红帽白皮书新鲜出炉!点击获取,让你的云战略更胜一筹! 了解详情
写点什么

Elasticsearch 泄露 27 亿邮件数据,包括多家国内大厂邮箱

  • 2019-12-12
  • 本文字数:1769 字

    阅读完需:约 6 分钟

Elasticsearch 泄露27亿邮件数据,包括多家国内大厂邮箱

2019 年 12 月 4 日,Comparitech 与安全研究人员 Bob Diachenko 一起发现了一个数据泄露的 Elasticsearch 数据库,其中包括 27 亿个电子邮件地址。Diachenko 称:“单就数字而言,这可能是我所看到的泄露的数据最庞大的一次。”

事件回溯

SecurityDiscovery 网站的网络威胁情报总监鲍勃·迪亚琴科(Bob Diachenko)发文称:“我们发现了一个 Elasticsearch 数据库泄露,包括了 27 亿个电子邮件地址,其中 10 亿个密码都是以简单的明文存储的。其中大多数被盗的邮件域名来自中国的邮件提供商,腾讯、新浪、搜狐和网易等都在内,发现了包括 qq.com,139.com,126.com,gfan.com 和 game.sohu.com 等域名。另外,雅虎、Gmail 以及一些俄罗斯的邮件域名也受到了影响。”


该数据泄露的 Elasticsearch 数据库被发现的情况为:


  • 2019 年 12 月 1 日:该数据库首先由 BinaryEdge 搜索引擎建立索引,此后公开可用。

  • 2019 年 12 月 4 日:Diachenko 发现了数据库,并立即采取措施通知责任方。

  • 2019 年 12 月 9 日:禁止访问数据库。


据了解,这次数据泄露的 Elasticsearch 服务器属于美国的一个托管服务中心。2019 年 12 月 9 日,在 Diachenko 发布数据库存储安全报告之后,该托管服务中心关闭了 Elasticsearch 服务器,但是其至少对外开放了一周的时间,并且允许任何人在无密码的情况下访问。


本次泄露的数据除了电子邮件地址和密码,还包括了每个电子邮件地址的 MD5,SHA1 和 SHA256 散列。哈希加密的电子邮件地址文本具有固定的长度,因为存储文本数据风险太大,所以往往会用来安全存储数据,泄露数据库的所有者用每个地址的 MD5、SHA1 和 SHA256 散列对电子邮件地址进行了操作,很大可能是用来简化关系数据库的搜索。



目前,被泄露的 27 亿个电子邮件地址还无法证实是否为有效地址,但可以确定的是其来源违规。Diachenko 表示:“这些电子邮件的泄露往往不会引起企业的重视,但实际上它们受到攻击的可能性很高。”这些电子邮件一旦引发攻击行为,用户往往不会收到警报,因为国内的防火墙阻止了检查电子邮件泄露的服务。


虽然还不清楚是谁公开了数据库,可能是黑客,又或者是安全研究人员。但是确定的是,这种行为都忽略了 Elasticsearch 本来提供的安全性选项,也忽略了云存储安全的重要性。一旦黑客获得了帐户访问权限,他们就可以通过更改密码和关联的电子邮件来劫持该帐户,达到多种目的,包括垃圾邮件、网络钓鱼、欺诈、盗窃等。


Diachenko 称:“单就数字而言,这可能是我所看到的泄露数据最庞大的一次。”

原因分析

事实上,Elasticsearch 数据库泄露事件时有发生,就在不到一个月之前,Bob Diachenko 和 Vinny Troia 发现了一个公开可访问的 Elasticsearch 服务器,其中包含 12 亿用户账户,该服务器被公开在暗网上。


2019 年 1 月,InfoQ 盘点了该月发生的 Elasticsearch 数据泄露事件,据不完全统计,一个月就有 6 起数据泄露事件。通过分析这些事件,我们发现大部分泄露的原因都是 Elasticsearch 服务器没有设置密码保护。


为什么大家不设置密码保护呢?之前我们采访技术专家称:“很有可能是团队忽视了数据安全,再加上服务器防火墙对于端口开放策略过于激进,导致 Elasticsearch 集群只要一部署即可公网访问。另外,不少开发人员及其团队在认知上更多地把 Elasticsearch 看成是与 MySQL 同等的存储系统,所以在部署以后并没有太多地关心其访问控制策略和数据安全。而且 Elastisearch 开箱即用的特点也让开发和运维人员放松了对安全的重视。”

如何预防数据泄露?

