कमजोरी: एक सार्वजनिक Amazon S3 बकेट और बैकएंड की खामी

TechCrunch की रिपोर्टिंग के अनुसार, यह डेटा उजागर होने की वजह अपलोड किए गए दस्तावेजों को स्टोर करने के लिए इस्तेमाल की गई एक गलत तरीके से कॉन्फ़िगर की गई Amazon S3 बकेट थी । एक अज्ञात सुरक्षा शोधकर्ता ने खोज की कि 'यूके वीज़ा पोर्टल' वेबसाइट की एक बैकएंड खामी ने संग्रहीत फाइलों की पूरी निर्देशिका को सूचीबद्ध (enumerate) करने की अनुमति दे दी, जिसका मतलब है कि सामग्री की सूची खुद ही सार्वजनिक रूप से सुलभ थी । फाइलों तक पहुंचने के लिए किसी पासवर्ड या प्रमाणीकरण की जरूरत नहीं थी, जिनमें पासपोर्ट स्कैन, पहचान पत्र वाली सेल्फी और अन्य आवेदन डेटा शामिल थे ।

TechCrunch ने उन कई व्यक्तियों से संपर्क करके लीक की प्रामाणिकता की पुष्टि की जिनका व्यक्तिगत डेटा उजागर रिकॉर्डों में पाया गया था, और इस बात की तस्दीक की कि दस्तावेज असली आवेदनों से मेल खाते हैं । इस घटना का पैमाना बहुत बड़ा था: माना जाता है कि कम से कम 1,00,000 संवेदनशील दस्तावेज असुरक्षित थे ।

'यूके वीज़ा पोर्टल' के पीछे कौन था?

यह वेबसाइट एक पूरी तरह से स्वतंत्र व्यावसायिक सेवा के रूप में संचालित होती थी, जिसका गृह कार्यालय (Home Office) या GOV.UK से कोई संबंध नहीं था । बताया जाता है कि इसे संयुक्त अरब अमीरात (यूएई) में पंजीकृत एक कंपनी, एक्टिव लीडजेन एलएलसी (Active Leadgen LLC) द्वारा संचालित किया जाता था । यह प्लेटफॉर्म उपयोगकर्ताओं को यूके इलेक्ट्रॉनिक ट्रैवल ऑथराइजेशन (ईटीए) और अन्य आव्रजन-संबंधी आवेदनों में सहायता करने के लिए शुल्क लेता था—ऐसी प्रक्रियाएं जिन्हें अक्सर उपयोगकर्ता सीधे GOV.UK पर मुफ्त या बहुत कम कीमत पर पूरा कर सकते हैं ।

इस साइट में इतनी संवेदनशील जानकारी संभालने वाले किसी भी प्लेटफॉर्म की एक आवश्यक सुविधा का भी अभाव था: सुरक्षा मुद्दों की रिपोर्ट करने के लिए संपर्क का एक उचित माध्यम या बग-रिपोर्टिंग तंत्र । इस कमी ने संभवतः उस समय को और बढ़ा दिया जब तक डेटा उजागर रहा, क्योंकि शोधकर्ताओं या उपयोगकर्ताओं के पास समस्या को चिह्नित करने का कोई आसान तरीका नहीं था।

कंपनी की प्रतिक्रिया: सुधार पर कानूनी धमकियां

इस घटना का सबसे विवादास्पद पहलू यह था कि समस्या का पता चलने पर कंपनी ने कैसे कार्रवाई करने का—या यूं कहें कि, कार्रवाई न करने का—चुनाव किया। जब TechCrunch ने कंपनी को सचेत करने और अपने निष्कर्ष प्रकाशित करने की तैयारी की, तो रिपोर्ट में बताया गया कि प्रकाशन के समय तक 'यूके वीज़ा पोर्टल' ने सुरक्षा चूक को ठीक नहीं किया था ।

उजागर सर्वरों को तुरंत सुरक्षित करने और सार्वजनिक खुलासा या उपयोगकर्ता सूचना जारी करने के बजाय, संचालक ने एक अलग रास्ता अपनाया। रिपोर्टों ने पुष्टि की कि एक्टिव लीडजेन एलएलसी ने कहानी के प्रकाशन को लेकर TechCrunch को धमकाने की स्पष्ट कोशिश में कानूनी प्रतिनिधि भेजे । बकेट को TechCrunch की कहानी लाइव होने के कई घंटों बाद रातों-रात सुरक्षित किया गया—न तो प्रकाशन से पहले, और न ही नैतिक खुलासे के जवाब में ।

पीड़ितों के लिए निहितार्थ और जोखिम

उजागर डेटा सेट ने पहचान की चोरी और धोखाधड़ी का एक गंभीर खतरा पैदा कर दिया। उच्च-रिज़ॉल्यूशन वाले पासपोर्ट स्कैन को सत्यापन सेल्फी और संभावित जीपीएस मेटाडेटा के साथ मिलाकर, दुर्भावनापूर्ण तत्व संभावित रूप से वित्तीय धोखाधड़ी करने, खाते खोलने या सोशल इंजीनियरिंग हमलों को अंजाम देने के लिए डेटा का उपयोग कर सकते हैं । चूंकि कई पीड़ितों के पास यह संदेह करने का कोई ठोस कारण नहीं था कि वे एक गैर-सरकारी सेवा का उपयोग कर रहे थे, इसलिए यह उजागर होना एक झटके की तरह आया। यूके वीज़ा आवेदनों के लिए आधिकारिक सरकारी चैनल GOV.UK ही है, और यह घटना उन थर्ड-पार्टी सेवाओं की बारीकी से जांच करने की एक सख्त याद दिलाती है जो अत्यधिक संवेदनशील पहचान दस्तावेज मांगती हैं।

