Hindistan’ın devlete ait lojistik portalında, hassas kişisel verileri ve çeşitli devlet ve özel ticari kayıtları açığa çıkaran yanlış yapılandırmalar ve güvenlik açıkları düzeltildi.
Aradı Ulusal Lojistik Portalı-Denizcilikweb sitesi, yanlış yapılandırılmış Amazon S3 klasörleri nedeniyle hassas ve özel verileri kamuya açıkladı. Ayrıca web kaynak koduna oturum açma kimlik bilgilerini içeren bir JavaScript dosyası da taşıyordu.
Güvenlik araştırmacısı Bob Diaçenko Hint portalındaki sorunları açık kaynaklı güvenlik aracı TruffleHog aracılığıyla buldu. Diachenko, TechCrunch’a, açığa çıkan verilerin çeşitli gemi ve gemi mürettebatının seyahatleri için sunduğu tam adları, uyruğu, doğum tarihini, cinsiyeti, pasaport numaralarını, pasaport veren makamı ve son kullanma tarihini içerdiğini söyledi. Benzer şekilde hassas bilgiler arasında faturalar, nakliye siparişleri ve yükleme faturaları da vardı.
“Nedenler [for the exposure] bu durumda birden fazla — hepsi, sabit kodlanmış kimlik bilgilerinin bir JavaScript dosyasında saklanmasından halka açık S3 paketlerine kadar çeşitli yanlış yapılandırmalara yol açıyor,” diye TechCrunch’a söyledi.
25 Eylül’de Diachenko gönderildi Eskiden Twitter olarak bilinen X’te, hassas bilgilerin düzeltildiği açık dosyalardan birini gösteren bir ekran görüntüsü. Daha sonra olayı daha iyi anlamak için Hindistan Bilgisayar Acil Durum Müdahale Ekibi (CERT-In) ve AWS’nin güvenlik ekibi kendisiyle iletişime geçti. TechCrunch ayrıca araştırmacıdan ayrıntıları aldıktan kısa bir süre sonra CERT-In’i konu hakkında ayrıca bilgilendirdi. Nodal ajansı Salı günü iletişimimizin alındığını kabul etti ve düzeltmeyi Cuma günü doğruladı.
CERT-In düzeltmeyi onaylarken, “Sondaki e-postayla ilgili olarak, ilgili kuruluş güvenlik açığının hafifletildiğini doğruladı” dedi.
Limanlar, denizcilik ve su yolları bakanlığı ve portaldan sorumlu firma PortalHindistan’ın ticari holdingi JM Baxi’nin bir yan kuruluşu olan , yayınlanmadan önce çok sayıda yorum talebine yanıt vermedi.
Limanlar, Nakliye ve Su Yolları Bakanlığı başlatıldı Ocak ayında Ulusal Lojistik Portalı-Marine. Proje, tüm lojistik ticaret süreçlerinde “tek pencere” olarak çalışmayı amaçlıyor ve su yolları, karayolları ve hava yollarındaki taşımacılık modlarını kapsıyor. Ayrıca uçtan uca lojistik hizmetlere erişim için çevrimiçi bir pazar yeri de içerir.
Verilerin ifşa edilmesi olayı, Çin’den sonra ikinci en büyük İnternet pazarı olan Hindistan’ın beklenen gizlilik yasası olan 2023 tarihli Dijital Kişisel Verileri Koruma Yasası’nı almasının hemen ardından gerçekleşti. Yasa, özel şirketlerin kişisel verileri kullanımına ilişkin yönergeleri ana hatlarıyla belirtiyor ancak Hindistan hükümetini yasal yükümlülüklerden muaf tutuyor.
