Το χαρακτηριστικό της επιλεκτικής απόκρυψης δεδομένων (Data Redaction) της Oracle Database 12c- το οποίο έχει σχεδιαστεί για την αυτόματη και σε πραγματικό χρόνο προστασία των ευαίσθητων πληροφοριών των βάσεων δεδομένων – μπορεί να παρακαμφθεί χωρίς ιδιαίτερη προσπάθεια, σύμφωνα με τον εμπειρογνώμονα ασφάλειας, David Litchfield.
Ο Litchfield, ο οποίος εργάζεται για την Datacomm TSS, πραγματοποίησε μια παρουσίαση με τίτλο “Oracle Data Redaction Is Broken” στο συνέδριο DefCon, την περασμένη εβδομάδα.
Ο ερευνητής ενημέρωσε το κοινό ότι η υπηρεσία – η οποία υποτίθεται ότι πρέπει να προστατεύει τα ευαίσθητα δεδομένα – είναι ευπαθής, και ότι δεν απαιτείται χρήση πολύπλοκων μεθόδων για την παραβίασή της.
Το χαρακτηριστικό redaction έχει σχεδιαστεί για την αυτόματη προστασία του ευαίσθητου υλικού της βάσης δεδομένων είτε μέσω της οριστικής απόκρυψης των δεδομένων στηλών είτε μέσω της μερικής συγκάλυψης τους – για παράδειγμα, φανερώνοντας μόνο τα τέσσερα τελευταία ψηφία των αριθμών κοινωνικής ασφάλισης, όταν ένα ερώτημα αναζήτησης εκτελείται.
Ωστόσο, σύμφωνα με τον ερευνητή, ο μηχανισμός αυτός περιέχει βασικές ευπάθειες, και η εξουδετέρωσή του μπορεί να επιτευχθεί μέσω της έκχυσης συγκεκριμένων SQL queries.
Κατά τη διάρκεια της παρουσίασης, ο Litchfield απέδειξε πώς ένα απομακρυσμένος εισβολέας θα μπορούσε να αναλάβει τα απαιτούμενα προνόμια για την πρόσβαση στις προστατευμένες πληροφορίες.
Μπορείτε να δείτε την πλήρη έκθεση του ερευνητή από εδώ: https://packetstorm.foofus.com/papers/database/Oracle_Data_Redaction_is_Broken.pdf
