Özet
NCX olarak tanımlanan bir kripto borsasının, dahili bir MongoDB örneğini kimlik doğrulaması olmadan halka açık internette bıraktığı iddia edildi. Veritabanına aylarca erişilebildi, ~1GB veri ve 5 milyondan fazla kayıt tuttu ve isimler, e-postalar, doğum tarihleri, KYC belge bağlantıları, karma şifreler, 2FA tohumları / URL'leri, dahili API anahtarları, IP geçmişi, hesap cüzdan adresleri ve işlem günlüklerini içeriyordu.Günlük Güvenlik İncelemesi) Bu sadece "PII sızıntısı" değildir. Kimlik hırsızlığı, KYC sahtekarlığı, hesap ele geçirme, zincir üzerinde hedefleme, düzenleyici maruziyet ve 72 saat içinde açıklama gerektiren modern veri koruma rejimleri kapsamındaki olay müdahale yükümlülükleri gibi tam yığın bir uzlaşma yüzeyi.GDPR)

Bu makale NCX tarzı ihlale iki açıdan yaklaşmaktadır:

1. Saldırgan test / kırmızı ekip gerçeği - bu yanlış yapılandırmanın nasıl aktif istismara dönüştüğü.
2. Uyumluluk ve müdahale - müşteri kimlik verilerinin ve çok faktörlü gizliliklerin kontrolünü kaybettiğinizi öğrendiğinizde yapmanız gerekenler.

Ayrıca Penligent gibi sürekli bir saldırı testi platformunun, bir düzenleyici, saldırgan veya gazeteci bunu yapmadan önce bu tam hata modlarını nasıl ortaya çıkarabileceğini ve simüle edebileceğini de haritalayacağız.

Olaya Genel Bakış: Ne Sızdı ve Neden Önemli?

Bildirilen sorun ifade açısından basit ve sonuçları açısından acımasızdır: internete bakan bir MongoDB örneği kimlik doğrulaması olmadan. IP ve bağlantı noktasını bilen (veya tahmin edebilen/tarayabilen) herkes koleksiyonlara düz metin olarak göz atabilir.Günlük Güvenlik İncelemesi)

Açıklanan Veri Türleri

Açıklamaya göre, NCX veri seti (kayıt başına, milyonlarca satırdan fazla) içeriyordu:

• Tam ad / e-posta / doğum tarihi
• KYC görüntüsü veya belge bağlantıları (pasaport, kimlik taramaları)
• 2FA tohum değerleri ve kayıt URL'leri
• Karma şifreler
• IP adresi geçmişi ve oturum açma meta verileri
• Dahili API anahtarları / hizmet belirteçleri
• Cüzdan adresleri, para yatırma / çekme geçmişi, zincir etkinliği
• Hesap durumu işaretleri (yasaklama / dondurma / risk)
• Destek bileti günlükleri

Bu durum üç nedenden ötürü alışılmadık derecede kötüdür:

1. Büyük ölçekte kimlik devralma
   Bir saldırgan yasal adınız + DoB + pasaport resminize sahipse, başka yerlerde hesap açabilir, sosyal mühendislikle "hesap kurtarma" yapabilir veya daha zayıf yerlerde KYC'yi geçebilir. Bu, ders kitabı niteliğinde bir kimlik hırsızlığı kozudur.(Günlük Güvenlik İncelemesi)
2. 2FA tohum maruziyeti yoluyla MFA baypası
   Zamana dayalı tek seferlik parola (TOTP) tohumları saklanır ve sızdırılırsa, bir saldırgan talep üzerine geçerli 2FA kodları oluşturabilir ve parolanızı hiç paylaşmamış olsanız bile sizin yerinize oturum açabilir. Güvenliği ihlal edilmiş 2FA tohumları esasen "önceden hazırlanmış oturum belirteçleridir."(Günlük Güvenlik İncelemesi)
3. Saklama + zincir içi hedefleme
   Cüzdan adresleri ve işlem geçmişleri, bir saldırganın hangi kullanıcıların gerçekten boyut taşıdığını haritalamasına olanak tanır. Bu yüksek değerli hedefler daha sonra kimlik avına tabi tutulabilir ("Para çekme işleminiz engellendi, lütfen burayı imzalayın") veya SIM takası yapılabilir. Kripto platformlarının, ihlal edilen kullanıcıları tam olarak bu oyun kitabını kullanarak kişiselleştirilmiş kimlik avı beklemeleri konusunda uyardığını gördük. (Günlük Güvenlik İncelemesi)

