Problema de segurança de informação privada de outubro de 2013

No dia 1° de outubro de 2013, nós tomamos conhecimento de um erro, que fez informações privadas de usuários (especificamente, endereço de email de usuário, hashes de senhas, tokens de sessões e data do último acesso) de aproximadamente 37.000 usuários de projetos da Wikimedia foram acessíveis a voluntários com uma conta na infra-estrutura da Wikimedia "LabsDB".

LabsDB, lançado em maio de 2013, foi concebido para proporcionar aos voluntários a capacidade de escrever ferramentas, e gerar relatórios que fazem uso de dados de nossos bancos de dados em tempo real. Isso apóia a inovação de baixo para cima pela comunidade Wikimedia. Como parte deste processo, os dados privados são redigidos automaticamente antes que os voluntários tenham acesso aos dados. Infelizmente, para algumas das wikis da Wikimedia, o banco de dados usados ​​para reter os dados privados não tiveram efeito devido a uma incompatibilidade do esquema, e os usuários LabsDB tiveram acesso aos dados particulares dos usuários para algumas contas de usuários nessas bases wiki específicas. Em 1 de outubro, 228 usuários tiveram acesso a LabsDB, e a janela de disponibilidade destes dados foi entre 29 de maio de 2013 à 1 de outubro de 2013.

Esta questão foi descoberta e relatada por um voluntário confiável, e acesso aos dados em questão foi revogado dentro de 15 minutos do relatório. Nós não temos nenhuma evidência para sugerir que os dados particulares em questão foi exportados a granel ou utilizados para fins maliciosos, mas definitivamente não podemos excluir a possibilidade. Como medida de precaução, vamos ter invalidada todas as sessões de usuário afetado e estão exigindo os usuários afetados alterar sua senha no seu próximo login.

Também já enviamos uma notificação por e-mail para os usuários afetados com um endereço de e-mail confirmado.

Lamentamos este erro. LabsDB ainda é uma nova parte de nossa infra-estrutura, e será totalmente auditar o processo de redação, a fim de minimizar qualquer risco de um erro futuro desta natureza.

Atenciosamente,
Erik Moeller
Vice-presidente de Engenharia & Desenvolvimento de Produto

Informações para contato

Se você tiver alguma dúvida, entre em contato conosco via e-mail:

accountsecuritywikimedia.org

Você também pode ir a Wikimedia Foundation:

Wikimedia Foundation, Inc.
149 New Montgomery Street
Floor 6
San Francisco, CA 94105
United States
Telefone: +1-415-839-6885
Fax: +1-415-882-0495

Perguntas e Respostas

O que aconteceu?

No dia 1° de outubro de 2013, nós tomamos conhecimento de um erro de configuração em um de nossos bancos de dados que fez informações específicas privadas de usuários de aproximadamente 40.000 usuários de projetos da Wikimedia acessíveis a voluntários com uma conta na infra-estrutura da Wikimedia "LabsDB".

O que é LabsDB?

LabsDB, lançado em maio de 2013, foi desenhado para dar aos voluntários a possibilidade de escrever ferramentas e gerar relatórios que fazem uso das informações em nossos bancos de dados, em tempo real. Isso apoia o aumento de inovações pela comunidade da Wikimedia.

Quem descobriu o problema?

Isto foi descoberto e relatado por um voluntário de confiança, e o acesso aos dados em questão foi revogado em poucos minutos depois do relato.

O relato do bug pode ser encontrado aqui.

Que tipo de informações estão disponíveis aos usuários do LabsDB??

Havia quatro tipos de informações de usuários que estavam potencialmente disponíveis: endereços de e-mail de usuários, senhas, identificadores de sessão (usado para manter o usuário logado), último login com data e hora.

Note que as senhas de erro grave, não revelam senhas em texto legível; se um terceiro obtiver uma cópia dos hashes, terá que realizar um ataque de força bruta para obter senhas válidas dos hashes, o que é mais provável de acontecer nos casos em que as senhas são muito simples, pouco seguras. Os hashes foram gerados utilizando o algoritmo MD5 com sal.

Este erro de configuração não afeta quaisquer dados dos doadores e nem outros dados privados que estiveram disponíveis.

Por quanto tempo essas informações estavam disponíveis?

A janela de disponibilidade destes dados foi de 29 de maio de 2013 a 1 de outubro de 2013.

Por que demorou tanto tempo para descobrir o erro de configuração?

Apenas um subconjunto de nossas wikis públicos foi afetado pela questão de redação, e somente um subconjunto dos dados privados era acessível. O mecanismo de redação foi testado e parecia estar funcionando conforme o esperado, mas um conjunto de novas wikis que foram adicionados com uma pequena diferença em seu esquema de banco de dados causou o processo parcialmente falhar sem aviso prévio, até que um voluntário salientou a descoberta do problema.

Quem teria tido acesso a essas informações?

Usuários do LabsDB teriam sido potencialmente capazes de acessar essas informações dos usuários, mas não temos nenhuma evidência, para sugerir que qualquer pessoa o fêz.

Em 1 de outubro, 228 usuários tiveram acesso ao LabsDB.

Quais são os tipos de protocolos de segurança, que tem que impedir que os dados dos usuários estejam disponíveis?

Como parte deste processo, dados privados são redigidos automaticamente antes de voluntários recebem acesso aos dados. Infelizmente, para alguns dos wikis da Wikimedia, os gatilhos de banco de dados usados para redigir dados privados não conseguiram levar a efeito, e LabsDB os usuários tinham acesso aos dados particulares do usuário presentes para alguns usuários nesses bancos de dados específicos de wiki.

Alguém teve acesso às informações pessoais?

Nós não temos nenhuma indicação de que quaisquer terceiros tem acessado na verdade esta informação, só que era potencialmente acessível ao titular de uma conta de LabsDB. Na medida limitada, que nós somos capazes, buscamos tais provas, mas não encontros nenhuma evidência para sugerir que os dados particulares em questão foram exportados a granel ou utilizados para fins maliciosos, mas definitivamente não podemos excluir a possibilidade.

Quais foram os bancos de dados afetados?

• aswikisource
• bewikisource
• dewikivoyage
• elwikivoyage
• enwikivoyage
• eswikivoyage
• frwikivoyage
• guwikisource
• hewikivoyage
• itwikivoyage
• kowikiversity
• lezwiki
• loginwiki
• minwiki
• nlwikivoyage
• plwikivoyage
• ptwikivoyage
• rowikivoyage
• ruwikivoyage
• sawikiquote
• slwikiversity
• svwikivoyage
• testwikidatawiki
• tyvwiki
• ukwikivoyage
• vecwiktionary
• votewiki
• wikidatawiki
• wikimania2013wiki
• wikimania2014wiki

O que foi feito para resolver os erros de configuração?

O acesso aos dados em questão foi retirado dentro de 15 minutos após a denúncia. Como medida preventiva, nós invalidamos todas as sessões de usuários afetados e estamos solicitando que usuários afetados alterem suas senhas no próximo acesso deles. Nós também enviamos uma notificação por email para usuários afetados que tenham endereço de email confirmado.

Também vamos examinar plenamente o processo de ocultação de dados, para minimizar qualquer risco de um futuro erro desta natureza.

Eu uso a mesma senha em outros sites. Eu deveria mudá-los também?

Enquanto apenas a senha de erro grave foram potencialmente expostos a terceiros, são vulneráveis a certas formas de ataques de força bruta que poderiam recuperar senhas (especialmente se a senha não é particularmente forte). É recomendável que você altere sua senha em qualquer outro site onde foi usado – idealmente para uma diferente do que você usar em projetos da Wikimedia.