แอปพลิเคชันหลายพันทำข้อมูลรั่วไหลเพราะตั้งค่า Firebase Backend ไม่ถูกต้อง
ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยของมือถือหรือ Appthority ได้ทำรายงานเกี่ยวกับการรั่วไหลของข้อมูลจากแอปพลิเคชันที่มีการใช้งาน Firebase Database (Firebase คือ Backend-as-a-Service จาก Google ภายในมีบริการจำนวนมากที่นักพัฒนาสามารถใช้สร้างแอปพลิเคชันมือถือและเว็บ) ซึ่งพบว่ามีหลายพันแอปพลิชันกำหนดการตั้งค่าการใช้งานไม่ถูกต้องก่อให้เกิดข้อมูลรั่วไหลถึง 113 GB
บริการจาก Google นี้เป็นที่นิยมอย่างยิ่งในหมู่นักพัฒนาแอปพลิเคชัน เช่น การวิเคราะห์ข้อมูล การโฆษณา ติดตามประสิทธิภาพ Storage ฐานข้อมูล และอื่นๆ ซึ่งตั้งแต่เดือนมกราคมของปีนี้นักวิจัยได้สแกนค้นหาแอปพลิเคชันที่ใช้งาน Firebase เพื่อเก็บข้อมูลของผู้ใช้งาน โดยวิเคราะห์รูปแบบการร้องขอกับโดเมนของ Firebase ที่เชื่อมต่อผ่าน JSON URLs ได้ตรงๆ ซึ่งเป็นเหตุให้บุคคลที่ 3 ที่ไม่ได้รับการพิสูจน์ตัวสามารถเข้ามาดูข้อมูลของแอปพลิเคชันได้
ผลการสำรวจแอปพลิเคชันกว่า 2.7 ล้านแอปพลิเคชันจาก iOS และ Android มีแอปพลิเคชันจำนวน 28,502 แอป ประกอบด้วย 27,227 ของ Android และ 1,275 ของ iOS มีการเชื่อมต่อและเก็บข้อมูลบน Firebase Backends อย่างไรก็ตามแอปพลิเคชันจำนวน 2,271 แอป มีการตั้งค่า Firebase Database ผิดที่อนุญาตให้บุคคลอื่นสามารถเข้ามาดูข้อมูลของตนได้ ความร้ายแรงคือมีบันทึกข้อมูลกว่า 1 ร้อยล้านเผยออกมารวมขนาดแล้วประมาณ 113 GB ดังนี้
- 2.6 ล้านเป็นรหัสผ่านแบบ Plaintext และ IDs ของผู้ใช้งาน
- 25 ล้านคือพิกัดของ GPS
- 50 ล้านเป็นบันทึกข้อมูลทางการเงิน เช่น จากธนาคาร ธุรกรรมการเงิน หรือ Transaction ของ Bitcoin
- 4.5 ล้านคือข้อมูลของ Facebook, LinkedIn, Firebase และ Token ของ Data Store ขององค์กร
- 4 ล้าน บันทึกข้อมูล PHI ข้อมูลสุขภาพ
- แม้ว่าทาง Appthority จะทำการแจ้ง Google เพื่อแจ้งต่อไปยังนักพัฒนาเรียบร้อยแล้วหากแต่แอปพลิเคชันที่บกพร่องนี้ได้ถูกดาวน์โหลดไปแล้วถึง 620 ล้านครั้งผ่าน Play Store นี่แสดงให้เห็นถึงความนิยมของแอปพลิเคชันที่มีความเสี่ยงที่จะตามมานั่นเอง
Comments
Post a Comment