खुले क्लिकहाउस डेटाबेस (अद्यतन) के कारण मरीजों और डॉक्टरों का व्यक्तिगत डेटा कैसे प्रभावित हो सकता है

मैं दुनिया के लगभग सभी देशों में स्वतंत्र रूप से सुलभ डेटाबेस की खोज के बारे में बहुत कुछ लिखता हूं, लेकिन सार्वजनिक डोमेन में रूसी डेटाबेस के बारे में लगभग कोई खबर नहीं है। हालाँकि उन्होंने हाल ही में "क्रेमलिन आर्म" के बारे में लिखा था , जिसे डच शोधकर्ता ने 2,000 से अधिक खुले डेटाबेसों में भय के साथ खोजा था।

एक गलत धारणा हो सकती है कि रूस में सब कुछ अद्भुत है और बड़े रूसी ऑनलाइन परियोजनाओं के मालिक उपयोगकर्ता डेटा को जिम्मेदारी से संग्रहीत करने के लिए जिम्मेदार हैं। मैं इस उदाहरण पर इस मिथक को खत्म करने की जल्दबाजी करता हूं।

जाहिर है, रूसी चिकित्सा ऑनलाइन सेवा DOC + सार्वजनिक डोमेन में प्रवेश लॉग के साथ ClickHouse डेटाबेस को छोड़ने में कामयाब रही। दुर्भाग्य से, लॉग इतने विस्तृत दिखाई देते हैं कि कर्मचारियों, भागीदारों और सेवा के ग्राहकों के व्यक्तिगत डेटा को संभावित रिसाव के संपर्क में लाया जा सकता है।

पहले बातें पहले ...

: . . , .

मेरे साथ, टेलीग्राम चैनल " इंफॉर्मेशन लीक्स " के मालिक के साथ, एक चैनल रीडर ने मुझसे संपर्क किया, जो गुमनाम रहने की कामना करता है और वस्तुतः निम्नलिखित की रिपोर्ट करता है:

एक खुला ClickHouse सर्वर इंटरनेट पर खोजा गया था, जो doc + का है। सर्वर का IP पता IP पते से मेल खाता है जो docplus.ru डोमेन पर कॉन्फ़िगर किया गया है।

विकिपीडिया से: DOC + (न्यू मेडिसिन एलएलसी) एक रूसी चिकित्सा कंपनी है जो टेलीमेडिसिन के क्षेत्र में सेवाएं प्रदान करती है, घर पर एक डॉक्टर को बुलाती है, व्यक्तिगत चिकित्सा डेटा को संग्रहीत और प्रसंस्करण करती है। कंपनी ने यैंडेक्स से निवेश प्राप्त किया।

एकत्र की गई जानकारी को देखते हुए, ClickHouse डेटाबेस वास्तव में स्वतंत्र रूप से उपलब्ध था, और आईपी पते को जानने वाला कोई भी व्यक्ति इससे डेटा प्राप्त कर सकता था। माना जाता है कि यह डेटा सर्विस एक्सेस लॉग्स था।

जैसा कि ऊपर चित्र से देखा जा सकता है, वेब सर्वर www.docplus.ru और ClickHouse सर्वर (पोर्ट 9000) के अलावा, MongoDB डेटाबेस (जो कुछ भी दिलचस्प नहीं लगता है) एक ही आईपी पते पर लटका हुआ है।

जहां तक ​​मुझे पता है, Shodan.io सर्च इंजन का उपयोग ClickHouse सर्वर का पता लगाने के लिए किया गया था (मैंने अलग से लिखा है कि शोधकर्ताओं ने ओपन डेटाबेस की खोज कैसे की जाती है ) एक विशेष ClickDown स्क्रिप्ट के साथ संयोजन में पाया जो प्रमाणीकरण की कमी के लिए पाया गया डेटाबेस की जाँच की और सभी तालिकाओं को सूचीबद्ध किया। उस समय, उनमें से 474 लग रहे थे।

दस्तावेज़ीकरण से यह ज्ञात है कि डिफ़ॉल्ट रूप से, क्लिकहाउस सर्वर HTTP के लिए पोर्ट 8123 पर सुनता है। इसलिए, यह देखने के लिए कि तालिकाओं में क्या निहित है, यह SQL क्वेरी जैसी किसी चीज़ को निष्पादित करने के लिए पर्याप्त है:

 http://[IP-]:8123?query=SELECT * FROM [ ] 

क्वेरी के परिणामस्वरूप, यह संभवतया नीचे दिए गए स्क्रीनशॉट में दर्शाया गया है:

स्क्रीनशॉट से यह स्पष्ट है कि HEADERS फ़ील्ड की जानकारी में उपयोगकर्ता के उपयोगकर्ता के स्थान (अक्षांश और देशांतर) पर डेटा, उसका आईपी पता, उस डिवाइस के बारे में जानकारी है जिससे वह सेवा से जुड़ा है, ओएस संस्करण, आदि।

यदि यह किसी को SQL क्वेरी को थोड़ा संशोधित करने के लिए हुआ है, उदाहरण के लिए, इस तरह:

 http://[IP-]:8123?query=SELECT * FROM [ ] WHERE REQUEST LIKE '%25Profiles%25' 