Yanıt Yok Sorunu

Açık MongoDB'yi bulan araştırmacıların birden fazla kez sorumlu ifşa girişiminde bulundukları ve zamanında yanıt alamadıkları bildirildi.Günlük Güvenlik İncelemesi)
Mevzuat açısından bakıldığında, bu bir felakettir: GDPR sınıfı rejimler ve birçok ulusal veri koruma otoritesi, hızlı bir şekilde kontrol altına alınmasını, kanıtların korunmasını, 72 saat içinde düzenleyicilere ihlal bildiriminde bulunulmasını ve çoğu durumda, kullanıcılar için risk yüksekse kullanıcı bildiriminde bulunulmasını beklemektedir(GDPR)

Saldırı Zinciri: Bir Kırmızı Ekip "Açık MongoDB "yi Tam Hesap Gizliliğinin İhlaline Nasıl Dönüştürür?

Bu bölüm bir sızma testi anlatısı gibi yazılmıştır, çünkü bir saldırgan (veya sorumlu bir test uzmanı) bu şekilde ilerleyecektir.

Adım 1: Maruz kalınan MongoDB'nin numaralandırılması

• Klasik MongoDB bağlantı noktaları (27017/27018) için bulut adres alanının geniş bir bölümünü bağlantı noktası taraması yapın.
• Kimliği doğrulanmamış erişimi onaylamak için banner / sunucu durumunu alın.
• Veritabanlarını ve koleksiyonları listeleyin (db.getCollectionNames() vb.).
• Yüksek değerli koleksiyonları boşaltın: kullanıcılar, auth, kyc, Cüzdan, işlemler, apiKeys, biletler.

Başka bir deyişle, bu "0 gün" değil. Bu 1990'lar düzeyinde bir yanlış yapılandırma: internette veritabanı, kimlik doğrulama yok, güvenlik duvarı yok. CISA ve NIST, kimlik doğrulaması olmadan internete açık veri depolarının en yaygın ihlal giriş noktalarından biri olmaya devam ettiği konusunda defalarca uyarıda bulunmaktadır.Avrupa Komisyonu)

İşte bir saldırganın bir test kutusundan çalıştırabileceği basitleştirilmiş bir sözde oturum (bunu sahip olmadığınız veya değerlendirme izniniz olmayan sistemlere karşı çalıştırmayın; yetkisiz erişim gerçekleştirmek yasa dışıdır):

# Açık MongoDB ana bilgisayarlarını keşfedin (yalnızca örnek mantık)
nmap -p 27017 --open  -oG mongo_hosts.txt

# Keşfedilen bir ana bilgisayara kimlik bilgileri olmadan bağlanma
mongosh --host :27017 --eval "db.adminCommand('listDatabases')"

# Hedef DB'deki koleksiyonları numaralandırma
mongosh --host :27017 --eval "use ncx_users; db.getCollectionNames()"

# Kullanıcı ile ilgili belgeleri boşaltın
mongosh --host :27017 --eval "use ncx_users; db.users.find().limit(5).pretty()"

Gerçek bir kırmızı ekip için bu, masadaki bahislerdir. Bir düzenleyici kurum ya da davacı avukatı için bu, sistemin "makul güvenlik kontrollerine sahip olmadığına" dair güçlü bir kanıttır.

Adım 2: Gizli dizileri ve kimlik doğrulama materyallerini topla

İçeri girince, saldırgan çeker:

• password_hash veya eşdeğeri
• totp_seed / 2fa_secret
• api_key / api_secret
• KYC dosya URL'leri

İşte büyük ikramiye. Parola karmaları çevrimdışı olarak kırılabilir; TOTP tohumları geçerli MFA kodlarını basmanıza izin verir; API anahtarları dahili yönetici veya ticaret arka uçlarıyla konuşabilir.