如何预防数据泄露呢?首先,Elasticsearch 开源版本是不具备任何数据保护功能的,只有基本的攻击保护,例如防火墙。不过,Elasticsearch 产品的提供商 Elastic 为订阅用户提供了相关的数据保护功能,例如认证和授权、数据加密(通讯加密)、审计合规等。如果自己搞不定安全问题,选择商业版本也是一条不错的路子。


如果只想开源版本,技术专家也给出了几个低成本的防止数据泄露的措施:


1)服务器必须要有防火墙,不能随意对外开放端口;


2)Elasticsearch 集群的端口包括 TCP 和 HTTP,都不能暴露在公网;


3)Elasticsearch 集群禁用批量删除索引功能;


4)Elasticsearch 中保存的数据要做基本的脱敏处理;


5)加强监控和告警,能够在安全事件发生的第一时间感知并启动紧急预案,将损失降到最低。


相关阅读:


一个月被曝五次数据泄露,ElasticSearch 还行不行?


2019-12-12 14:244431
用户头像

发布了 497 篇内容, 共 307.0 次阅读, 收获喜欢 1907 次。

关注

评论

发布
暂无评论
发现更多内容

云游世界卷轴系统开发NFT技术

西安链酷科技

DeFi质押挖矿 defi开发

mac电脑矢量图制作必备:Illustrator 2023激活中文版

mac大玩家j

Mac软件 矢量图制作软件 矢量图工具

APE猿岛质押游戏系统开发

西安链酷科技

链游开发 全链游戏

Jogger慢跑者/Stepn跑鞋NFT系统开发案例

西安链酷科技

dapp开发 运动挖矿

卡牌类链游系统开发NFT游戏技术

西安链酷科技

链游开发 运动挖矿开发

构建高效数据流转的 ETL 系统:数据库 + Serverless 函数计算的最佳实践

Serverless Devs

云计算 serverles 负载 函数计算

聚合CPS返利系统开发程序搭建

西安链酷科技

cps系统 刷短剧系统

Web3钱包开发:解锁未来投资利润丰厚的机会

区块链软件开发推广运营

dapp开发 区块链开发 链游开发 NFT开发 公链开发

漆包线行业你了解多少?

万界星空科技

潮玩宇宙APP系统开发技术

西安链酷科技

潮玩 NFT链游

【论文解读】在上下文中学习创建任务向量

合合技术团队

人工智能 LLM ICL

教你如何防止数据被异常篡改,并复原数据

秃头小帅oi

程序员 前端 低代码 数据异常

合约量化交易所系统开发——策略机器人

西安链酷科技

量化机器人 智能ai量化 量化交易软件

【TiDB 技术视频合集】史上最全的 121 个 TiDB 用户实践技术视频合集来啦!

TiDB 社区干货传送门

智能合约|质押挖矿Dapp系统开发

薇電13242772558

dapp

ApeCoin DAO猿岛游戏系统开发DAPP案例

西安链酷科技

dapp开发 游戏链改

免费获取GPT-4的五种工具

互联网工科生

人工智能 GPT-4

为什么亚马逊轻量级服务器这么受欢迎

在下小吉.

服务器 轻量级服务器 亚马逊

网站定制开发主要分类|企业app软件小程序定制

Geek_16d138

网站建设 软件定制开发

万界星空科技SMT行业生产管理MES系统解决方案

万界星空科技

数字化 工业互联网 工业4.0 制造业生产管理系统 工业制造

质押挖矿理财DAPP系统开发技术

西安链酷科技

web3 链游 钱包开发 多链钱包

Stepn跑鞋系统开发NFT跑步链游玩法

西安链酷科技

DeFi质押挖矿 DeFi流动性挖矿 运动挖矿

java 注解原理

橙子橘子柚子皮

注解 反射 代理模式 Java’

短剧CPS分销系统程序开发搭建

西安链酷科技

直播系统 聚合cps系统

平台工程指南:TheNewStack 发布的免费电子书

杨振涛

HashiCorp 平台工程 平台工程社区 PECommunity Platform Engineering

浪潮云洲基于QID技术的"师旷"前装固件成功首发

财见

Eudic欧路词典 for Mac(英语学习工具) v4.5.3完美激活版

mac

苹果mac Windows软件 欧路词典 英语学习工具

TiDB x 汉口银行丨分布式数据库应用实践

TiDB 社区干货传送门

实践案例

TiDB 在咪咕云原生场景下的实践

TiDB 社区干货传送门

实践案例

高效视频增强和修复工具 Topaz Video AI 激活最新版

胖墩儿不胖y

Mac软件 视频编辑 视频处理软件 视频修复工具

阿里云Elasticsearch Severless 如何做到成本降低50%

阿里云大数据AI技术

开源 云原生

Elasticsearch 泄露27亿邮件数据,包括多家国内大厂邮箱_数据库_田晓旭_InfoQ精选文章