कमजोरी: एक सार्वजनिक Amazon S3 बकेट और बैकएंड की खामी

TechCrunch की रिपोर्टिंग के अनुसार, यह डेटा उजागर होने की वजह अपलोड किए गए दस्तावेजों को स्टोर करने के लिए इस्तेमाल की गई एक गलत तरीके से कॉन्फ़िगर की गई Amazon S3 बकेट थी । एक अज्ञात सुरक्षा शोधकर्ता ने खोज की कि 'यूके वीज़ा पोर्टल' वेबसाइट की एक बैकएंड खामी ने संग्रहीत फाइलों की पूरी निर्देशिका को सूचीबद्ध (enumerate) करने की अनुमति दे दी, जिसका मतलब है कि सामग्री की सूची खुद ही सार्वजनिक रूप से सुलभ थी । फाइलों तक पहुंचने के लिए किसी पासवर्ड या प्रमाणीकरण की जरूरत नहीं थी, जिनमें पासपोर्ट स्कैन, पहचान पत्र वाली सेल्फी और अन्य आवेदन डेटा शामिल थे ।

TechCrunch ने उन कई व्यक्तियों से संपर्क करके लीक की प्रामाणिकता की पुष्टि की जिनका व्यक्तिगत डेटा उजागर रिकॉर्डों में पाया गया था, और इस बात की तस्दीक की कि दस्तावेज असली आवेदनों से मेल खाते हैं । इस घटना का पैमाना बहुत बड़ा था: माना जाता है कि कम से कम 1,00,000 संवेदनशील दस्तावेज असुरक्षित थे ।

'यूके वीज़ा पोर्टल' के पीछे कौन था?

यह वेबसाइट एक पूरी तरह से स्वतंत्र व्यावसायिक सेवा के रूप में संचालित होती थी, जिसका गृह कार्यालय (Home Office) या GOV.UK से कोई संबंध नहीं था । बताया जाता है कि इसे संयुक्त अरब अमीरात (यूएई) में पंजीकृत एक कंपनी, एक्टिव लीडजेन एलएलसी (Active Leadgen LLC) द्वारा संचालित किया जाता था । यह प्लेटफॉर्म उपयोगकर्ताओं को यूके इलेक्ट्रॉनिक ट्रैवल ऑथराइजेशन (ईटीए) और अन्य आव्रजन-संबंधी आवेदनों में सहायता करने के लिए शुल्क लेता था—ऐसी प्रक्रियाएं जिन्हें अक्सर उपयोगकर्ता सीधे GOV.UK पर मुफ्त या बहुत कम कीमत पर पूरा कर सकते हैं ।

इस साइट में इतनी संवेदनशील जानकारी संभालने वाले किसी भी प्लेटफॉर्म की एक आवश्यक सुविधा का भी अभाव था: सुरक्षा मुद्दों की रिपोर्ट करने के लिए संपर्क का एक उचित माध्यम या बग-रिपोर्टिंग तंत्र । इस कमी ने संभवतः उस समय को और बढ़ा दिया जब तक डेटा उजागर रहा, क्योंकि शोधकर्ताओं या उपयोगकर्ताओं के पास समस्या को चिह्नित करने का कोई आसान तरीका नहीं था।

कंपनी की प्रतिक्रिया: सुधार पर कानूनी धमकियां

इस घटना का सबसे विवादास्पद पहलू यह था कि समस्या का पता चलने पर कंपनी ने कैसे कार्रवाई करने का—या यूं कहें कि, कार्रवाई न करने का—चुनाव किया। जब TechCrunch ने कंपनी को सचेत करने और अपने निष्कर्ष प्रकाशित करने की तैयारी की, तो रिपोर्ट में बताया गया कि प्रकाशन के समय तक 'यूके वीज़ा पोर्टल' ने सुरक्षा चूक को ठीक नहीं किया था ।

उजागर सर्वरों को तुरंत सुरक्षित करने और सार्वजनिक खुलासा या उपयोगकर्ता सूचना जारी करने के बजाय, संचालक ने एक अलग रास्ता अपनाया। रिपोर्टों ने पुष्टि की कि एक्टिव लीडजेन एलएलसी ने कहानी के प्रकाशन को लेकर TechCrunch को धमकाने की स्पष्ट कोशिश में कानूनी प्रतिनिधि भेजे । बकेट को TechCrunch की कहानी लाइव होने के कई घंटों बाद रातों-रात सुरक्षित किया गया—न तो प्रकाशन से पहले, और न ही नैतिक खुलासे के जवाब में ।

पीड़ितों के लिए निहितार्थ और जोखिम

उजागर डेटा सेट ने पहचान की चोरी और धोखाधड़ी का एक गंभीर खतरा पैदा कर दिया। उच्च-रिज़ॉल्यूशन वाले पासपोर्ट स्कैन को सत्यापन सेल्फी और संभावित जीपीएस मेटाडेटा के साथ मिलाकर, दुर्भावनापूर्ण तत्व संभावित रूप से वित्तीय धोखाधड़ी करने, खाते खोलने या सोशल इंजीनियरिंग हमलों को अंजाम देने के लिए डेटा का उपयोग कर सकते हैं । चूंकि कई पीड़ितों के पास यह संदेह करने का कोई ठोस कारण नहीं था कि वे एक गैर-सरकारी सेवा का उपयोग कर रहे थे, इसलिए यह उजागर होना एक झटके की तरह आया। यूके वीज़ा आवेदनों के लिए आधिकारिक सरकारी चैनल GOV.UK ही है, और यह घटना उन थर्ड-पार्टी सेवाओं की बारीकी से जांच करने की एक सख्त याद दिलाती है जो अत्यधिक संवेदनशील पहचान दस्तावेज मांगती हैं।