विवरण

एक सार्वजनिक एंडपॉइंट की पहचान की गई है जो एक अनुमानित पहचानकर्ता (प्रमाणपत्र कोड) का उपयोग करके प्रमाणपत्र लुकअप की अनुमति देता है, बिना किसी प्रमाणीकरण या प्राधिकरण तंत्र के।

इस पहचानकर्ता की गणना (enumeration) करके, एक हमलावर तीसरे पक्ष के व्यक्तिगत डेटा तक पहुंच सकता है, जिसमें पूरा नाम, CPF (ब्राज़ीलियाई व्यक्तिगत करदाता पंजीकरण संख्या), RG (ब्राज़ीलियाई पहचान पत्र संख्या), जन्म तिथि और जन्म स्थान शामिल हैं।

यह भी देखा गया है कि, भले ही प्रमाणपत्र धारक अपने डिप्लोमा को आंशिक रूप से अस्पष्ट (obfuscated) व्यक्तिगत डेटा के साथ सार्वजनिक रूप से साझा करना चुनते हैं (उदाहरण के लिए, पेशेवर नेटवर्क या अन्य प्लेटफ़ॉर्म पर), प्रमाणपत्र पहचानकर्ता अक्सर दृश्यमान रहता है। इस पहचानकर्ता से, एंडपॉइंट पर सीधे क्वेरी करना और पूरा डेटा प्राप्त करना संभव है, जिससे इंटरफ़ेस में लागू अस्पष्टता तंत्र को पूरी तरह से दरकिनार किया जा सकता है।

प्रभावित एंडपॉइंट

https://www.fiap.com.br/consultadocumento

पेलोड उदाहरण

8-अक्षर का पहचानकर्ता

प्रमाण की अवधारणा (PoC)

प्रमाण-की-अवधारणा (PoC) उद्देश्यों के लिए, Google dorks तकनीकों का उपयोग करके खोजें की गईं ताकि प्रमाणपत्रों की सार्वजनिक रूप से उपलब्ध छवियों का पता लगाया जा सके। इसके अतिरिक्त, LinkedIn प्रोफ़ाइलों पर उदाहरणों की पहचान की गई जहां प्रमाणपत्र धारकों ने अपने प्रमाणपत्र साझा किए थे।

इन सार्वजनिक स्रोतों से, दृश्यमान प्रमाणपत्रों के पहचानकर्ताओं को निकालना और उनके आधार पर मान्य कोडों की एक सूची तैयार करना संभव था। कमजोर एंडपॉइंट पर इन पहचानकर्ताओं का उपयोग करके, प्रत्येक प्रमाणपत्र से जुड़े पूर्ण डेटा तक पहुंचना संभव था, जो बड़े पैमाने पर शोषण की व्यवहार्यता को प्रदर्शित करता है।

यह ध्यान दिया जाना चाहिए कि उपयोग की गई तकनीक ने विशेष रूप से सार्वजनिक जानकारी और निष्क्रिय टोही (passive reconnaissance) का उपयोग किया, जो यह प्रदर्शित करता है कि एक हमलावर को कमजोरी का शोषण करने के लिए विशेषाधिकार प्राप्त पहुंच की आवश्यकता नहीं है।

नीचे उदाहरण देखें।

प्रभाव

पहचानी गई कमजोरी बिना किसी प्रमाणीकरण के अत्यधिक संवेदनशील व्यक्तिगत डेटा तक अनधिकृत पहुंच की अनुमति देती है, जिसमें CPF (ब्राज़ीलियाई करदाता आईडी), RG (ब्राज़ीलियाई राष्ट्रीय आईडी), पूरा नाम, जन्म तिथि और जन्म स्थान शामिल हैं। प्रमाणपत्र पहचानकर्ता की गणना करने की संभावना, सार्वजनिक स्रोतों से इन पहचानकर्ताओं के संग्रह के साथ मिलकर, बड़े पैमाने पर जानकारी निकालने में सक्षम बनाती है, जिससे एक्सपोज़र सतह में काफी विस्तार होता है।

यह परिदृश्य धोखाधड़ी, पहचान की चोरी और अत्यधिक लक्षित सोशल इंजीनियरिंग हमलों के लिए डेटा के दुरुपयोग की अनुमति देता है, क्योंकि उजागर जानकारी ब्राज़ीलियाई संदर्भ में सत्यापन तंत्र के रूप में व्यापक रूप से उपयोग की जाती है। इसके अलावा, यह दोष महत्वपूर्ण नियामक प्रभाव पैदा कर सकता है, विशेष रूप से सामान्य डेटा संरक्षण कानून (LGPD) के संदर्भ में, पर्याप्त कानूनी आधार या पहुंच नियंत्रण के बिना व्यक्तिगत डेटा के जोखिम को देखते हुए।

अंत में, यह उल्लेखनीय है कि शोषण के लिए किसी भी स्तर के विशेषाधिकार या प्रमाणीकरण की आवश्यकता नहीं होती है और इसे बाहरी एजेंटों द्वारा स्वचालित तरीके से किया जा सकता है, जो कमजोरी की गंभीरता को काफी बढ़ा देता है।

शमन (Mitigation)

गणना के जोखिम को कम करने के लिए, यह अनुशंसा की जाती है कि प्रमाणपत्र पहचानकर्ता को एक अप्रत्याशित मान से बदल दिया जाए, जैसे कि सुरक्षित रूप से उत्पन्न टोकन (उदाहरण के लिए, MD5 जैसे हैश-आधारित या, अधिमानतः, यादृच्छिक घटक वाले अधिक मजबूत एल्गोरिदम), यह सुनिश्चित करते हुए कि अन्य मान्य प्रमाणपत्रों का अनुमान लगाना या गणना करना संभव नहीं है।

इसके अतिरिक्त, यह अनुशंसा की जाती है कि सार्वजनिक दस्तावेज़ संवेदनशील डेटा को उचित रूप से अस्पष्ट (obfuscated) प्रस्तुत करें, और यही तर्क बैकएंड पर भी लागू किया जाए, ताकि API को पूर्ण जानकारी लौटाने से रोका जा सके। इस तरह, भले ही लिंक सार्वजनिक रूप से साझा किया जाए, पहुंच प्रमाणपत्र के सुरक्षित संस्करण तक सीमित रहेगी, जिससे धारक की गोपनीयता सुरक्षित रहेगी।

अंत में, पूरक सुरक्षा तंत्र लागू करना महत्वपूर्ण है, जैसे कि रेट लिमिटिंग, संदिग्ध पहुंच की निगरानी, और जहां लागू हो, अस्थायी वैधता वाले सत्यापन लिंक का उपयोग, जिससे स्वचालित शोषण का जोखिम और कम हो जाए।