Gravatar: डेटा में सेंध
2020 में Gravatar की बड़े पैमाने पर स्क्रैपिंग की घटना में सार्वजनिक प्रोफ़ाइल API की आईडी क्रमवार खंगाली गई थीं; यह पासवर्ड या निजी डेटाबेस में घुसपैठ का मामला नहीं था। शोधकर्ता Carlo Di Dato ने 3 अक्टूबर 2020 को खुलासा किया कि संख्यात्मक आईडी वाले एक JSON रूट से क्रमवार प्रोफ़ाइल जुटाई जा सकती थीं और अनुरोधों की दर पर लगभग कोई सीमा नहीं थी। Gravatar ने कहा कि उसे “हैक नहीं किया गया था”, बल्कि उपयोगकर्ता नाम और ईमेल के संदर्भ के रूप में इस्तेमाल होने वाले MD5 हैश स्क्रैप किए गए थे। उसने यह भी कहा कि उसने बड़े पैमाने पर डेटा जुटाने को रोक दिया था।
उजागर हुए डेटा के प्रकार
6- ईमेल पते
- नाम
- उपयोगकर्ता नाम
- Public profile names
- Public profile usernames
- MD5 email-reference hashes
इस डेटा उल्लंघन के बारे में
नाम और उपयोगकर्ता नाम सार्वजनिक प्रोफ़ाइल फ़ील्ड थे; ईमेल पते को MD5 हैश के रूप में दर्शाया गया था। हैश को एन्क्रिप्ट करके फिर डिक्रिप्ट नहीं किया गया था। बिना सॉल्ट वाला MD5 नियतात्मक होता है, यानी एक ही इनपुट से हमेशा एक ही हैश बनता है। इसलिए संभावित या ज्ञात ईमेल पतों के हैश बनाकर उनका मिलान किया जा सकता था और मूल ईमेल पते निकाले जा सकते थे।
डेटा में सेंध की जानकारी का सार्वजनिक स्रोत के अनुसार, लगभग 16.7 करोड़ प्रोफ़ाइल स्क्रैप की गई थीं और हैश से निकाले गए 11,39,90,759 अद्वितीय ईमेल पते नामों और उपयोगकर्ता नामों के साथ वितरित किए गए थे। 11,39,90,759 का आंकड़ा लोगों, सक्रिय उपयोगकर्ताओं या पहली बार उजागर हुए ईमेल पतों की संख्या नहीं है; निकाले गए ईमेल पतों में से 72% पहले की घटनाओं के कारण डेटा में सेंध की जानकारी का सार्वजनिक स्रोत के डेटासेट में पहले से मौजूद थे। 3 अक्टूबर इस तकनीक के खुलासे की तारीख है, अंतिम डेटासेट का संग्रह शुरू होने की प्रमाणित तारीख नहीं।
व्यक्ति-स्तर का कोई स्थानीय डेटासेट उपलब्ध नहीं है। यह रिकॉर्ड Gravatar के वर्तमान उपयोग, प्रोफ़ाइल के स्वामित्व, नाम और उपयोगकर्ता नाम के एक साथ मौजूद होने, पासवर्ड की सुरक्षा भंग होने या दुरुपयोग की पुष्टि नहीं करता। ईमेल को नाम से जोड़ने वाले संबंध, छद्मनामों से जुड़े संबंध और अलग-अलग साइटों के बीच के संबंध संवेदनशील समुदायों में भाग लेने वाले व्यक्तियों की पहचान उजागर कर सकते हैं। इन संबंधों को निजी ही रखा जाना चाहिए; उपयोगकर्ताओं को Gravatar की केवल उन फ़ील्ड की समीक्षा करनी चाहिए जो अब भी सार्वजनिक रूप से दिखाई देती हैं।
सत्यापन और संपादकीय प्रक्रिया
LeakData घटना के नाम, तारीख, प्रभावित रिकॉर्ड की संख्या और उजागर हुए डेटा के प्रकारों का सुलभ स्रोतों से मिलान करता है। असत्यापित जानकारी को तथ्य के रूप में प्रस्तुत नहीं किया जाता, और नए साक्ष्य उपलब्ध होने पर रिकॉर्ड अपडेट किए जाते हैं।
छूटी हुई या गलत जानकारी की रिपोर्ट करें
