibinafsi ya wafanyikazi, washirika na wateja wa huduma inaweza kuvuja.

Mambo ya kwanza kwanza...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

Na mimi, kama mmiliki wa kituo cha Telegraph "Uvujaji wa habari", msomaji wa kituo ambaye alitaka kuhifadhiwa jina lake litajwe aliwasiliana na kuripoti kihalisi yafuatayo:

Seva iliyofunguliwa ya ClickHouse iligunduliwa kwenye Mtandao, ambayo ni ya hati ya kampuni+. Anwani ya IP ya seva inalingana na anwani ya IP ambayo kikoa cha docplus.ru kimesanidiwa.

Kutoka Wikipedia: DOC+ (New Medicine LLC) ni kampuni ya matibabu ya Kirusi inayotoa huduma katika uwanja wa telemedicine, ikimwita daktari nyumbani, kuhifadhi na usindikaji. data ya matibabu ya kibinafsi. Kampuni hiyo ilipokea uwekezaji kutoka kwa Yandex.

Kwa kuzingatia habari iliyokusanywa, hifadhidata ya ClickHouse ilipatikana kwa uhuru, na mtu yeyote, akijua anwani ya IP, angeweza kupata data kutoka kwake. Data hii huenda ikawa kumbukumbu za ufikiaji wa huduma.

Kama unavyoona kutoka kwa picha hapo juu, pamoja na seva ya wavuti ya www.docplus.ru na seva ya ClickHouse (bandari 9000), hifadhidata ya MongoDB imening'inia wazi kwenye anwani ile ile ya IP (ambayo, inaonekana, hakuna chochote. ya kuvutia).

Kwa kadiri ninavyojua, injini ya utaftaji ya Shodan.io ilitumiwa kugundua seva ya ClickHouse (kuhusu Jinsi watafiti hugundua hifadhidata wazi Niliandika tofauti) kwa kushirikiana na hati maalum Bofya Chini, ambayo ilikagua hifadhidata iliyopatikana kwa ukosefu wa uthibitishaji na kuorodhesha majedwali yake yote. Wakati huo walionekana kuwa 474 kati yao.

Kutoka kwa nyaraka tunajua kuwa kwa chaguo-msingi, seva ya ClickHouse inasikiliza HTTP kwenye bandari 8123. Kwa hivyo, ili kuona kile kilichomo kwenye jedwali, inatosha kuendesha kitu kama swali hili la SQL:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

Kama matokeo ya kutekeleza ombi, kinachoweza kurudishwa ni kile kinachoonyeshwa kwenye picha ya skrini hapa chini:

Kutoka kwa skrini ni wazi kuwa habari kwenye uwanja VICHWA ina data kuhusu eneo (latitudo na longitudo) ya mtumiaji, anwani yake ya IP, taarifa kuhusu kifaa ambacho aliunganisha kwa huduma, toleo la OS, nk.

Ikiwa ilitokea kwa mtu kurekebisha kidogo swala la SQL, kwa mfano, kama hii:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

basi kitu sawa na data ya kibinafsi ya wafanyikazi inaweza kurejeshwa, ambayo ni: jina kamili, tarehe ya kuzaliwa, jinsia, nambari ya kitambulisho cha ushuru, usajili na anwani halisi ya mahali pa kuishi, nambari za simu, nafasi, anwani za barua pepe na mengi zaidi:

Maelezo haya yote kutoka kwenye picha ya skrini hapo juu yanafanana sana na data ya HR kutoka 1C: Enterprise 8.3.

Kuangalia kwa karibu parameter API_USER_TOKEN unaweza kufikiri kwamba hii ni ishara ya "kufanya kazi" ambayo unaweza kufanya vitendo mbalimbali kwa niaba ya mtumiaji, ikiwa ni pamoja na kupata data yake ya kibinafsi. Lakini bila shaka siwezi kusema hivi.

Kwa sasa hakuna taarifa kwamba seva ya ClickHouse bado inapatikana kwa uhuru katika anwani sawa ya IP.

Chanzo: mapenzi.com