APNIC по недосмотру оставил дамп базы данных Whois в открытом доступе

APNIC по недосмотру оставил дамп базы данных Whois в открытом доступе

APNIC по недосмотру оставил дамп базы данных Whois в открытом доступе

Регистратор APNIC, отвечающий за распределение интернет-ресурсов в Азиатско-Тихоокеанском регионе, признал факт утечки, произошедшей из-за ошибки в конфигурации облачного хранилища. В публичный доступ попали хеши паролей для изменения записей в SQL-базе сервиса Whois, а также контактные данные админов, отвечающих на сигналы о злоупотреблениях.

Согласно блог-записи APNIC, досадный промах был допущен во время работ по внедрению поддержки протокола RDAP, который заменит Whois. Исполнители скопировали часть базы Whois в ведро Google Cloud, но не проверили настройки. В результате этот дамп три месяца находился в открытом доступе — до 4 июня, когда сторонний исследователь указал регистратору на проблему.

Выгруженный на сервер Google файл содержал хешированные данные аутентификации для объектов MNTNER и IRT. В случае взлома хеш-функции злоумышленник мог получить ключи для внесения изменений в записи Whois, однако предварительное расследование показало, что этого не произошло.

Узнав о проблеме, APNIC исправил ошибку в настройках Google Cloud, удалил слитый дамп и решил на всякий случай сбросить пароли для затронутых объектов в базе Whois (на настоящий момент этот процесс уже завершен).

По словам регистратора, владельцы интернет-ресурсов редко используют MNTNER и IRT для обновления (примерно раз в год). За последние шесть месяцев этой возможностью на законных основаниях пользовались около 50 организаций, и их попросили сменить пароль.

Пользователей Whois, предпочитающих обновлять свои записи из-под аккаунта MyAPNIC, заверили, что их данным ничто не угрожает. Никаких действий в связи с инцидентом от них не требуется: сброс паролей MyAPNIC выполняется автоматически.

Внутреннее расследование еще не закончено. Все результаты регистратор пообещал представить на сентябрьской конференции APNIC 52.

Android разрешил переносить пароли и passkeys без опасных текстовых файлов

Google запустила в Android механизм прямого переноса паролей и ключей доступа между менеджерами учётных данных. Теперь ради смены приложения не нужно выгружать секреты в незашифрованный текстовый файл и надеяться, что его никто не найдёт раньше удаления. Перенос запускается внутри нового менеджера паролей.

Пользователь выбирает импорт, после чего Android находит совместимые приложения на устройстве и перенаправляет в прежний сервис.

Там можно проверить список данных и подтвердить передачу. По словам Google, весь процесс занимает несколько секунд, а отдельный файл на смартфоне не создаётся.

Главным изменением стала поддержка passkeys. Ранее ключи доступа нельзя было перенести в другой менеджер: их приходилось заново создавать на каждом сайте и в каждом приложении.


На старте новую функцию поддерживают Google Password Manager, 1Password, Bitwarden Password Manager и Dashlane. Google обещает подключить новых партнёров, но конкретных имён и сроков пока не приводит. Если используемый менеджер не вошёл в список, остаётся прежняя схема с экспортом паролей, а passkeys переезжать откажутся.

Согласно примечанию Google, новый механизм совместим с устройствами под управлением Android 8 и новее. При этом компания описывает передачу как безопасную, но не раскрывает в анонсе технические подробности защиты данных во время обмена между приложениями.

Функция снижает зависимость пользователей от одного поставщика и устраняет один из самых неприятных этапов миграции — хранение всей коллекции паролей открытым текстом.

RSS: Новости на портале Anti-Malware.ru