Vulnerabilidade maciça deixa dados de todos os 1,1 bilhão de detentores de Aadhaar em relatório de risco

Até agora, ninguém deve se surpreender com as violações de dados da Aadhaar, mas um relatório exclusivo da ZDNet diz que a privacidade e a segurança de cada portador de cartão Aadhaar na Índia está potencialmente sob ameaça. O principal lapso de segurança é o mais recente a afetar o polêmico banco de dados de ID, que tem sido provado repetidamente como sujeito a uma falha de segurança importante após a outra.

De acordo com o último relatório sobre o estado de pesadelo da segurança de Aadhaar, Karan Saini, um pesquisador de segurança cibernética com sede em Nova Delhi, aparentemente descobriu uma vulnerabilidade que pode permitir que qualquer pessoa acesse informações privadas sobre todos os titulares de Aadhaar, expondo seus nomes, única 12- números de identificação de dígitos, informações sobre seus dados bancários, os serviços aos quais estão conectados e muito mais. Claramente, as paredes de 13 pés não funcionaram.

A fonte do vazamento de dados é supostamente uma empresa de serviços públicos não identificada, que usa uma API não segura para acessar o banco de dados Aadhaar, colocando em risco a privacidade e a segurança não apenas de seus próprios clientes, mas potencialmente de todos os 1,1 bilhão de detentores de Aadhaar no país.

De acordo com Saini, “O endpoint da API ... não tem controles de acesso em vigor, (e) o endpoint afetado usa um token de acesso codificado, que, quando decodificado, se traduz em“ INDAADHAARSECURESTATUS ”, permitindo que qualquer pessoa consulte números Aadhaar no banco de dados sem qualquer autenticação adicional”.

A API não tem nenhum limite de taxa em vigor, permitindo que um invasor percorra cada permutação - potencialmente trilhões - de números Aadhaar e obtenha informações cada vez que um resultado bem-sucedido é atingido

O blog afirma ter entrado em contato com o consulado indiano em Nova York para discutir as revelações de Saini, e com o cônsul para comércio e alfândega, Devi Prasad Misra. No entanto, apesar de responder a várias perguntas de acompanhamento nas semanas seguintes, a vulnerabilidade ainda não foi corrigida.

Finalmente, no início desta semana, a ZDNet disse que informou a Mishra que a história seria publicada na sexta-feira (24 de março), mas nunca mais teve notícias das autoridades indianas depois disso. De acordo com o blog, o problema ainda persiste, por isso não publicou os detalhes exatos sobre as vulnerabilidades, incluindo o nome do utilitário estatal e a URL do endpoint vulnerável da API.