टेलीमेडिसिन कंपनी से डेटा रिसाव (जो हो सकता है लेकिन नहीं हुआ है)

अभी कुछ दिनों पहले, मैंने हबीर पर लिखा है कि कैसे रूसी चिकित्सा ऑनलाइन सेवा DOC + ने सार्वजनिक डोमेन को विस्तृत एक्सेस लॉग के साथ एक डेटाबेस में छोड़ने में कामयाब रहा, जिससे रोगियों और सेवा कर्मचारियों से डेटा प्राप्त करना संभव था। और यहां एक नई घटना है, जिसमें एक अन्य रूसी सेवा डॉक्टरों के साथ ऑनलाइन परामर्श के साथ रोगियों को प्रदान करती है - "डॉक्टर पास है" (www.drclinics.ru)।

मैं तुरंत लिखूंगा कि डॉक्टर के पास कर्मचारियों की पर्याप्तता के कारण, भेद्यता जल्दी थी (रात में अधिसूचना के क्षण से 2 घंटे!) समाप्त हो गया और सबसे अधिक संभावना है कि व्यक्तिगत और चिकित्सा डेटा का कोई रिसाव नहीं था। DOC + के साथ घटना के विपरीत, जहां मैं यह सुनिश्चित करने के लिए जानता हूं कि 3.5 जीबी आकार के डेटा के साथ कम से कम एक json फ़ाइल "खुली दुनिया" में गिर गई, जबकि आधिकारिक स्थिति इस तरह दिखती है: " डेटा की एक छोटी राशि अस्थायी रूप से सार्वजनिक रूप से उपलब्ध कराई गई है। जो DOC + सेवा के कर्मचारियों और उपयोगकर्ताओं के लिए नकारात्मक परिणाम नहीं ला सकता है। "

एक अनाम ग्राहक ने मुझे टेलीग्राम चैनल " इंफॉर्मेशन लीक्स " के मालिक के रूप में संपर्क किया और साइट www.drclinics.ru पर संभावित भेद्यता की सूचना दी।

भेद्यता का सार यह था कि URL को जानना और आपके खाते के तहत सिस्टम में होना, आप अन्य रोगियों के डेटा को देख सकते हैं।

डॉक्टर नियर सिस्टम में एक नया खाता पंजीकृत करने के लिए, वास्तव में, आपको केवल एक मोबाइल फोन नंबर की आवश्यकता होती है, जिसमें आपको एक पुष्टिकरण एसएमएस प्राप्त होता है, इसलिए किसी को भी आपके व्यक्तिगत खाते तक पहुंचने में कोई समस्या नहीं हो सकती थी।

उपयोगकर्ता द्वारा अपने व्यक्तिगत खाते में प्रवेश करने के बाद, वह तुरंत अपने ब्राउज़र के एड्रेस बार में URL को बदल सकता है, मरीजों के व्यक्तिगत डेटा और यहां तक ​​कि चिकित्सा निदान वाली रिपोर्ट देख सकता है।

एक महत्वपूर्ण समस्या यह थी कि यह सेवा रिपोर्ट की एंड-टू-एंड नंबरिंग का उपयोग करती है और पहले से ही इन नंबरों से यूआरएल तैयार करती है:

https://[ ]/…/…/40261/…

इसलिए, सिस्टम में रिपोर्टों की कुल संख्या (35015) और यहां तक ​​कि (यदि कोई दुर्भावनापूर्ण इरादा था) की गणना करने के लिए न्यूनतम स्वीकार्य संख्या (7911) और अधिकतम (42926 - अधिकतम) को सेट करने के लिए पर्याप्त था (यदि कोई दुर्भावनापूर्ण इरादा था) उन सभी को एक सरल स्क्रिप्ट के साथ डाउनलोड करने के लिए।

देखने के लिए उपलब्ध आंकड़ों में से थे: डॉक्टर और मरीज का नाम, डॉक्टर और मरीज के जन्म की तारीख, डॉक्टर और मरीज के फोन नंबर, डॉक्टर और मरीज का लिंग, डॉक्टर और मरीज का ईमेल पता, डॉक्टर का स्पेशलाइजेशन, परामर्श की तारीख, परामर्श की लागत और कुछ मामलों में निदान भी ( रिपोर्ट के लिए एक टिप्पणी के रूप में)।

