Kolumbianische Regierung - Tag der offenen Tür?

Ein wenig schockiert waren wir ja schon, als wir bei einem einfachen "Stöbern" durchs Netz, auf ein merkwürdiges Suchmaschinenergebnis gestoßen sind. Da haben die Administratoren einer Website der kolumbianischen Regierung richtig "saubere Arbeit" geleistet und neben diversen Schwachstellen innerhalb des Internetportals auch gleich die komplette Datenbank zum Download bereit gelegt. Sämtliche Inhalte und Passwörter konnten direkt über die Suchmaschine des Vertrauens eingesehen werden. ...

"Hey, kann hier jemand spanisch?" war der erste Satz nach diesem eher selten zu erlebenden Fund. Eine einfache Suchanfrage bei Google verwies auf eine Website der kolumbianischen Regierung und war gleichzeitig ein Grund für höchste Aufmerksamkeit. Man konnte nicht glauben was da passiert war. Scheinbar haben die Administratoren bzw. die IT-Dienstleister dort vergessen, kritische Bereiche des Servers vor direkten Zugriffen und auch den Suchmaschinen zu schützen. Es wurden scheinbar komplette Backups der Website im Webverzeichnis abgelegt (was man bekanntlich nicht tun sollte). So war es möglich, dass Suchmaschinen wie Google & Co ganz einfach die Verzeichnisse durchforsten und die dort veröffentlichten Dateien in den Index aufnehmen konnten. Wäre nun ein "Kiddie" auf die Idee kommen, die betroffenen Server der kolumbianischen Regierung zu durchforsten, dann wäre dies ohne große Mühe möglich gewesen. Die Informationen lagen dort ja praktisch auf dem Präsentierteller.

Wir haben einen kurzen Blick in das SQL-Dump gewagt, aber nur um zu überprüfen, ob es sich wirklich um sensible Informationen oder lediglich um "Abfall" bzw. Überbleibsel einer Installationsroutine oder dergleichen handelt. Es hätte ja auch nur ein Fehlalarm sein können. Die Inhalte waren zwar komplett in spanischer Sprache, demnach also sowieso für uns nicht lesbar (Bahnhof) - Die Zeile "INSERT INTO `adm_usuario` VALUES" war aber auch in einer für uns fremden Sprache, eindeutig.

Nachdem man die Betreiber benachrichtigte, wollte man auch noch einen kurzen Blick auf die Website selbst werfen und musste nach wenigen Sekunden auch noch diverse Schwachstellen feststellen, die den Abend nicht wirklich schöner gemacht haben. Zwar erhielt man bisher keine Rückmeldung zum Problem - Eine Nachprüfung ergab aber eine erste Entwarnung. Scheinbar wurden die Dateien nun entfernt. Man wartet aber noch auf eine mögliche Antwort und hofft, dass auch die Schwachstellen im Portal möglichst bald beseitigt werden.

Generell sollten Administratoren darauf achten, dass keinerlei Backup-Daten auf dem Server bzw. in öffentlichen Verzeichnissen verweilen. Auch die Verwendung von Software für automatisierte Sicherungen, die direkt auf dem Webspace abgelegt werden, ist nicht immer zu empfehlen. Zumindest sollte man nicht den Verzeichnisschutz vergessen, da sonst ein unabsichtlicher "Leak" wie im oben genannten Beispiel die Folge sein könnte.