APNIC பதிவாளர், ஆசிய-பசிபிக் பிராந்தியத்தில் IP முகவரிகளின் விநியோகத்திற்குப் பொறுப்பானவர், இரகசியத் தரவு மற்றும் கடவுச்சொல் ஹாஷ்கள் உட்பட ஹூயிஸ் சேவையின் SQL டம்ப் பொதுவில் கிடைக்கச் செய்ததன் விளைவாக ஒரு சம்பவத்தைப் புகாரளித்தார். APNIC இல் தனிப்பட்ட தரவு கசிந்தது இது முதல் இல்லை என்பது குறிப்பிடத்தக்கது - 2017 இல், ஹூயிஸ் தரவுத்தளம் ஏற்கனவே பொதுவில் கிடைக்கப்பெற்றது, மேலும் ஊழியர்களின் மேற்பார்வை காரணமாகவும்.
WHOIS நெறிமுறைக்கு மாற்றாக வடிவமைக்கப்பட்ட RDAP நெறிமுறைக்கான ஆதரவை அறிமுகப்படுத்தும் செயல்பாட்டில், APNIC ஊழியர்கள் ஹூயிஸ் சேவையில் பயன்படுத்தப்படும் தரவுத்தளத்தின் SQL டம்ப்பை Google Cloud cloud storage இல் வைத்தனர், ஆனால் அதற்கான அணுகலைக் கட்டுப்படுத்தவில்லை. அமைப்புகளில் ஏற்பட்ட பிழை காரணமாக, SQL டம்ப் மூன்று மாதங்களுக்கு பொதுவில் கிடைத்தது, இந்த உண்மை ஜூன் 4 அன்று மட்டுமே தெரியவந்தது, சுயாதீன பாதுகாப்பு ஆராய்ச்சியாளர்களில் ஒருவர் இதைக் கவனித்து, சிக்கலைப் பற்றி பதிவாளருக்கு அறிவித்தார்.
SQL டம்ப், Maintainer மற்றும் Incident Response Team (IRT) ஆப்ஜெக்ட்களை மாற்றுவதற்கான பாஸ்வேர்டு ஹாஷ்களைக் கொண்ட "auth" பண்புக்கூறுகளையும், சாதாரண வினவல்களின் போது Whois இல் காட்டப்படாத சில முக்கியமான வாடிக்கையாளர் தகவல்களையும் கொண்டுள்ளது (பொதுவாக கூடுதல் தொடர்புத் தகவல் மற்றும் பயனர் பற்றிய குறிப்புகள்) . கடவுச்சொல் மீட்டெடுப்பின் விஷயத்தில், ஹூயிஸில் உள்ள ஐபி முகவரித் தொகுதிகளின் உரிமையாளர்களின் அளவுருக்கள் மூலம் புலங்களின் உள்ளடக்கங்களை தாக்குபவர்களால் மாற்ற முடிந்தது. "mnt-by" பண்புக்கூறு மூலம் இணைக்கப்பட்ட பதிவுகளின் குழுவை மாற்றியமைக்கப் பொறுப்பான நபரை Maintainer object வரையறுக்கிறது, மேலும் IRT பொருளில் சிக்கல் அறிவிப்புகளுக்கு பதிலளிக்கும் நிர்வாகிகளுக்கான தொடர்புத் தகவல் உள்ளது. பயன்படுத்தப்படும் கடவுச்சொல் ஹாஷிங் அல்காரிதம் பற்றிய தகவல் வழங்கப்படவில்லை, ஆனால் 2017 இல், காலாவதியான MD5 மற்றும் CRYPT-PW அல்காரிதம்கள் (UNIX கிரிப்ட் செயல்பாட்டின் அடிப்படையில் ஹாஷ்களைக் கொண்ட 8-எழுத்துக்கள் கொண்ட கடவுச்சொற்கள்) ஹாஷிங்கிற்குப் பயன்படுத்தப்பட்டன.
சம்பவத்தை அடையாளம் கண்ட பிறகு, ஹூயிஸில் உள்ள பொருட்களுக்கான கடவுச்சொற்களை மீட்டமைக்க APNIC தொடங்கியது. APNIC பக்கத்தில், சட்டவிரோத செயல்களின் அறிகுறிகள் எதுவும் இதுவரை கண்டறியப்படவில்லை, ஆனால் Google Cloud இல் கோப்புகளை அணுகுவதற்கான முழுமையான பதிவுகள் இல்லாததால், தரவு தாக்குபவர்களின் கைகளில் சிக்கவில்லை என்பதற்கு எந்த உத்தரவாதமும் இல்லை. முந்தைய சம்பவத்திற்குப் பிறகு, APNIC ஒரு தணிக்கையை நடத்துவதாகவும், எதிர்காலத்தில் இதுபோன்ற கசிவுகளைத் தடுக்க தொழில்நுட்ப செயல்முறைகளில் மாற்றங்களைச் செய்வதாகவும் உறுதியளித்தது.
ஆதாரம்: opennet.ru