यह कर्मचारियों के व्यक्तिगत डेटा के समान कुछ नाम दे सकता है: नाम, जन्म तिथि, लिंग, टिन, पंजीकरण का पता और निवास स्थान, फोन नंबर, स्थिति, ईमेल पते और बहुत कुछ।

ऊपर दिए गए स्क्रीनशॉट से यह सभी जानकारी 1 सी: एंटरप्राइज 8.3 से कार्मिक विभाग के डेटा के समान है।

API_USER_TOKEN पैरामीटर को देखने के बाद, आप सोच सकते हैं कि यह एक "कार्यशील" टोकन है जिसके साथ आप उपयोगकर्ता की ओर से विभिन्न कार्य कर सकते हैं - जिसमें उसका व्यक्तिगत डेटा प्राप्त करना भी शामिल है। लेकिन निश्चित रूप से मैं यह नहीं कह सकता।

फिलहाल, ऐसी कोई जानकारी नहीं है कि ClickHouse सर्वर अभी भी समान IP पते पर आसानी से उपलब्ध है।

न्यू मेडिसिन एलएलसी ने घटना पर एक आधिकारिक बयान जारी किया है। बयान में कई पत्र हैं, संक्षेप में संक्षेप में कहा गया है: “मामूली रिसाव। मानवीय कारक। 1% से कम है। परीक्षण वातावरण (मुख्य आईपी पर!) ”। मैं पूरा कथन पढ़ने में बहुत आलसी नहीं हूँ:

कंपनी न्यू मेडिसिन एलएलसी (डीओसी +) व्यक्तिगत डेटा का ऑपरेटर है, और इसलिए कानून द्वारा आवश्यक सभी सुरक्षा उपाय करता है। कंपनी ने आधुनिक सुरक्षा उपकरण पेश किए हैं जो एफएसबी और एफएसटीईसी द्वारा आवश्यक प्रमाणन प्रक्रियाओं को पारित कर चुके हैं। सूचना प्रणाली की सुरक्षा की स्थिति में प्रबंधन और नियंत्रण की आंतरिक प्रक्रियाओं का निर्माण किया जाता है जिसमें व्यक्तिगत डेटा को संसाधित किया जाता है। व्यक्तिगत डेटा की सुरक्षा और प्रसंस्करण के लिए नीति हमारी वेबसाइट पर अध्ययन के लिए उपलब्ध है।

DOC + क्लाइंट उत्पादों में सुधार की कार्यक्षमता को डीबग करने के लिए ClickHouse सेवा का उपयोग करता है। ClickHouse एक परीक्षण और उत्पादन वातावरण से डेटा लोड करता है। ClickHouse सेवा कंपनी के सर्वरों पर काम करती है, जिस तक पहुंच कड़ाई से विनियमित और सीमित है। पब्लिक डोमेन में ClickHouse से डेटा की उपस्थिति मानव कारक से संबंधित त्रुटि के कारण थी। भेद्यता के प्रकाशन के तुरंत बाद डेटा तक पहुंच तुरंत बंद कर दिया गया था। कंपनी नियमित रूप से व्यक्तिगत डेटा सुरक्षा प्रणाली में कमजोरियों का विश्लेषण करती है, और इस त्रुटि का निश्चित रूप से पता लगाया गया है और निश्चित किया जाएगा। दुर्भाग्य से, हमारे पास ऐसा करने का समय नहीं था जब तक कि अन्य विशेषज्ञों ने त्रुटि की खोज नहीं की।

डेटा की एक महत्वहीन राशि अस्थायी रूप से सार्वजनिक रूप से उपलब्ध कराई गई थी, जो DOC + सेवा के कर्मचारियों और उपयोगकर्ताओं के लिए नकारात्मक परिणाम नहीं ला सकती है। घटना के समय, ClickHouse में मुख्य रूप से परीक्षण वातावरण से डेटा था। ग्राहकों के सार्वजनिक डेटा जो सार्वजनिक डोमेन में हैं, गुमनाम हैं; व्यक्तिगत डेटा के विषय को केवल उनके द्वारा पहचाना जा सकता है जब संपूर्ण डेटाबेस प्राप्त हुआ था। डेटाबेस तक पहुँचने और हमारे सर्वर से बाहर जाने वाले ट्रैफ़िक के इतिहास का विश्लेषण बताता है कि रिसाव सभी सूचनाओं का 1% प्रभावित कर सकता है।

घटना का तथ्य आंतरिक कार्यवाही है। हम विकास कर रहे हैं और पहले से ही डेटा सुरक्षा को और कड़ा करने के लिए अतिरिक्त उपायों को लागू करना शुरू कर चुके हैं। हमें इस घटना पर पछतावा है, लेकिन एक बार फिर हमारे ग्राहकों के लिए नकारात्मक परिणामों की अनुपस्थिति पर जोर दिया गया है। आपकी सुरक्षा और गोपनीयता कंपनी के पहले दिनों से संपूर्ण DOC + टीम की प्राथमिकता है।