Railway-ը բոլոր օգտատերերին հորդորում է փոխել մուտքի տվյալները՝ հնարավոր ներխուժումից հետո

Հոկտեմբերի 22-ին BleepingComputer-ը հայտնել է, որ Railway-ը բոլոր օգտատերերին հորդորել է փոխել հարթակում պահվող գաղտնի և մուտքի տվյալները։ Հետաքննությունը վկայել է, որ չարտոնված կողմը կարող էր ստանալ հաճախորդների որոշ վերծանված տվյալներ։ Զգուշացումը վերաբերում է ինչպես մասնավոր պահոցների մուտքի տվյալներին, այնպես էլ պահվող այլ գաղտնի տվյալների։

Ամպային հոսթինգի մատակարարն այդ շաբաթվա սկզբին կասկածելի ակտիվություն էր հայտնաբերել հաճախորդների միջավայրի փոփոխականները պահող համակարգերում։ Դրանք հավելվածների աշխատանքն ապահովող կարգավորումների արժեքներ են, որոնք կարող են ներառել մուտքի գաղտնի տվյալներ։ Railway-ի հաղորդմամբ՝ չարտոնված երրորդ կողմը կարող էր հասանելիություն ստանալ գաղտնագրված փոփոխականներին և ձեռք բերել դրանցից մի քանիսի վերծանված բովանդակությունը։

Ինչ է Railway-ը խնդրում պաշտպանել

Railway-ը ծրագրավորողներին հնարավորություն է տալիս տեղակայել և գործարկել հավելվածներ, տվյալների բազաներ ու սերվերային այլ ծառայություններ։ Դրա միջավայրի փոփոխականներում կարող են պահվել API բանալիներ, որոնցով հավելվածները հասանելիություն են ստանում այլ ծառայություններին, ինչպես նաև տվյալների բազաների և պահոցների մուտքի տվյալներ։ Ուստի վերծանված արժեքներին հնարավոր հասանելիությունը վերաբերում է հենց գաղտնի տվյալներին, ոչ միայն դրանց գաղտնագրված տարբերակին։

Ընկերության նախնական վերլուծությունը հիմք էր տալիս ենթադրելու, որ դեպքը կարող էր առնչվել օգտատերերի միայն մի մասին։ Այդուհանդերձ, Railway-ը յուրաքանչյուր օգտատիրոջ խորհուրդ է տվել անհապաղ կատարել երկու քայլ․

• Միջավայրի փոփոխականներում պահվող գաղտնի և մուտքի տվյալները փոխարինել նորերով՝ ներառյալ մասնավոր պահոցների մուտքի տվյալները։
• Ստուգել կապակցված ծառայությունների մատյանները՝ անսովոր ակտիվություն հայտնաբերելու համար։

Հոկտեմբերի 22-ի թարմացում․ հավաքումը մասամբ վերականգնվել էր, տեղակայումներն ուշանում էին

Railway-ը հայտնել է, որ հետաքննության ընթացքում դադարեցրել է բոլոր տեղակայումները, ինչի հետևանքով օգտատերերը չէին կարող հավելվածների նոր տարբերակներ գործարկել։ Հավաքումը հավելվածը պատրաստում է գործարկման, իսկ տեղակայումը տվյալ տարբերակը հանձնում է շահագործման։

Ըստ BleepingComputer-ի վկայակոչած՝ ծառայության վիճակի էջի հոկտեմբերի 22-ի՝ համաշխարհային համակարգված ժամանակով (UTC) ժամը 08:44-ի թարմացման՝ Pro և Enterprise աշխատանքային տարածքներում հավաքումը վերսկսվել էր։ Տեղակայումները շարունակում էին ուշանալ, դրանցից շատերը հերթի մեջ էին։ Hobby, Free և Trial աշխատանքային տարածքներում հավաքումը դեռ դադարեցված էր․ այն նախատեսվում էր վերականգնել այդ հերթականությամբ։

Railway-ը հայտնել է, որ ուղղակիորեն կծանուցի այն օգտատերերին, որոնց հաշիվների նկատմամբ չարտոնված հասանելիությունը կհաստատվի, և լրացուցիչ մանրամասներ կտրամադրի։