यह भेद्यता अनिवार्य रूप से दिसंबर 2017 में माइक्रोफाइनेंस संगठन ज़िमोग्राद के सर्वर पर खोजी गई थी। तब खोज से 36763 अनुबंध प्राप्त हो सकते हैं, जिसमें संगठन के ग्राहकों का पूर्ण पासपोर्ट डेटा शामिल है।

जैसा कि मैंने शुरू से ही बताया, डॉक्टर नियर कर्मचारियों ने वास्तविक व्यावसायिकता दिखाई और इस तथ्य के बावजूद कि मैंने उन्हें 23:00 (मॉस्को समय) पर भेद्यता की सूचना दी, मेरे व्यक्तिगत खाते तक पहुंच तुरंत सभी के लिए बंद हो गई, और 1:00 बजे तक ( Msk) यह भेद्यता तय की गई है।

मैं मदद नहीं कर सकता लेकिन उसी DOC + (न्यू मेडिसिन एलएलसी) के पीआर विभाग को फिर से किक मारूंगा। यह घोषणा करते हुए कि " डेटा की एक महत्वहीन राशि अस्थायी रूप से सार्वजनिक डोमेन में बदल गई है ", वे इस तथ्य पर ध्यान नहीं देते हैं कि हमारे पास "वस्तुनिष्ठ नियंत्रण" अर्थात शोडान खोज इंजन का डेटा है। जैसा कि शोडान के अनुसार, उस लेख की टिप्पणियों में सही ढंग से उल्लेख किया गया है, DOC + IP पते पर खुले ClickHouse सर्वर की पहली प्रतिबद्ध की तारीख: 02.15.2019 03:08:00, अंतिम प्रतिबद्ध की तारीख: 03/17/2015 09:52:00। डेटाबेस का आकार लगभग 40 जीबी है।

और कुल 15 निर्धारण थे:

 15.02.2019 03:08:00 16.02.2019 07:29:00 24.02.2019 02:03:00 24.02.2019 02:50:00 25.02.2019 20:39:00 27.02.2019 07:37:00 02.03.2019 14:08:00 06.03.2019 22:30:00 08.03.2019 00:23:00 08.03.2019 14:07:00 09.03.2019 05:27:00 09.03.2019 22:08:00 13.03.2019 03:58:00 15.03.2019 08:45:00 17.03.2019 09:52:00 

बयान से, यह पता चला है कि अस्थायी रूप से यह एक महीने से थोड़ा अधिक है, और डेटा की एक छोटी राशि लगभग 40 गीगाबाइट है। खैर, मुझे नहीं पता ...

लेकिन वापस "डॉक्टर पास है।"

फिलहाल, मेरी पेशेवर व्यामोह केवल एक छोटी सी छोटी समस्या से ग्रस्त है - सर्वर की प्रतिक्रिया से आप सिस्टम में रिपोर्ट की संख्या का पता लगा सकते हैं। जब आप किसी ऐसे URL की रिपोर्ट प्राप्त करने का प्रयास करते हैं जिसे आपने एक्सेस नहीं किया है (लेकिन रिपोर्ट वहीं है), तो सर्वर ACCESS_DENIED लौटाता है, और जब आप वहां ऐसी रिपोर्ट प्राप्त करने का प्रयास करते हैं, तो NOT_FENUND वापस आ जाता है। समय के साथ प्रणाली में रिपोर्ट की संख्या में वृद्धि (सप्ताह में एक बार, एक महीने, आदि) की निगरानी करके, आप सेवा के भार और प्रदान की गई सेवाओं की मात्रा का मूल्यांकन कर सकते हैं। यह निश्चित रूप से रोगियों और डॉक्टरों के व्यक्तिगत डेटा का उल्लंघन नहीं करता है, लेकिन यह कंपनी के व्यापार रहस्यों का उल्लंघन हो सकता है।