В открытом доступе оказался дамп PostgreSQL-базы «Российской электронной школы»

отметили
7
человек
в архиве

В свободный доступ был выложен дамп PostgreSQL-базы с данными зарегистрированных пользователей предположительно государственной образовательной платформы «Российская электронная школа». В таблице пользователей 9,148,983 записи. В том числе – ФИО, адрес эл. почты, телефон, имя пользователя и другая информация.

Ситуацию прокомментировал менеджер по продукту система управления базами данных Jatoba компании «Газинформсервис» Константин СЕМЕНЧУК:

– Крайне важно производить как изначальные настройки безопасности СУБД, так и периодически проверки на уязвимости.

Вот минимальный набор настроек, обеспечивающий безопасную работу СУБД:

  • Узкий Whitelist разрешенных для подключения к СУБД ip адресов и пользователей (лишнее из списка удалить)
  • Использование безопасных методов аутентификации (md5, ldaps)
  • Безопасные парольные политики (обязательные разные регистры, цифры, спецсимволы)
  • Защита от подозрительных sql запросов, например, sql инъекций (sql firewall)
  • Установка обновлений после обнародования новых уязвимостей
  • Также, возможно использование дополнительных средств защиты, например, как в СУБД Jatoba.

    Добавил Naymov Naymov 2 Июня 2023
    проблема (1)
    Комментарии участников:
    vvsupervv66
    +2
    vvsupervv66, 2 Июня 2023 , url

    Зато бабла срубили хорошо.

    А МЭШ вообще превратили в Кландайк или Эльдорадо для личного обогащения. Причём ежемесячно.

    В МЭШ постоянно возникают якобы ошибки, после которых учителей, выполнивших все требования, лишают надбавок за МЭШ.

    Вертят и крутят, как хотят. Хороший распил.

    И не придерёшься. По закону всё ровно.

    Anikavoi
    +3
    Anikavoi, 2 Июня 2023 , url

    Посгрисовскую базу сдампать может только тот кто может запусть pg_dump.

    Т.е. парольные политики самой субды похрен. Дамп делает пользователь системы, а не пользователь субд. Пользователь субды может скопить свою схему и все. Данные в посгрисе разделяются очень даже здраво.

    Половина «новости» для знающего человека — туфта, хотя формально все типа букварь. Писал чел не в теме.



    Войдите или станьте участником, чтобы комментировать