Сервис Redis доступен на моем хостинге, и если я подключаю его за деньги, он доступен только для меня, так как Redis поднимается в отдельный контейнер докера.
Но если я выключу его, тогда Redis все еще можно будет использовать бесплатно, хотя и для всего сервера. И вот я подключаюсь к обще-серверному Redis:
$redis = new Redis ();
$redis->connect('127.0.0.1', 6379);
И я вижу там около 300 000 записей чужих сайтов.
$allKeys = $redis->keys('*');
echo(count($allKeys)); // ~300000
echo ($allKeys[10000]); // some data of some site
echo ($redis->get($allKeys[10000])); // some data of some site
И я могу изменить каждую запись! Нравится:
$redis->set($allKeys[10000], 0);То есть кто-то использует общедоступный Redis, и я считаю, что пользователь не знает о публичной доступности своих данных. Он просто включил флажок «Использовать Redis» где-то в WordPress.
И вопрос: ответственен ли хостинг-провайдер за это? Ведь обычный пользователь считает, что его данные хранятся только на его сервере и доступны только ему.
Ответ технической поддержки был: все в порядке.
Но я так не думаю, поэтому я спрашиваю.
Ответы:
Этот хостинг-провайдер несет ответственность за нарушение безопасности. Учитывая десять основных рисков безопасности веб-приложений OWASP, это проблема нескольких рисков безопасности: сломанная аутентификация, раскрытие конфиденциальных данных и сломанный контроль доступа.
Какой ваш следующий шаг зависит от вас. Вы должны проинформировать хостинг-провайдера, пользователи должны быть проинформированы хостинг-провайдером о возможном нарушении данных. Это очень серьезный вопрос безопасности и правовые вопросы, поскольку чьи-то личные данные доступны другим пользователям.
Смотрите: https://owasp.org/www-project-top-ten/
источник
notраньшеconsider.Я работаю в веб-хостинге. Это не правильно и означает, что у них на руках серьезная проблема! Спросите менеджера или руководителя. Если это никуда не денется, ПЕРЕМЕСТИТЕ.
Из того, что вы описали, у них есть виртуальные пользователи для пользователей Redis, которые платят за это. Вместо того, чтобы отключить его для всех остальных, они, по-видимому, позволяют всем получить доступ к одному и тому же общему пулу, что вызывает нарушение безопасности, которое вы описали.
источник