Güvenlik araştırmacıları ve DFIR ekipleri, sızdırılan 2FA tohumlarının ve "yeniden kullanılabilir" API kimlik bilgilerinin, doğrudan hesap ele geçirme ve yanal harekete dönüştüğü için yüksek değerli ganimetler olduğunu defalarca belirtmişlerdir(Günlük Güvenlik İncelemesi)

Adım 3: Simüle edilmiş hesap devralma

Kullanıcı adı/e-posta + şifre (veya çevrimdışı kırılmış karma) + çalınan TOTP tohumu ile bir saldırgan yerel olarak geçerli 6 basamaklı kodlar oluşturabilir. Bu, kurbanın telefonuna hiç dokunmadan tam oturum açma anlamına gelir.

Borsa e-posta ile parola sıfırlamayı ve 2FA'yı destekliyorsa ve her ikisi de tehlikeye girerse, saldırgan kullanıcıyı tamamen dışarıda bırakabilir. Bu senaryo - çalınan TOTP veya sıfırlama faktörü verileri kullanılarak MFA'nın atlanması - tam da bu nedenle kripto ihlali müdahale kılavuzları, etkilenen kullanıcılara kimlik bilgilerini derhal döndürmelerini, MFA'yı yeniden kaydetmelerini ve para çekme işlemlerini izlemelerini söylüyor.CCN.com)

Adım 4: KYC ve kimlik suistimali

KYC görüntü bağlantıları ve kimlik taramalarının açıkta (veya tahmin edilebilir / uzun ömürlü URL'lerin arkasında) olduğu bildirildiğinden, saldırganlar bunları kullanabilir:

• başka bir yerde başka biri olarak yeni döviz hesapları açmak için;
• diğer hizmetlerde sosyal mühendislik müşteri desteği ("Pasaportumu şimdi size göndereceğim, lütfen kilidi açın");
• yüksek değere sahip kullanıcıları son derece kişisel ayrıntılarla ("Merhaba, AML uyarınca para çekme işleminizi dondurduk...") dolandırmak.

Kripto platformlarının, sızdırılan KYC eserlerinin özel kimlik avı ve dolandırıcılık için yakıt haline geldiği konusunda kamuoyunu uyardığını zaten görüyoruz (Günlük Güvenlik İncelemesi)

Adım 5: Zincir içi hedefleme

Cüzdan adresleri ve işlem kayıtları size kimin gerçekten ciddi hacim taşıdığını söyler. Bu liste altın değerinde:

• spear-phishing ("güvenlik doğrulama" dolandırıcılığı),
• gasp tehditleri,
• toz alma saldırıları ve onay kaçırma dolandırıcılığı (bunu imzala, fonlarını kaybet).

Saldırganlar "borsa şifrelerini çalmaktan" "sızdırılmış finansal meta verileri silah olarak kullanmaya" geçtiler çünkü bu yöntem ölçeklenebilir ve sosyal mühendisliği daha iyi yapıyor.Günlük Güvenlik İncelemesi)

Savunma ve İyileştirme Kontrol Listesi (Teknik)

NCX'in (veya herhangi bir kripto borsasının, fintech cüzdanının veya KYC ağırlıklı platformun) açık bir MongoDB sızıntısı keşfettikten hemen sonra yapması gereken şey budur.

Veritabanı güvenlik temel çizgisi

• Halka açıklığı şimdi öldürün: örneği genel yönlendirmeden kaldırın veya güvenlik duvarı kurallarının / yalnızca VPC erişiminin arkasına kilitleyin.
• Kimlik doğrulama gerektir: MongoDB kimlik doğrulamasını ve rol tabanlı erişimi etkinleştirin; internetten anonim okumalara asla izin vermeyin.
• Her yerde TLS: düz metin değil, şifreli aktarımı zorlar.
• En az ayrıcalık ilkesi: Kullanıcıya dönük mikro hizmetler yalnızca kesinlikle ihtiyaç duydukları koleksiyonları görmelidir.
• Günlük kaydı ve uyarı: Erişim denemeleri ve anormal sorgularla ilgili sürekli denetim günlükleri oluşturun. NIST ve AB düzenleyicileri, bir ihlal sırasında ve sonrasında kimin neye, ne zaman eriştiğini gösteren kayıtlar beklemektedir.Avrupa Komisyonu)

