Утечка 28 млн записей, используемых в платформе биометрической идентификации BioStar 2
15 августа 2019 года
Исследователи из компании vpnMentor выявили возможность открытого доступа к БД, в которой хранилось более 27.8 млн записей (23 Гб данных), связанных с работой системы биометрического контроля доступа Biostar 2, которая насчитывает около 1.5 млн установок по всему миру и интегрирована в платформу AEOS, применяемую более чем 5700 организациями в 83 странах, включая как крупные корпорации и банки, так и правительственные учреждения и полицейские участки. Утечка вызвана некорректной настройкой хранилища Elasticsearch, которое оказалось доступно на чтение всем желающим.
Утечку усугубляет то, что большая часть БД не была зашифрована и, помимо персональных данных (ФИО, телефон, email, домашний адрес, должность, время приёма на работу и т.п.), лога доступа пользователей системы, открытых паролей (без хэширования) и данных о мобильных устройствах, включала фотографии лиц и снимки отпечатков пальцев, используемые для биометрической идентификации пользователя.
Всего в БД выявлено более миллиона исходных сканов отпечатков пальцев, связанных с конкретными людьми. Наличие открытых снимков отпечатков пальцев, которые невозможно поменять, даёт возможность злоумышленникам подделать отпечаток по шаблону и воспользоваться им для обхода систем ограничения доступа или для оставления ложных следов. Отдельно обращается внимание на качество паролей, среди которых очень много тривиальных, вида "Password" и "abcd1234".
Более того, так как база включала и учётные данные администраторов BioStar 2, в случае атаки злоумышленники могли получить полный доступ к web-интерфейсу системы и использовать его для добавления, редактирования и удаления записей. Например, могли подменить данные об отпечатке пальцев для получения физического доступа, изменить права доступа и удалить из логов следы проникновения.
Примечательно, что проблема была выявлена 5 августа, но затем несколько дней было потрачено на то, чтобы донести информацию до создателей BioStar 2, которые не желали выслушивать исследователей. Наконец 7 августа информация была доведена до компании, но проблема была устранена только 13 августа. Исследователи выявили БД в рамках проекта по сканированию сетей и анализу доступных web-сервисов. Неизвестно, насколько долго БД оставалась в открытом доступе и знали ли о её существовании злоумышленники.
Источники править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
