脆弱な設定のElasticsearchによるエクアドル全国民情報流出の可能性についてまとめてみた - piyolog

2019年9月16日、VPNサービスのレビュー等を行うvpnMentorはインターネット上でエクアドル国民に関わる大量の情報を発見したと発表しました。ここでは関連する情報をまとめます。 vpnMentorの発表 www.vpnmentor.com 数百万人のエクアドル国民に影響が及ぶ可能性がある大規模なデータを発見した。 発見したのはvpnMentorのリサーチャー Noam Rotem氏、Ran Loca氏の二人。 露出していたElasticsearchには2000万人を超える個人に関わる情報が含まれていた。 vpnMentorはZDnetへ情報提供を行っており、同件の報道が行われている。 どうやって発見したのか vpnMentorは大規模なWebマッピングプロジェクトの一部で確認したと説明している。 既知のIPブロックに対してポートスキャンを実行。 公開状態のデータベースに対してシステ

[igagurimk2]

不正取得された情報がたまたまElasticsesrchの脆弱な設定によって発見されたってだけで、そもそもそこにこのデータがあること自体に犯罪性があるんだよな。 盗品が鍵のかかってない倉庫で見つかったみたいな話。

[gosse]

`_river`なんてindex、かなり昔のバージョンじゃないと使えないRiver系Pluginを使わないと生成されないようなindexだと思うんだが、一体どれぐらい古いバージョンを使ってたんだろう。ずさんな管理の片鱗が見える。

[aa_R_waiwai]

この手の電子システムの怖いところは、どんなレベルの高いエンジニアでも、僅かなミスで、やらかす可能性があるところ。極端に言えば、設定値を0とすべきところを1に書き間違えるだけでも、発生する可能性がある。

[skillshare]

choopaって事はvultrの親会社か。まあ運用者の問題でサーバー会社は関係ないけど。

[t2hnd]

提供元がセキュリティ機能無償にした理由がよくわかる。新しいの使わないと意味ないけど / .kibanaはないのか

[soyokazeZZ]

“_river 20件 44.9 KB”ほう、エクアドルには20本の川があるのか（違う）

[stealthinu]

エクアドルの全国民情報流出の件、件のコンサル会社は本来情報持っていないはずだったんだ。どこから渡ったのか調べる必要あるだろうね。しかしそんなやばいデータなのに管理が杜撰すぎだわな。

[toge]

またelasticsearchかぁ DBに準するものを外部接続許した段階でどの製品でも終わりな気もしますが。

[napsucks]

なんでそこにあったのかが問題だな

[hdkINO33]

パラメータひとつでオープンになってしまうの、アーキテクチャの筋が悪いという話なのでは……

[ys0000]

OSS版を使ってたとかじゃないの？X-packを入れると、無償機能の利用でもApacheライセンスではなくElasticライセンスになるよね？／その場合はELSには公開IP割り当てず、ローカルアクセス専用にするのがいいのでは。

[adsty]

数百万人のエクアドル国民に影響が及ぶ可能性がある。

[honeybe]

Elasticsesrchだったのか。(ちゃんと追っかけてなかった。あとでよむ)

[ykore52]

我が国のマイナンバーは使い辛いほどに強固なセキュリティを(ry

[solidstatesociety]

それでマイナンバーはオープン仕様に（違）

[nilab]

「エクアドル国民の情報を格納したElasticsearchサーバーがパスワード設定なく第三者がアクセスが可能だったと報じられている」「政府の認識として同社は問題のデータを保有していることになっていなかった」

[myrmecoleon]

外部秘の研究用の国家規模の個人情報データベースをなんらかの経緯で使用していたマーケティング会社がセキュリティ知識なく公開しちゃってた、て感じか。ホワイトハッカーに先に見つかって良かった。

[hs_hachi]

ESが流れてたのかー

[hdampty7]

全国民の詳細データが一元化されてあるなんて日本より進んでない？というより、見つけたとしてよく本物だと思ったよなｗ以前社内で見つけちゃいけないもの見つけたことあるけどそういう場合そっ閉じ基本。

[kagerou_ts]

ガバガバだったんじゃん、、って気持ちと、そもそもなぜそこにそんなデータが、って気持ちと

[hoppie]

😲 “エクアドル国民の情報を格納したElasticsearchサーバーがパスワード設定なく第三者がアクセスが可能だったと報じられている”

[shoutatani]

セキュリティ、大事。