Sır ve anahtar yönetişimi

• API anahtarlarını döndürme çöplükte bulundu, tehlikede olduklarını varsayalım.
• Uzun ömürlü "özel URL'leri" geçersiz kılma KYC görüntülerine; bu varlıkları sıkı ACL ile kısa ömürlü imzalı URL'lerin arkasına taşıyın (örneğin, dakika ölçekli sona erme, IP sınırları ve denetim ile önceden imzalanmış S3 URL'leri).
• Dahili yönetici API'lerini güçlendirin Sızan anahtarların vurabileceği: örneğin karşılıklı TLS, IP izin listeleri, cihaz duruşu gerektirir.

Ölçekte 2FA / MFA sıfırlama

• Açıkta kalan tüm TOTP tohumlarına yanmış muamelesi yapın. Etkilenen hesaplar için yeniden kaydolmaya zorlayın.
• Asla düz metin olarak saklanmayan yeni tohumlarla yeni 2FA kurulumu gerektirir.
• Yüksek riskli hesaplar için (örneğin büyük bakiyeler), para çekme ve şifre değişiklikleri için geçici olarak kademeli doğrulama ekleyin. Güvenlik ekipleri ve hatta düzenleyiciler, yüksek değerli işlemlerde ihlal sonrası "uyarlanabilir sürtünmeyi" teşvik etmektedir.CCN.com)

KYC veri işleme

• KYC belgelerini sıkı erişim kontrolü ve kısa ömürlü erişim belirteçleri ile şifrelenmiş depolama alanına taşıyın, kalıcı herkese açık bağlantılar değil.
• Nesne katmanına erişim kaydı ekleyin (Y zamanında X pasaportunu kim görüntüledi).
• Saklama süresini en aza indirin - GDPR veri minimizasyonu ve amaç sınırlaması gerektirir. Tam çözünürlüklü bir pasaport taramasına sonsuza kadar ihtiyacınız yoksa, sonsuza kadar saklamayın.(GDPR)

Adli tıp + olay müdahale disiplini

• Kanıt için açıkta kalan DB'nin anlık görüntüsünü alın.
• Zaman çizelgesini yeniden oluşturmak için kaldırmadan önce/sonra erişim günlüklerini yakalayın.
• İhlal bildirimi iş akışını başlatın:
  • Riskin düşük olduğunu kanıtlayamadığınız sürece, farkındalıktan sonraki 72 saat içinde veri koruma yetkilisine bildirimde bulunun;
  • Etkilenen kullanıcılar için yüksek risk varsa (kimlik hırsızlığı, hesap ele geçirme açıkça bu niteliktedir), bu kullanıcıları "gecikmeksizin" bilgilendirmek (GDPR)
• Tüm gözetim zincirini belgeleyin. Hem GDPR hem de çoğu siber sigortacı sizden kanıtları ve iyileştirme adımlarını korumanızı bekler.Perkins Coie)

Aşağıda, keşfedildikten sonraki ilk 48 saat içinde gerçekleştirmeyi beklediğiniz basitleştirilmiş bir iyileştirme zaman çizelgesi yer almaktadır:

AB DPA'ları ve Birleşik Krallık ICO'su gibi düzenleyiciler, yetkililere ihlal bildiriminin genellikle farkındalıktan sonraki 72 saat içinde yapılması gerektiğini ve ayrıca etkilenen bireyler için "yüksek risk" varsa onları bilgilendirmeye hazır olmanız gerektiğini açıkça belirtmektedir (GDPR)

Uyumluluk Eşlemesi: GDPR, SOC 2 / SOC 3 ve Kriptoya Özel Beklentiler

GDPR / AB tarzı veri koruması

GDPR Madde 33 ve Madde 34 kapsamında, kişilerin hak ve özgürlüklerini riske atan bir kişisel veri ihlaline maruz kalırsanız, şunları yapmanız gerekir:

1. haberdar olduktan sonraki 72 saat içerisinde denetim makamını bilgilendirmek ve
2. Etkilenen kullanıcıları "gereksiz gecikme olmaksızın" bilgilendirin, nelerin açığa çıktığını ve bu konuda ne yaptığınızı açıklayın(GDPR)

Kripto için KYC + kimlik belgeleri + giriş meta verileri + 2FA tohumlarının sızdırılması bireyler için kesinlikle "yüksek risklidir". Kimlik dolandırıcılığı, mali kayıp ve sosyal mühendisliğe olanak sağlar - düzenleyiciler sessizliği kabul etmeyecektir.

