Massiv sårbarhet etterlater data om alle 1,1 milliarder Aadhaar-holdere i risikorapport

Nå skal ingen være overrasket over Aadhaar-databrudd, men en eksklusiv rapport fra ZDNet sier at personvernet og sikkerheten til hver enkelt Aadhaar-kortholder i India potensielt er truet. Den største sikkerhetsfristen er den siste som påvirker den kontroversielle ID-databasen som har blitt bevist gang på gang å være utsatt for den ene store sikkerhetsfeilen etter den andre.

I følge den siste rapporten om den marerittfulle tilstanden til Aadhaar-sikkerhet, har Karan Saini, en New Delhi-basert cybersikkerhetsforsker, tilsynelatende oppdaget et sårbarhet som kan tillate hvem som helst å få tilgang til privat informasjon om alle Aadhaar-holdere, og avsløre navnene deres, unike 12- siffer ID-nummer, informasjon om bankopplysningene, tjenestene de er koblet til og mer. Klart, 13-fots veggene fungerte ikke.

Kilden til datalekkasjen er angivelig et ikke-navngitt statlig driftsselskap, som bruker et usikret API for å få tilgang til Aadhaar-databasen, og bringer personvernet og sikkerheten til ikke bare sine egne kunder, men potensielt alle 1.1 milliarder Aadhaar-holdere i landet i fare..

I følge Saini, “API-endepunktet ... har ingen tilgangskontroller på plass, (og) det berørte endepunktet bruker et hardkodet tilgangstoken, som, når det dekodes, oversettes til“ INDAADHAARSECURESTATUS, ”slik at alle kan spørre Aadhaar-tall mot databasen uten ytterligere godkjenning”.

API-en har ingen hastighetsbegrensning på plass, slik at en angriper kan sykle gjennom hver permutasjon - potensielt billioner - av Aadhaar-tall og få informasjon hver gang et vellykket resultat treffes

Bloggen hevder å ha kontaktet det indiske konsulatet i New York for å diskutere avsløringer av Saini, og kommet i kontakt med konsul for handel og toll, Devi Prasad Misra. Til tross for å svare på flere oppfølgingsspørsmål de neste par ukene, var sårbarheten likevel ikke løst.

Til slutt i begynnelsen av denne uken sa ZDNet at de informerte Mishra om at historien ville bli publisert fredag ​​24. mars, men aldri hørt tilbake fra de indiske myndighetene etter det. I følge bloggen vedvarer problemet fortsatt, og det ble derfor ikke publisert de nøyaktige detaljene om sårbarhetene, inkludert navnet på det statlige verktøyet, og URL-en til det sårbare API-endepunktet.