Сервіс пошуку людей ClarityCheck залишив базу даних із понад 9 мільйонами файлів зображень незахищеною.
Коли користувач завантажує фотографію до сервісу пошуку людей ClarityCheck, на вебсайті з’являється чітке повідомлення: «Ваш зворотний пошук зображень є приватним і безпечним». Однак нове дослідження показує, що вебсайт залишив понад 9 мільйонів файлів зображень, включно з фотографіями облич людей, загальнодоступними. Друга неправильна конфігурація призвела до публічного розкриття електронних адрес та номерів телефонів людей.
Загалом, згідно з висновками незалежного дослідника безпеки Єремії Фаулера, незахищена база даних ClarityCheck містила приблизно 450 ГБ зображень, серед яких були, ймовірно, зображення профілів, скріншоти та інші фотографії дорослих, підлітків і дітей. Усі зображення зберігалися в незахищеному хмарному сховищі Amazon S3 у папках з назвами «faces» (обличчя) та «profiles» (профілі), до яких міг отримати доступ будь-хто онлайн через URL-адресу, включену до загальнодоступного коду вебсайту компанії.
ClarityCheck є одним із багатьох так званих «людинопошукових» сервісів, що з’явилися в Інтернеті останніми роками. Ці вебсайти загалом стверджують, що можуть здійснювати пошук в Інтернеті, загальнодоступних записах та інших базах даних для ідентифікації осіб. На вебсайті ClarityCheck зазначено, що він може виконувати пошук за номерами телефонів, електронними адресами, ідентифікаційними номерами транспортних засобів та іменами. Його сторінка пошуку за фотографіями стверджує, що може допомогти «ідентифікувати будь-кого на фото» та знайти профілі в соціальних мережах «за секунди».
Хоча ClarityCheck забезпечив безпеку величезної бази даних зображень після того, як WIRED зв’язався з компанією у липні, Фаулер попереджає, що вона, очевидно, була незахищеною протягом місяців, і його початкові спроби повідомити компанію про проблему були невдалими. Випадкове розкриття даних створює ризик для будь-якої особистої інформації, але особливо для конфіденційних та незмінних біометричних даних, таких як зображення облич.
І хоча вебсайт ClarityCheck вимагає від користувачів підтвердження, що вони мають дозвіл на завантаження фотографій на його сайт, Фаулер зазначає, що на практиці люди, чиї обличчя були розкриті, могли й не знати, що ClarityCheck зберігає їхні зображення. Зрештою, зауважує він, сервіс спеціально розроблений для ідентифікації, а люди зазвичай не прагнуть ідентифікувати себе чи людей, яких вони знають.
«Якщо ви намагаєтеся з’ясувати, хто ця людина, у вас може не бути дозволу, тому люди можуть не знати, що їхні зображення потрапили до цієї бази даних, яка була публічною», — говорить Фаулер WIRED. «AI-бот може її просканувати, витягти обличчя та використовувати їх для навчання. І там багато фотографій дітей».
У заяві, надісланій WIRED, речник зазначив, що ClarityCheck цінує зусилля Фаулера щодо інформування компанії про проблеми. «Після того, як це було доведено до відома відповідних команд, ми негайно вжили заходів для обмеження доступу», — сказав речник.
Компанія заперечила будь-яку характеристику даних як «розкритих», заявивши, що «звичайний член суспільства» не міг би натрапити на них. «Ми не погоджуємося з тим, що дані у тимчасовому місці зберігання були «публічно розкриті», що передбачає масштабний публічний доступ», — каже речник. «Доступ вимагав знання конкретної, неіндексованої URL-адреси, яку неможливо було знайти за допомогою звичайного використання сервісу ClarityCheck або загального пошуку в Інтернеті».
Індустрія безпеки загалом, а також уряд США зокрема, вважають дані розкритими, якщо до них можуть отримати доступ особи, які не повинні мати такого доступу, особливо якщо вони доступні в Інтернеті без захисту автентифікації, як-от ім’я користувача та пароль. «Розкриття — це стан, коли особисті чи конфіденційні дані стали доступними, виявленими або іншим чином нараженими на ризик несанкціонованого доступу, незалежно від того, чи хтось їх уже взяв або зловжив», — каже Марк Бір, керівник споживчих продуктів компанії Malwarebytes. «Резервна копія бази даних, доступна публічно, неправильно налаштоване сховище або облікові дані в системі, до якої може дістатися дослідник, — це все випадки розкриття».
«Немає жодних ознак зловмисного доступу, як зазначає дослідник», — продовжили в заяві ClarityCheck. «Дані включають дублікати, обрізані та змінені копії тих самих файлів, разом з незображеними даними, а не 9 мільйонами унікальних зображень».
Компанія додала, що вона «покращила» свої процедури звітування про безпеку, щоб допомогти іншим дослідникам зв’язатися з компанією в майбутньому.
На додаток до даних про обличчя, ClarityCheck також неправильно налаштував свої API таким чином, що URL-адреси вебсайту можна було маніпулювати для розкриття даних про людей, просто ввівши імена; будь-хто, використовуючи будь-який споживчий браузер, міг це зробити. Введення імені в одну з URL-адрес повертало б кілька потенційних електронних адрес, фізичних адрес та номерів телефонів людей з таким іменем. Після того, як WIRED зв’язався з компанією, URL-адреси були захищені. Речник ClarityCheck заявив у своїй заяві, що надані дані «були отримані з загальнодоступної інформації та ліцензованих сторонніх постачальників даних».
Функція пошуку облич ClarityCheck дозволяє людям завантажувати зображення, а потім отримувати «звіт» про те, де це зображення може з’являтися в Інтернеті та хто може бути на фото. Коли репортер WIRED протестував систему, використовуючи власне зображення обличчя, вебсайт повідомив, що він «сканує орієнтири обличчя» та «картографує унікальну геометрію обличчя» перед тим, як зіставити зображення з іншими в Інтернеті та запропонувати звіт, який може включати повне ім’я, адреси, історію місцезнаходжень, публічні виступи, фотографії, відео, профілі в соціальних мережах та «приховані профілі знайомств» за плату. Отриманий звіт назвав репортера, надав біографію та посилання на численні фотографії цієї особи в Інтернеті.
Неправильні конфігурації та випадкові розкриття даних, на жаль, є поширеним явищем в Інтернеті, але оскільки цифрові платформи пропонують все більше автоматизованих можливостей для збору та аналізу конфіденційних персональних даних, ставки зростають, коли йдеться про безпеку інформації.
«Системи, які покладаються на надзвичайно конфіденційну особисту інформацію для перевірки осіб, продовжуватимуть нести ці ризики, навіть із посиленими практиками мінімізації даних та безпеки, оскільки сама модель залежить від збору конфіденційних даних», — каже Ребекка Вільямс, директор зі стратегії з приватності та управління даними Американського союзу громадянських свобод.
Фаулер наголошує, що розкриті дані, включно з фотографіями, є ціннішими, ніж будь-коли, для шахраїв або кіберзлочинців. «Припустимо, я був у злочинному одязі і займався фішингом людей, я переглядав усі ці фотографії, вибрав 20 найпривабливіших людей, а потім використав їхні зображення та ШІ, щоб створити персону», — говорить Фаулер.
Джерело новини: arstechnica.com