Zarządzanie bazami, w których przechowywane są zarówno informacje, które powinny być dostępne dla wszystkich, jak i dane (np. użytkowników), które powinny zostać prywatne, nigdy nie było proste. Przekonała się o tym właśnie Fundacja Wikimedia.
Fundacja Wikimedia, prowadząca m. in. projekt Wikipedii, ogłosiła wczoraj, że dane 37 tysięcy jej użytkowników były dostępne przez wiele miesięcy dla ponad 200 z nich.
W bazie Wikimedia przechowywane są dane takie jak adres email, hasz hasła (solone MD5) czy token sesji. Standardowo dostęp do prywatnych danych użytkowników jest ograniczony na poziomie reguł bazy danych. Kiedy w maju tego roku Wikimedia uruchomiły projekt LabsDB, dały jego uczestnikom dostęp do pełnej bazy systemu. W założeniu dostęp ten miał zostać użyty, by eksperymentować z interesującymi raportami lub wykorzystywaniem danych z bazy w czasie rzeczywistym.
1 października jeden z użytkowników zgłosił błąd polegający na tym, że uczestnicy projektu mogli także przeglądać i eksportować dane użytkowników niektórych projektów wiki (w tym na przykład polskiego pl.wikivoyage.org). Łącznie dostępne były dane 37 tysięcy użytkowników. Przyczyną problemu były różnice w definicji pól i tabel – reguły odcinające dostęp do prywatnych danych użytkowników w przypadku tych baz nie zadziałały. Pozostaje się cieszyć, że pozostałe bazy były lepiej skonfigurowane i nie doszło do wycieku danych prawie 20 milionów zarejestrowanych użytkowników Wikipedii.
Co ciekawe, prawie identyczny problem pół roku temu zanotował serwis MusicBrainz, także oparty na podobnym silniku. Tam dla odmiany nowe hasła użytkowników wylądowały w nowym polu bazy danych, które nie było wyłączone z reguł eksportu. Warto zatem pamiętać, że ograniczanie dostępu do niektórych pól baz danych poprzez umieszczanie ich na „czarnej liście” wymaga ciągłej weryfikacji aktualności i kompletności stworzonych reguł.
Za przesłanie informacji dziękujemy Kubie i Mr. The MarLukKi
