Wie das Einrichten eines Passworts nicht dazu führte, dass 5 Millionen Dalil-Benutzer entlarvt wurden

Hier ist ein interessantes Rätsel: Sie stellen fest, dass ein Entwickler von mobilen Anwendungen eine Datenbank falsch konfiguriert hat und die Daten von Millionen von Menschen im World Wide Web verfügbar macht. Sie versuchen, sich an den Hersteller zu wenden und ihm zu sagen, dass er die Datenbank sichern soll, aber er antwortet nicht. Wie geht's?

Die Sicherheitsforscher Ran Locar und Noam Rotem standen in letzter Zeit vor demselben Dilemma. Am Ende entschlossen sie sich, öffentlich bekannt zu geben, was sie gefunden hatten, und um ihre Beweggründe zu verstehen, müssen wir zuerst lernen, was genau passiert ist.

Die Daten von mehr als 5 Millionen nahöstlichen Menschen ausgesetzt

Ran Locar war die Person, die zum ersten Mal über eine MongoDB-Installation gestolpert war, die auf das Internet gerichtet war, aber nicht durch ein Kennwort geschützt war. Mit Hilfe von Noam Rotem fand er heraus, dass die Datenbank zu Dalil gehörte - einer Android-Anrufer-ID-Anwendung, die vor allem für den Nahen Osten bestimmt ist. Die Idee hinter Dalil ist, dass Sie selbst wenn jemand außerhalb Ihrer Kontakte Sie anruft, wissen, wer sie sind und dass Sie potenziell unerwünschte Anrufe abweisen können.

Aus Gründen, die nicht besonders klar sind, sammelt Dalil eine enorme Menge an Informationen über seine Benutzer. Laut dem Twitter-Thread, mit dem Ran Locar die Nachrichten brach, werden Dalil-Benutzer bei der Registrierung nach Dingen wie Namen, Adresse, E-Mail-Adresse und Beruf gefragt. Gleichzeitig zeigt die Google Play-Seite der App, dass Dalil bei der Installation Zugriff auf die Kontakte, den Standort, Textnachrichten, Anrufprotokolle und Geräteinformationen des Benutzers anfordert. Mehr oder weniger haben Locar und Rotem dies in der offenen Datenbank gesehen.

Ein Produktionsserver ohne Passwort

Die Forscher mussten herausfinden, welche Art von Server sie betrachteten. Sie hofften, dass es ein Testbett mit alten oder irrelevanten Informationen werden würde. Leider sollte es nicht sein.

Als Locar und Rotem die Datenbank Ende Februar gefunden hatten, enthielt sie fast 586 GB an Daten. Sie bemerkten jedoch schnell, dass mehr Informationen in die Datenbank eingespeist wurden. Die Forscher teilten ZDNet mit, dass die Datenbank innerhalb von etwa einem Monat um etwa 208.000 neue neue Telefonnummern und etwa 44 Millionen App-Ereignisse (eingehende und ausgehende Anrufe, Registrierungen usw.) gewachsen sei.

Mit anderen Worten, sie haben sich einen Produktionsserver angesehen, der die Daten von Millionen realer Menschen aus Saudi-Arabien, Ägypten, den Vereinigten Arabischen Emiraten und anderen Ländern enthüllt. Das waren schlechte Nachrichten, aber es sollte noch schlimmer kommen.

Cyberkriminelle haben bereits auf die Datenbank zugegriffen

Nach etwas mehr Stöbern fanden Locar und Rotem einen Lösegeldschein. Jemand hatte die Datenbank bereits gefunden, einige Daten verschlüsselt und ein Lösegeld verlangt, um sie freizugeben. Offenbar haben die Entwickler von Dalil, ein Unternehmen namens Tech-World , den Verstoß jedoch nicht bemerkt oder ignoriert und immer mehr vertrauliche Informationen in die offengelegte Datenbank abgelegt.

Wenn man die Kommunikation nicht bemerkt und / oder ignoriert, scheint es etwas, was die Entwickler von Dalil häufiger tun, als sie sollten. Nachdem Locar und Rotem erkannt hatten, wie ernst die Lage ist, haben sie sofort versucht, mit dem Softwarehersteller in Kontakt zu treten, was jedoch leider nicht gelang. Die Versuche, mit den Entwicklern zu kommunizieren, blieben unbeantwortet, und am 4. März brachten die beiden Forscher die Informationen an die Öffentlichkeit.

Das war die richtige Entscheidung. In der Tat könnte man argumentieren, dass die ganze Welt von einer offenen Datenbank mit fast 600 GB an sensiblen Daten zu erzählen, die Aufmerksamkeit der Bösen auf sich ziehen wird, und Sie haben recht. Die Sache ist nur, dass die Gauner schon drinnen waren und es ihnen bereits gelungen ist, Chaos zu verursachen. Das Auffinden der Datenbank erfordert keine speziellen Werkzeuge oder ein besonders hohes Maß an technischen Fähigkeiten. Der Entwickler zeigt eindeutig eine unerklärlich entspannte Haltung gegenüber dem Ganzen, was bedeutet, dass der Benutzer sich selbst schützen muss. Hoffen wir, dass sie auf die Gefahren aufmerksam gemacht werden, bevor es zu spät ist.