Людино-пошуковий інструмент ClarityCheck залишив витік бази даних із понад 9 мільйонами файлів зображень.
Коли користувач завантажує фото до інструменту пошуку за зображеннями ClarityCheck, вебсайт чітко повідомляє: «Ваш зворотний пошук зображень є приватним і безпечним». Однак нове дослідження показує, що вебсайт залишив понад 9 мільйонів файлів зображень, включно з фотографіями облич людей, публічно доступними. Крім того, друга помилка конфігурації залишила публічно доступними електронні адреси та номери телефонів людей.
Загалом, згідно з висновками незалежного дослідника безпеки Джеремая Фаулера, виявлена база даних ClarityCheck містила приблизно 450 ГБ зображень, включно з, як виявилося, зображеннями профілів, скріншотами та іншими фотографіями дорослих, підлітків та дітей. Усі зображення зберігалися в незахищеному сховищі Amazon S3. Файли були розташовані у папках з назвами «faces» (обличчя) та «profiles» (профілі), до яких будь-хто онлайн міг отримати доступ за допомогою URL-адреси, що містилася у загальнодоступному коді вебсайту компанії.
ClarityCheck є одним із так званих people-finder інструментів, які з’явилися в Інтернеті останніми роками. Ці вебсайти загалом стверджують, що можуть шукати в Інтернеті, публічних записах та інших базах даних для ідентифікації осіб. Вебсайт ClarityCheck заявляє, що може виконувати пошук за номерами телефонів, електронними адресами, ідентифікаційними номерами транспортних засобів та іменами. Його сторінка пошуку за фотографіями стверджує, що може допомогти «ідентифікувати будь-кого на фото» та знайти профілі в соціальних мережах «за секунди».
Хоча ClarityCheck забезпечив безпеку величезної бази даних зображень після того, як WIRED зв’язався з компанією в липні, Фаулер попереджає, що база даних, очевидно, була відкрита протягом місяців, і його початкові спроби повідомити компанію про проблему були невдалими. Випадкові витоки даних становлять ризик для будь-якої особистої інформації, але особливо для конфіденційних та незмінних біометричних даних, таких як зображення облич.
І хоча вебсайт ClarityCheck вимагає від користувачів підтвердження, що вони мають дозвіл на завантаження фотографій на його сайт, Фаулер зазначає, що на практиці люди, чиї обличчя були виявлені, могли й не знати, що ClarityCheck зберігає їхні зображення. Адже, як він зауважує, сервіс явно призначений для ідентифікації, а люди зазвичай не прагнуть ідентифікувати себе чи знайомих.
«Якщо ви намагаєтеся дізнатися, хто така особа, ви можете не мати відповідних дозволів, тому люди можуть не знати, що їхнє зображення потрапило до цієї бази даних, яка була публічною», — каже Фаулер у коментарі WIRED. «AI-бот міг би сканувати його, витягувати обличчя та використовувати їх для навчання. І там багато фотографій дітей».
У заяві, надісланій WIRED, речник зазначив, що ClarityCheck цінує зусилля Фаулера щодо інформування компанії про проблеми. «Як тільки це було доведено до відома відповідних команд, ми негайно вжили заходів для обмеження доступу», — сказав речник.
Компанія заперечила будь-яку характеристику даних як «розкритих», заявивши, що «звичайний член суспільства» не міг би на них натрапити. «Ми не погоджуємося з тим, що дані у тимчасовому сховищі були «публічно розкриті», що передбачає масштабний публічний доступ», — зазначає речник. «Доступ вимагав знання певного, неіндексованого URL-адреси, який не можна було виявити під час звичайного використання сервісу ClarityCheck або загального пошуку в Інтернеті».
Індустрія безпеки загалом, а також уряд США зокрема, вважають дані розкритими, якщо до них можуть отримати доступ особи, які не призначені для цього, особливо якщо вони доступні в Інтернеті без захисту автентифікації, як-от ім’я користувача та пароль. «Розкриття — це стан, у якому особисті або конфіденційні дані залишаються доступними, виявленими або іншим чином нараженими на ризик несанкціонованого доступу, незалежно від того, чи хтось вже скористався ними або зловжив ними», — каже Марк Беар, керівник відділу споживчих продуктів компанії Malwarebytes. «Резервна копія бази даних, доступна публічно, неправильно налаштоване сховище або облікові дані в системі, до якої може дістатися дослідник, — все це є розкриттям».
«Немає жодних ознак зловмисного доступу, як зазначає дослідник», — продовжила заява ClarityCheck. «Дані включають дублікати, обрізані та змінені копії одних і тих самих файлів, а також незображені дані, а не 9 мільйонів унікальних зображень».
Компанія додала, що вона «покращила» свої процедури звітування про безпеку, щоб допомогти іншим дослідникам зв’язатися з компанією в майбутньому.
На додаток до даних облич, ClarityCheck також неправильно налаштував свої API таким чином, що URL-адреси вебсайту можна було маніпулювати, щоб розкрити дані про людей, просто вводячи імена; це міг зробити будь-хто, використовуючи будь-який споживчий браузер. Введення імені в один з URL-адрес повертало кілька потенційних електронних адрес, фізичних адрес та номерів телефонів людей з таким іменем. Після того, як WIRED зв’язався з компанією, URL-адреси були захищені. Речник ClarityCheck заявив у своїй заяві, що надані деталі «були отримані з загальнодоступної інформації та ліцензованих сторонніх постачальників даних».
Функція пошуку за обличчям ClarityCheck дозволяє людям завантажувати зображення, а потім отримувати «звіт» про те, де це зображення може з’являтися в Інтернеті та хто може бути на фото. Коли репортер WIRED протестував систему, використовуючи власне зображення обличчя, вебсайт повідомив, що «сканує ознаки обличчя» та «картографує унікальну геометрію обличчя», перш ніж зіставити зображення з іншими в Інтернеті та запропонувати звіт, який міг включати повне ім’я, адреси, історію місцезнаходжень, публічні виступи, фотографії, відео, профілі в соціальних мережах та «приховані профілі для знайомств» за певну плату. Отриманий звіт містив ім’я репортера, біографію та посилання на численні фотографії цієї особи в Інтернеті.
Неправильні конфігурації та випадкові витоки, на жаль, поширені в Інтернеті, але оскільки цифрові платформи пропонують все більше автоматизованих можливостей для збору та аналізу конфіденційних особистих даних, ставки зростають, коли йдеться про безпеку інформації.
«Системи, які покладаються на надзвичайно конфіденційну особисту інформацію для перевірки осіб, продовжуватимуть нести ці ризики, навіть за наявності сильніших практик мінімізації даних та безпеки, оскільки сама модель залежить від збору конфіденційних даних», — каже Ребекка Вільямс, директор зі стратегії конфіденційності та управління даними в Американському союзі громадянських свобод.
Фаулер наголошує, що виявлені дані, зокрема фотографії, є більш цінними, ніж будь-коли, для шахраїв або кіберзлочинців. «Скажімо, я був у кримінальному середовищі, займався котфішингом, переглядав усі ці фотографії, обирав 20 найбільш привабливих людей, а потім використовував їхні зображення та ШІ для створення персонажа», — каже Фаулер.
За даними порталу: arstechnica.com