SOC 2 / SOC 3 tarzı kontroller

SOC 2 / SOC 3 dilinde (güvenlik, kullanılabilirlik, gizlilik), açık, kimliği doğrulanmamış bir üretim veritabanı, erişim kontrolü, ağ güvenliği ve değişiklik yönetimi beklentilerinin doğrudan ihlalidir. "Kritik müşteri PII'ları ve sırları kimlik doğrulaması yapılmadan herkese açık bir IP'de bulunuyorsa" olgun bir SOC denetiminden geçemezsiniz.

İhlal bildirimi ve kripto güveni

Kripto borsaları tuhaf bir bölgede yer alıyor: bazıları tam lisanslı banka değil ama yine de müşteri parasını, pasaportlarını ve AML/KYC verilerini işliyor. Bu şu anlama geliyor:

• Hem bir fintech saklayıcısı (müşteri bakiyelerini korumak, dolandırıcılığı önlemek) hem de bir veri denetleyicisi (kişisel verileri korumak, ihlalleri bildirmek) gibi değerlendirilirsiniz.Günlük Güvenlik İncelemesi)
• Bildirimde bulunmazsanız, sadece para cezalarını riske atmazsınız. Yıllarca süren borsa saldırıları ve halının çekilmesinden sonra zaten paranoyak olan kripto toplulukları içinde kalıcı marka hasarını riske atarsınız.CCN.com)

"NCX-Class" Arızaları İnternetten Önce Nasıl Yakalanır (Penligent View)

Açık konuşalım: "5 milyondan fazla kaydı açığa çıkaran kimlik doğrulaması olmayan herkese açık MongoDB", iyi bir saldırgan test döngüsünün gazetecilerden çok önce yakalaması gereken türden bir şeydir (Günlük Güvenlik İncelemesi)

Penligent (https://penligent.ai/) buna sürekli, otomatik düşman testi olarak yaklaşıyor - temelde her zaman açık bir kırmızı ekip. İşte nasıl eşleştiği:

Varlık haritalama ve maruziyet izleme

Penligent'ın aracıları sürekli olarak harici saldırı yüzeyini (bulut IP aralıkları, alt alanlar, sızdırılmış hizmetler) haritalandırır ve kimliği doğrulanmamış MongoDB, Redis, Elasticsearch, nesne depolama kovaları vb. gibi internete dönük veri depolarını işaretler. Bu tam olarak NCX'in açığa çıkmasına neden olan yanlış yapılandırma sınıfıdır. (Günlük Güvenlik İncelemesi)

Hassas veri / anahtar keşif simülasyonu

Yetkili kapsam dahilinde Penligent, maruz kalınan hizmetlerdeki yüksek değerli "taç mücevherleri" tespit etmeye çalışır:

• 2FA/TOTP tohumları
• API anahtarları ve hizmet belirteçleri
• KYC belge bağlantıları veya kovaları
• Cüzdan / para çekme meta verileri

Platform daha sonra gerçek saldırganların yapacağı gibi bir istismar yolu ("bu tohumla MFA kodları oluşturabiliriz," "bu anahtarla dahili yönetici API'sine ulaşabiliriz") oluşturur - ancak bunu hesapları gerçekten ele geçirmek yerine kontrollü bir sanal alanda yapar. Bu da güvenlik ekiplerinin liderliğe götürebilecekleri kanıt destekli bir risk anlatısı yaratır.

MFA ve para çekme yolu testi

Penligent koşullu hesap ele geçirmeyi simüle edebilir: "Bir saldırgan bu tohumu çaldıysa, giriş yapabilir mi? Manuel inceleme olmadan para çekebilirler mi? E-postayı sıfırlayabilirler mi?" Bu size panik sarmalı yerine sıralı bir düzeltme listesi verir.

