व्हॅलेन्सिया मेट्रो अॅपमध्ये एक बग हजारो वापरकर्त्यांचा डेटा उघड करतो

फार पूर्वी नाही Vox वेबसाइट हॅक झाली त्याद्वारे पक्षाशी संबंधित अनेक लोकांचा वैयक्तिक डेटा उघड झाला आणि आता आम्हाला संवेदनशील आणि खाजगी माहितीचा शोध पुन्हा प्रतिध्वनी द्यावा लागेल: जी वापरकर्त्यांशी संबंधित आहे. व्हॅलेन्सिया मेट्रो अॅप.

एपीआय बग: अॅप होल

मध्ये एक सुरक्षा छिद्र अधिकृत सबवे अॅप आणि व्हॅलेन्सियाची ट्राम वैयक्तिक माहितीचा एक्झिट दरवाजा आहे जवळजवळ 60.000 वापरकर्ते - हे लवकरच सांगितले जाते. हे अपयश एका अभियंत्याने शोधून काढले आहे ज्याने न्यायालयात परिस्थितीचा निषेध करण्यास मागेपुढे पाहिले नाही, FGV (फेरोकारिल्स डे ला जनरलिटेट व्हॅलेन्सियाना) आणि प्रोकॉन्सी (अॅप विकसित करणारी कंपनी) यांनी वैयक्तिक स्वरूपाच्या डेटा संरक्षणाच्या अधिकाराचे उल्लंघन केल्याचा आरोप केला आहे. .

माध्यमांनी गोळा केल्याप्रमाणे व्हॅलेन्सियाप्लाझा, तक्रार एक अभ्यास दाखल्याची पूर्तता आहे आणि अपयशाचे स्पष्टीकरण "बिंदू बिंदू" जे अनुप्रयोगाच्या API मध्ये त्रुटी असेल. त्याचप्रमाणे स्पॅनिश डेटा प्रोटेक्शन एजन्सीला (AEPD) पत्र पाठवले आहे.

उघड केलेला डेटा खूप वैविध्यपूर्ण आहे आणि त्यात ईमेल, लिंग किंवा एखाद्या व्यक्तीने भुयारी मार्गावर किती वेळा प्रवास केला ते त्यांचे पूर्ण नाव, आयडी क्रमांक, जन्मतारीख, पोस्टल पत्ता आणि दूरध्वनी क्रमांक या सर्व गोष्टींचा समावेश होतो.

API चे डिप्रोटेक्शन (याला कोणत्याही प्रकारच्या प्रमाणीकरणाची आवश्यकता नाही) कोणालाही सक्षम बनविण्यास अनुमती देते सर्व्हरला विनंती कोणतीही मोठी समस्या नाही. अभियंत्याने वर नमूद केलेल्या व्हॅलेन्सियन आउटलेटला दाखवून दिले आहे की सर्व नोंदणीकृत वापरकर्त्यांच्या डेटावर तुलनेने सोप्या पद्धतीने प्रवेश केला जाऊ शकतो. ते मिळवणे देखील सोपे होईल असा संशय आहे क्रेडिट कार्ड क्रमांक प्रवाशांचे (ते रेकॉर्ड देखील अस्तित्वात असल्याने आणि ते पाहणे शक्य आहे कालबाह्यता तारखा आणि ज्या बँकेचे ते संबंधित आहेत), परंतु अभियंता "गुन्हा करू नये म्हणून" असे करण्याचा प्रयत्न केला नाही.

अज्ञात राहणे पसंत करणाऱ्या अभियंत्याने अशी टीका केली आहे की अॅप तयार करण्याचे काम लोकांवर सोपवण्यापेक्षा हे दुसरे काही नाही. पात्र नाही त्यासाठीः

प्रमाणीकरण ही प्रत्येक गोष्टीसाठी पूर्वअट आहे सॉफ्टवेअर खाजगी माहिती हाताळणारे सार्वजनिक प्रवेश आणि या प्रकरणात परिणामांचा विचार न करता कोणत्याही प्रकारचे प्रमाणीकरण लागू न करण्याचा निर्णय घेण्यात आला आहे. [...] पात्र व्यावसायिकांनी विकसित केलेले नाही.

या प्रकरणाचे गांभीर्य दाखवण्यासाठी अभियंता त्याच्या अहवालात यादृच्छिकपणे एखाद्या व्यक्तीची निवड करतो, ज्यातून तपशील त्याच्या सर्व हालचाली. अशा प्रकारे, हे पाहिले जाऊ शकते की व्हॅलेन्सिया मेट्रोचा एक वापरकर्ता आहे जो ला रिबेरा येथे राहतो, दररोज त्याच वेळी मेट्रो घेतो आणि त्याच्याबरोबर व्हॅलेन्सियाच्या मध्यभागी जातो, जिथे त्याचे कार्य आहे - त्याचा ईमेल आम्हाला परवानगी देतो तो डेटा देखील उघड करण्यासाठी. दुपारी, तो प्लाझा डी एस्पाना स्टॉपवरून मेट्रो घेऊन त्याच्या गावी परततो.

सार्वजनिक कंपनी Ferrocarrils de la Generalitat Valenciana म्हणते रेकॉर्ड नाही या निर्णयाची किंवा कोणतीही तक्रार आहे. फक्त एकच गोष्ट ओळखते की मार्च महिन्यात, जेव्हा ऍप्लिकेशन लॉन्च केले गेले तेव्हा एक बग होता, परंतु तो आधीच निश्चित केला गेला आहे.

जर तुम्ही व्हॅलेन्सिया मेट्रो वापरत असाल आणि तुमच्याकडे अॅप्लिकेशन असेल, मध्ये एल कन्फेन्डेनियल उचलणे अभियंता च्या शिफारशी, जो जोरदार सल्ला देतो विस्थापित करा आणि हटवा या सुरक्षा छिद्राची अधिकृतपणे ओळख होईपर्यंत अॅपशी संबंधित सर्व डेटा.