L’Asia Pacific Network Information Center (APNIC), le registre Internet de la région, a admis avoir laissé au moins une partie de sa base de données Whois SQL, qui contient des informations sensibles, sur l’Internet public pendant trois mois.

Son directeur général adjoint Sanjaya révélé détails de l’erreur de configuration à la fin de la semaine dernière. Il a expliqué que l’erreur s’est produite lorsque le personnel effectuait des travaux de maintenance sur le service RDAP (Registration Data Access Protocol) d’APNIC, qui, ironiquement, est destiné à remplacer Whois.

Au cours de cet effort de maintenance, un vidage de la base de données Whois SQL d’APNIC a été copié dans un compartiment de stockage Google Cloud qui, selon Sanjaya, « était considéré comme privé ». Ce n’était pas le cas, et APNIC n’a appris qu’il était accessible au public que lorsqu’un chercheur en sécurité indépendant a signalé le problème le 4 juin. Comme Sanjaya l’a dit, « une erreur de configuration signifiait que ce compartiment était en fait visible publiquement pendant une période de trois mois. »

« On ne sait pas si les données ont été consultées, car les fichiers journaux complets ne sont pas disponibles. Cependant, les enquêtes initiales ne révèlent aucun signe d’activité de mise à jour suspecte », a déclaré Sanjaya.

Le DG adjoint a déclaré que le fichier dans le compartiment exposé « contenait des détails d’authentification hachés pour le mainteneur whois APNIC et les objets IRT, et comprenait également des objets whois privés qui ne sont pas visibles sur le service whois public régulier d’APNIC ».

On nous dit que les mots de passe hachés sont utilisés pour protéger les entrées de la base de données Whois d’APNIC afin que seules les personnes autorisées puissent apporter des modifications aux enregistrements. Et les objets IRT contiennent des « informations de contact pour les administrateurs d’une organisation chargés de recevoir les rapports d’activités d’abus de réseau ». Quant au reste :

L’APNIC a réinitialisé les mots de passe, avisé toutes les parties prenantes dont les données étaient en danger, s’est excusé et a pris des mesures pour empêcher que ce genre de chose ne se reproduise. L’organisation a également souligné que les utilisateurs avec un compte MyAPNIC n’ont rien à craindre et n’ont pas besoin de changer leurs mots de passe, car les données exposées ne concernaient que les responsables et un petit groupe d’autres utilisateurs.

Les parties prenantes peuvent être rassurées par le fait que les données d’objet privé dans le vidage ne datent que d’octobre 2017, et qu’APNIC ne peut trouver aucune preuve que des mots de passe hachés ont été piratés et utilisés pour faire des bêtises.

L’organisation a également promis de détailler l’incident et ses conséquences lors de sa propre conférence APNIC 52 en septembre. ®