mongoDB est une base de données utilisée dans les développements à Gilles de style djeun’s. La sécurité n’étant pas le fort des générations Y ou Z, de nombreuses fuites de données ont été relatées dans la presse plus ou moins spécialisée.

Fort de ce constat, je me suis demandé si c’était si difficile que ça de sécuriser cette base de données, sachant que la plupart du temps les fuites de données constatées ne sont dues qu’à la méconnaissance et de la paresse du développeur. En 2017, on dénombrait 60 000 bases MongoDB accessibles sur Internet¹, dont 70 % sans authentification ! Le résultat va de la fuite de données à l’extorsion¹.

En 2018, toujours autant de paresse à corriger ces problèmes, dont les premières alertes² remontent pourtant à 2015 !

• https://www.digitalocean.com/community/tutorials/how-to-securely-configure-a-production-mongodb-server
• https://docs.mongodb.com/v3.0/administration/security-checklist/
• https://docs.mongodb.com/v3.0/administration/security/
• http://blog.mongodb.org/post/86408399868/mongodb-security-part-1-design-and-configuration

Quelques exemples

Les bases MongoDB mal configurées sont légions, disais-je.

• Abbyy, un fournisseur de solution de reconnaissance de caractères (OCR), a laissé plus de 200 000 scans de documents³ parfois très confidentiels. Il se trouve qu’il s’agissait d’une instance hébergée chez AWS⁴. L’informatique, c’est un métier. La sécurité aussi ;
• Une base gérée par une société mexicaine et contenant des informations médicales de 2 millions de patients⁵ fut exposée en clair et sans mot de passe (la bourde classique sur MongoDB) en août 2018 ;
• 200 Go et 445 millions d’enregistrements exposés par Veeam⁶, une société proposant des services pour infrastructures informatiques (dont des sauvegardes), sur une instance MongoDB hébergée chez AWS (septembre 2018).
• Les informations de 700 000 clients d’Amex India (American Express) étaient accessibles en clair⁷.
• 66 millions d’informations d’utilisateurs LinkedIn repérés en décembre 2018⁸.
• Février 2019 : La banque indienne SBI laisse une base opérationnelle sans aucune protection⁹.
• Avril 2019 : https://www.cpomagazine.com/cyber-security/largest-leak-in-history-email-data-breach-exposes-over-two-billion-personal-records/
• Mai 2019 : 12 000 bases effacées par un petit malin¹⁰.
• Juin 2019 : des ordonnances de 78 000 patients en libre-service¹¹.
• Juillet 2019 : maintenant que le RGPD est bien dans les esprits, les déclarations de fuite d’info prolifèrent. Une base de données contenant 188 millions d’enregistrements¹² (= de personnes) a été publiée sur GitHub et indexée. Elle contenait les profils de réseaux sociaux, la religion de la personne, etc.
• Septembre 2019 : une spéciale ! Les auteurs du malware Gootkit sont comme les autres développeurs : ils font des erreurs. Leur base de « clients » (= victimes) s’est retrouvée disponible¹³ sans mot de passe.

Voir aussi

• ElasticSearch
• https://webassets.mongodb.com/_com_assets/collateral/MongoDB_Security_Architecture_WP.pdf

Références

Références

1. a b (fr) « MongoDB : des bases de données mal sécurisées prises en otage » sur LeMagIT (consulté le 10/08/2018)
2. ↑ (fr) « Près de 40 000 bases de données MongoDB ouvertes à tous » sur LeMagIT (consulté le 10/08/2018)
3. ↑ (en) « Abbyy leaked 203,000 sensitive customer documents in server lapse » sur TechCrunch (consulté le 04/09/2018)
4. ↑ (en) « ABBYY leaks over 203K client documents on MongoDB server » sur Information Security Newspaper, 30/08/2018 (consulté le 04/09/2018)
5. ↑ (en) « Health Care Data of 2 Million People in Mexico Exposed Online » sur BleepingComputer (consulté le 18/09/2018)
6. ↑ (en) « Data Management Firm Exposes 445 Million Records » sur BleepingComputer (consulté le 18/09/2018)
7. ↑ (en) Catalin Cimpanu, « Data of nearly 700,000 Amex India customers exposed via unsecured MongoDB server » sur zdnet.com, 07/11/2018
8. ↑ « Unprotected MongoDB Exposes Scraped Profile Data of 66 Million » sur BleepingComputer, 06/12/2018
9. ↑ (en) « India’s largest bank SBI leaked account data on millions of customers », 31/01/2019
10. ↑ (en) Gatlan, « Over 12,000 MongoDB Databases Deleted by Unistellar Attackers » sur BleepingComputer, 17/05/2019 (consulté le 21/05/2019)
11. ↑ (en) Cimpanu, « Meds prescriptions for 78,000 patients left in a database with no password » sur ZDNet (consulté le 21/06/2019)
12. ↑ (en) Fearn, « Unsecured database containing 188 million personal records discovered online | Computing » sur http://www.computing.co.uk, 10/07/2019 (consulté le 11/07/2019)
13. ↑ (en) Cimpanu, « Gootkit malware crew left their database exposed online without a password » sur ZDNet (consulté le 19/09/2019)