錯(cuò)誤配置實(shí)時(shí)數(shù)據(jù)庫(kù)

時(shí)間：2022-04-22 00:15:01 | 來(lái)源：行業(yè)動(dòng)態(tài)

時(shí)間：2022-04-22 00:15:01 來(lái)源：行業(yè)動(dòng)態(tài)

實(shí)時(shí)數(shù)據(jù)庫(kù)支持應(yīng)用開(kāi)發(fā)人員將數(shù)據(jù)存儲(chǔ)在云端，從而實(shí)現(xiàn)數(shù)據(jù)與每個(gè)聯(lián)網(wǎng)客戶端的實(shí)時(shí)同步。該服務(wù)不僅解決了應(yīng)用開(kāi)發(fā)中的一個(gè)常見(jiàn)問(wèn)題，而且還可確保數(shù)據(jù)庫(kù)適用于所有客戶端平臺(tái)。但是，如果應(yīng)用開(kāi)發(fā)人員沒(méi)有為實(shí)時(shí)數(shù)據(jù)庫(kù)配置身份驗(yàn)證等簡(jiǎn)單的基本特性，將會(huì)發(fā)生什么呢？

這種實(shí)時(shí)數(shù)據(jù)庫(kù)配置錯(cuò)誤問(wèn)題由來(lái)已久，并且仍然非常普遍，受此問(wèn)題影響的用戶多達(dá)數(shù)百萬(wàn)。為此，CPR 研究人員嘗試訪問(wèn)了數(shù)據(jù)，結(jié)果發(fā)現(xiàn)，實(shí)時(shí)數(shù)據(jù)庫(kù)沒(méi)有采取任何措施來(lái)阻止該未經(jīng)授權(quán)的訪問(wèn)。

在調(diào)查開(kāi)源數(shù)據(jù)庫(kù)的內(nèi)容時(shí)，CheckPoint安全顧問(wèn)從中獲得了很多敏感信息，包括電子郵件地址、密碼、私人聊天、設(shè)備位置、用戶標(biāo)識(shí)符等。如果攻擊者獲得了該數(shù)據(jù)，可能會(huì)進(jìn)行服務(wù)刷卡（即嘗試在其他服務(wù)上使用相同的用戶名和密碼組合）、欺詐和/或身份盜用。


圖 1 Google Play 上采用開(kāi)源實(shí)時(shí)數(shù)據(jù)庫(kù)的部分應(yīng)用



圖 2 Logo Maker上用戶的電子郵件、密碼、用戶名和 ID

CPR 研究人員發(fā)現(xiàn)，下載量超過(guò) 1,000 萬(wàn)的熱門星座、星象和手相應(yīng)用 Astro Guru 也出現(xiàn)了這種配置錯(cuò)誤。用戶輸入個(gè)人信息（例如姓名、出生日期、性別、位置、電子郵件和付款明細(xì)）后，Astro Guru 將為他們生成一份個(gè)人星座和星象預(yù)測(cè)報(bào)告。這種星象預(yù)測(cè)竟然暴露了敏感數(shù)據(jù)，簡(jiǎn)直令人咋舌！

拋卻個(gè)人信息不說(shuō)，泄露實(shí)時(shí)數(shù)據(jù)更令人無(wú)語(yǔ)，這可是實(shí)時(shí)數(shù)據(jù)庫(kù)原本存在的意義?。≡谙螺d量超過(guò) 5 萬(wàn)的出租車應(yīng)用 T'Leva 上，CPR 研究人員成功訪問(wèn)了司機(jī)與乘客之間的聊天消息，并檢索到了用戶的姓名、電話號(hào)碼和位置（目的地和上車地點(diǎn)），所有信息只需通過(guò)向數(shù)據(jù)庫(kù)發(fā)送一個(gè)請(qǐng)求即可獲得。