Uyumluluk raporlaması

Son olarak Penligent, bulguları GDPR 72 saatlik ihlal görevleri, SOC 2 / SOC 3 kontrol başarısızlıkları ve kripto saklama riski ile eşleştirir. Bu önemlidir, çünkü sadece hatayı düzeltmeniz gerekmez - bir süreciniz olduğunu, harekete geçtiğinizi ve düzenleyicileri bilgilendirebileceğinizi kanıtlamanız gerekir.GDPR)

Pratikte bu, "DB'mizin aylarca herkese açık olduğundan haberimiz yoktu" ile "sürekli keşif yaptık, yakaladık, kontrol altına aldık, işte kayıtlar" arasındaki farktır.

SSS (Güvenlik, GRC ve Mühendislik için)

Q1. NCX gibi ihlallere yol açan en yaygın MongoDB yanlış yapılandırması nedir?

Kimlik doğrulaması ve ağ ACL'si olmadan herkese açık yönlendirilebilir MongoDB. Genellikle dev/test örnekleri "geçici prod "a terfi eder ve asla kilitlenmez. CISA/NIST yıllardır, kimlik doğrulaması olmayan açık veritabanlarının büyük ölçekli sızıntıların yinelenen bir nedeni olduğu konusunda uyarıda bulunmuştur.Avrupa Komisyonu)

Q2. Bir 2FA/TOTP tohumu sızdırılırsa, bir saldırgan benim yerime oturum açabilir mi?

Evet, eğer saldırgan kullanıcı adınıza/e-postanıza ve şifrenize ya da kırılmış bir karmaya da sahipse. Tohum ile sonsuza kadar geçerli 6 basamaklı kodlar oluşturabilirler. Bu nedenle ihlal sonrası rehberlik her zaman şunu söyler: MFA'yı sıfırlayın, sadece şifreyi değil.Günlük Güvenlik İncelemesi)

Q3. KYC görüntüleri ve kimlik taramaları nasıl saklanmalıdır?

Bunlar şifrelenmeli, erişim kontrollü olmalı ve sonsuza kadar yaşayan statik bağlantılar değil, yalnızca kimlik doğrulama oturumuna bağlı kısa ömürlü imzalı URL'ler aracılığıyla alınabilmelidir. Her erişim günlüğe kaydedilmelidir. GDPR ayrıca "veri minimizasyonu" beklemektedir: ihtiyacınız olandan daha fazla kişisel veri biriktirmeyin.GDPR)

Q4. Düzenleyicileri ve kullanıcıları yasal olarak ne kadar hızlı bilgilendirmek zorundayız?

GDPR tarzı rejimler kapsamında, genellikle bireyleri riske atan bir ihlalden haberdar olduktan sonra 72 saat içinde ilgili makama bildirimde bulunmanız ve etkilenen kullanıcılara yönelik riskin yüksek olması halinde bu kullanıcıları "aşırı gecikme olmaksızın" bilgilendirmeniz gerekir(GDPR)

Alt satır

"Yanlış yapılandırılmış MongoDB" kulağa çaylak hatası gibi geliyor. Kriptoda ise varoluşsaldır.
KYC kimlikleri, karma şifreler, IP günlükleri, cüzdanlar ve hatta TOTP tohumları içeren 5 milyondan fazla kullanıcı kaydını sızdırdığınızda, yalnızca e-postaları sızdırmakla kalmaz, kimliği, likiditeyi ve güveni de sızdırmış olursunuz.Günlük Güvenlik İncelemesi)

Kırmızı takım açısından bakıldığında, bu neredeyse otomatik bir ele geçirme yoludur.
Uyumluluk açısından bakıldığında, bu durduramayacağınız bir düzenleyici saattir.GDPR)

Bu nedenle KYC depolayan ve kullanıcı fonlarını tutan tüm kripto platformları için sürekli, otomatik, kanıta dayalı saldırı testleri (varlık keşfi → istismar simülasyonu → uyumluluk eşlemesi) hızla zorunlu hale gelmektedir. Peki ya böyle bir ihlalin yaşandığı bir borsada kullanıcıysanız? Şifreleri değiştirin, 2FA'yı döndürün, hedefli kimlik avının yaklaştığını varsayın ve ayrılmayı ciddi olarak düşünün. (CCN.com)