AFRINIC tomou conhecimento de um WHOIS privacidade de dados e questão de segurança e gostaríamos de compartilhar os detalhes do incidente com você.
No processo de tratamento de uma solicitação de apoio de um pesquisador com acesso ao nosso site FTP autenticado que fornece uma edição em massa WHOIS arquivo de despejo de banco de dados, notamos que aqueles que foram autorizados para o WHOIS serviço pode acessar um segundo arquivo que contém informações como endereços de e-mail, números de telefone e hashes de senha. Ao perceber esse problema, o arquivo já foi removido do site.
Bulk WHOIS e eficaz
AFRINIC oferece um volume redigido WHOIS despejo de banco de dados por meio de um site FTP autenticado. Esse dump filtra endereços de e-mail, números de telefone e hashes de senha e é fornecido principalmente para dar suporte às operações da Internet, pesquisas técnicas e estatísticas.
O acesso a este site FTP é concedido seguindo um procedimento que requer o preenchimento de um formulário e é revisado pela equipe para aprovação.
Afetado WHOIS Despejar arquivo
A publicação deste arquivo começou em 2011 como parte de um inter RIR colaboração para fornecer um serviço de recurso global (GRS).
Ao longo do período, o mecanismo de compartilhamento dessas informações mudou, porém, devido a processos automatizados, a publicação desse arquivo continuou a ocorrer por engano.
Nível de Exposição
Os objetos de banco de dados que estavam sendo publicados continham informações confidenciais, como hashes de senha, e-mails da organização e números de telefone.
O risco potencial de acessar hashes de senha inclui a possibilidade de que o formato de texto simples possa ser derivado. Se um ator de ameaça conseguir derivar as senhas, ele poderá fazer modificações em WHOIS objetos de banco de dados protegidos por um mantenedor específico.
Como o acesso a essas informações remonta a vários anos, não estamos em posição de determinar se essas informações foram usadas para comprometer o conteúdo do WHOIS base de dados.
Atualmente, os dados expostos que estão em risco são os seguintes:
- 12,536 endereços de e-mail,
- 5,272 números de telefone e
- 1,633 mantenedores usando hashes de senha CRYPT e / ou MD5.
Esses dados referem-se a 2,281 organizações.
A WHOIS banco de dados suporta três mecanismos de hash de senha: BCRYPT, MD5 e CRYPT. Atualmente, apenas BCRYPT é considerado seguro contra ataques de força bruta.
Tem havido esforços contínuos para melhorar a segurança do banco de dados. As melhorias incluíram a suspensão parcial dos mecanismos de autenticação CRYPT e MD5 que foram feitos em novembro de 2017. Consequentemente, um usuário não poderia mais criar ou atualizar seu (s) mantenedor (es) com um hash de senha usando esses algoritmos.
Além disso, a partir de dezembro de 2020, suspendemos totalmente o suporte para mecanismos de autenticação CRYPT e MD5, de modo que as senhas que são hash por esses dois mecanismos não funcionem mais na atualização de outros objetos, exceto para permitir uma atualização do objeto mantenedor com um mecanismo de autenticação aceitável .
Depois de perceber essa exposição de dados, tomamos medidas adicionais para desabilitar completamente o suporte para os dois mecanismos de autenticação.
Atualmente, pelo menos 92% dos mantenedores estão protegidos usando BCRYPT hashes, PGP e certificados X-509.
Desejamos esclarecer ainda que essas senhas de mantenedor não devem ser confundidas com as senhas usadas para acessar o portal de membros.
Com relação aos e-mails e números de telefone da organização, o acesso a tais informações pode levar a abusos e outros fins indesejáveis, como e-mails não solicitados e chamadas telefônicas que não atendam ao objetivo do WHOIS base de dados.
Ações tomadas
- O arquivo contendo dados pessoais foi removido e, portanto, não está mais acessível a pessoas não autorizadas.
- O suporte para CRYPT e MD5 foi completamente desativado.
- O Comissário de Proteção de Dados foi devidamente notificado de acordo com os requisitos do Lei de proteção de dados 2017
- Comunicação para detentores de recursos e usuários de FTP autenticados com acesso a massa WHOIS dados.
Ações futuras
- O site FTP será revisado para garantir que os usuários autorizados anteriormente sejam validados novamente. As credenciais serão emitidas por um período limitado de tempo.
- Outras análises de segurança do sistema estão em andamento.
Pedimos desculpas por qualquer inconveniente que isso possa ter causado.
Eddy Kayihura
Presidente da Comissão Executiva
AFRINIC
