ভাগ্যবান হোস্টিংয়ে আমি অন্যের রেডিস ডেটা দেখি কি স্বাভাবিক? [বন্ধ]


40

রেডিস পরিষেবাটি আমার হোস্টিংয়ে উপলভ্য, এবং আমি যদি এটি অর্থের জন্য সংযুক্ত করি তবে এটি কেবল আমার জন্য উপলব্ধ, যেহেতু রেডিস একটি পৃথক ডকার পাত্রে উঠেছে।

তবে, আমি যদি এটি বন্ধ করে দিই, তবে সার্ভার-চওড়া হলেও রেডিস এখনও নিখরচায় ব্যবহার করা যেতে পারে। এবং এখানে আমি সার্ভার-ওয়াইড রেডিসের সাথে সংযুক্ত করছি:

$redis = new Redis ();
$redis->connect('127.0.0.1', 6379);

এবং আমি সেখানে অন্যান্য লোকের সাইটের প্রায় 300,000 রেকর্ড দেখতে পাচ্ছি।

$allKeys = $redis->keys('*');
echo(count($allKeys)); // ~300000
echo ($allKeys[10000]); // some data of some site
echo ($redis->get($allKeys[10000])); // some data of some site

এবং আমি প্রতিটি রেকর্ড পরিবর্তন করতে পারেন! এটার মত:

$redis->set($allKeys[10000], 0);

অর্থাৎ, কেউ সার্ভার-ওয়াইড রেডিস ব্যবহার করে এবং আমি বিশ্বাস করি যে ব্যবহারকারী তাদের ডেটাগুলির সর্বজনীন উপলব্ধতার বিষয়ে অবগত নয়। তিনি স্রেফ ওয়ার্ডপ্রেসের কোথাও "ইউজ রেডিস" চেকবক্সটি চালু করেছেন।

এবং প্রশ্নটি হল: হোস্টিং সরবরাহকারী কি এর জন্য দায়ী? সর্বোপরি, একজন সাধারণ ব্যবহারকারী বিশ্বাস করেন যে তার ডেটা কেবল তার সার্ভারে সঞ্চিত রয়েছে এবং কেবল তার কাছে উপলব্ধ।

প্রযুক্তিগত সহায়তার প্রতিক্রিয়া ছিল: সবকিছু ঠিক আছে।

তবে আমি তা মনে করি না, তাই আমি জিজ্ঞাসা করি।


5
সম্ভবত আপনার নিজের ডিবি উন্মুক্ত করা হচ্ছে এবং এখন অন্য কারও দ্বারা ব্যবহার করা হচ্ছে (যেমন কোনও গোপন / দূষিত সাইটের হোস্টিং) ... দুর্ঘটনাক্রমে একটি পরীক্ষা (অ-উত্পাদন, কোনও আসল ডেটা / ব্যবহার) ছাড়ার পরে আমার একবার এটি হয়েছিল red সার্ভার ইন্টারনেটে উন্মুক্ত। এটি অন্য কারও ডেটাতে পূর্ণ দেখতে দু'দিন পরে ফিরে এসেছিল।
মাইক গ্রাফ

উত্তর:


25

এই হোস্টিং সরবরাহকারীটি সুরক্ষা লঙ্ঘনের জন্য দায়ী। ওডাব্লুএএসপি-র শীর্ষ দশ ওয়েব অ্যাপ্লিকেশন সুরক্ষা ঝুঁকি বিবেচনা করে, এটি কয়েকটি সুরক্ষা ঝুঁকির বিষয়: ব্রোকড প্রমাণীকরণ, সংবেদনশীল ডেটা এক্সপোজার এবং ব্রোকেন অ্যাক্সেস নিয়ন্ত্রণ।

আপনার পরবর্তী পদক্ষেপটি আপনার উপর নির্ভর করে। আপনার হোস্টিং সরবরাহকারীকে অবহিত করা উচিত, ব্যবহারকারীদের সম্ভাব্য ডেটা লঙ্ঘনের জন্য হোস্টিং সরবরাহকারীকে অবহিত করা উচিত। এটি একটি অত্যন্ত গুরুতর সুরক্ষা এবং আইনী বিষয় যেহেতু কারওর ব্যক্তিগতভাবে ব্যক্তিগত ডেটা অন্য ব্যবহারকারীর কাছে অ্যাক্সেসযোগ্য।

দেখুন: https://owasp.org/www-project-top-ten/


4
প্রযুক্তিগত সহায়তার প্রতিক্রিয়া ছিল: সবকিছু ঠিক আছে।
Паймуллин Паймуллин

15
@।, আপনি যদি অন্য কোনও ব্যবহারকারীর ডেটা অ্যাক্সেস করতে পারেন তবে অন্য ব্যবহারকারী আপনার ডেটাও অ্যাক্সেস করতে পারবেন। এটি সুরক্ষিত নয় এবং আপনার এই হোস্টিং সরবরাহকারীর ব্যবহারটি বিবেচনা করা উচিত।
নিকোলা কিরিনিক

@ নিকোলা কিরিনিক আপনার notআগে একটি প্রবেশ করানো দরকার consider
এরকিন অলপ গনি

@ নিকোলা কিরিনিক এখানে একটি গুরুত্বপূর্ণ বিষয় মনে রাখতে হবে, তা যদি এটি ব্যক্তিগত হিসাবে বিজ্ঞাপন না দেওয়া হয় তবে আমি মনে করি না যে আমি এই জাতীয় কিছু ব্যবহার করব, তবে যদি এটির কাজটি একটি ভাগ করা জায়গা হিসাবে ডিজাইন করা এবং ডিজাইন করা হয়, তবে এটি একটি নয় নিরাপত্তা লঙ্ঘন.
ব্রুস বুর্গ

5

আমি ওয়েব হোস্টিংয়ে কাজ করি। এটি সঠিক নয় এবং এর অর্থ তাদের হাতে একটি গুরুতর সমস্যা রয়েছে! কোনও পরিচালক বা সুপারভাইজারের জন্য জিজ্ঞাসা করুন। যদি এটি কোথাও না যায় তবে সরান।

আপনি যা বর্ণনা করেছেন তা থেকে তাদের রেডিস ব্যবহারকারীদের জন্য ভার্চুয়াল ব্যবহারকারী রয়েছে যারা এটির জন্য অর্থ প্রদান করে। এটি অন্য সবার জন্য অক্ষম করার পরিবর্তে, তারা বর্ণিত সুরক্ষা লঙ্ঘনের ফলে তারা সবাইকে একই ভাগ করা পুলটিতে অ্যাক্সেস করার অনুমতি দিচ্ছে বলে মনে হয়।


1
হাই - আপনার উত্তরটি কেন আরও কিছু ব্যাখ্যা দিয়ে আরও গঠনমূলক হবে।
হাওয়ার্ড ই

পরামর্শের জন্য ধন্যবাদ. আমি আমার প্রাথমিক উত্তরটি সম্পাদনা করেছি।
রায়ান ফুল
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.