En database med oplysninger fra PostNords Ønskeskyen har stået ubeskyttet åben ud mod internettet.
Ønskeskyen er en tjeneste, hvor brugerne kan oprette digitale ønskesedler, som de kan dele med familie og venner op til eksempelvis jul.
Databasen rummer omkring 300.000 personnavne med tilhørende mail-adresser. I nogle tilfælde har der også være knyttet postnumre og fødselsdatoer til navnene. Også brugeres gaveønsker har været tilgængelige i den åbne database.
»Det er vi kede af, og den fejl, som er sket hos vores underleverandør, er helt uacceptabel. Vi er selvfølgelig glade for, der ikke er personnumre eller bankkonti i denne forbindelse,« siger marketingchef hos PostNord i Danmark Brian Jakobsen og fortsætter:
»Det, der har været muligt at se, er navn, mail og deres ønsker - og så er der nogle brugere, der har oplyst et postnummer og en fødselsdato. Deres kodeord har selvfølgelig været krypteret.«
En Version2-læser, der ønsker at være anonym, fandt databasen via en søgning på sårbarheds-søgemaskinen Shodan.io. Herefter gjorde han PostNord opmærksom på problemet.
»Personen, der har gjort opmærksom på det her, har vi været i dialog med. Han siger selv, han har lavet to besøg, hvor det er lykkedes ham at hente lidt data. Og det er også det, som vores underleverandør kan se på serverloggen,« siger Brian Jakobsen.
Han fortæller desuden, at de pågældende data har været en del at et setup til at stressteste opsætningen i forhold til Ønskeskyen.
Hentede data på 10.000
I en opfølgende mail oplyser PostNord, at antallet af brugere, »der der reelt har været eksponeret, er i omegnen af 10.000«.
Dette tal knytter sig ikke til antallet af brugere i den ubeskyttede database, der altså har haft data for ca. 300.000, men til det antal brugere, som personen, der fandt databasen, ifølge PostNords oplysninger har hentet data på.
»Han har underskrevet en erklæring, hvor han siger, at han har slettet de data, han har hentet,« siger Brian Jakobsen.
Desuden kan PostNord fortælle, at databasen stået åben i tre dage. I den periode er man hos Postnord »ret sikre på«, det kun er den pågældende person, der har tilgået oplysninger i databasen.
Ønskeskyen
Ifølge Version2's oplysninger er der tale om en MongoDB-database, som ikke har været beskyttet med login. Databasen rummer data fra Ønskeskyen.
Udover oplysninger om blandt andet mailadresse og navn har der også ligget et kodeord i krypteret format. Altså ikke i klartekst. Kodeordet er brugervalgt.
Som bekendt er det ikke usædvanligt, at brugere genbruger et kodeord i flere sammenhænge. Og derfor kan der ved datalæk være en risiko for, at de lækkede kodeordsoplysninger ikke bare giver adgang til - i dette tilfælde - Ønskeskyen, men også kan bruges til at opnå adgang til eksempelvis en netbank eller en mailkonto.
Obfuskering af kodeord
Ikke mindst derfor er det i udgangspunktet altid en god idé at køre kodeord gennem en algoritme, så de ikke ligger i klartekst - eksempelvis i en MongoDB-database, som kan findes via Shodan.io
På den måde kan en angriber ikke uden videre bruge oplysningerne til at skaffe sig adgang til andre systemer.
Det er dog ikke helt ligegyldigt, hvilken algoritme kodeordene bliver kørt gennem, inden de bliver lagret i databasen.
I takt med at der dukker sårbarheder op, og hardwaren bliver kraftigere, så er nogle algoritmer i dag fuldstændig ubrugelige til lagring af kodeord. Det gælder for eksempel hash-funktionen MD5.
Derudover skal et såkaldt salt anvendes. Og på den rigtige måde. Det står der mere om i denne anbefaling fra The Open Web Application Security Project.
I forhold til lagringen af kodeord og Ønskeskyen ønsker PostNord ikke at oplyse nærmere om lagringen, men fortæller, at »best practice er benyttet med en sikker hash-algoritme«.
Det samme skulle være tilfældet med saltet.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
