APNIC 于 2021 年 6 月 18 日披露并修复一起 Whois 数据泄露事件。维护 RDAP 服务时，含有维护者与 IRT 对象哈希密码及私有对象的数据库转储文件，因 Google Cloud 存储桶配置错误公开可见长达三个月。APNIC 已重置所有相关密码，未发现可疑篡改迹象。
泄露原因与暴露范围：
员工在维护 RDAP 服务时将 Whois SQL 数据库“转储”文件复制到一个被认为私有的 Google Cloud 存储桶，但配置错误导致该桶公开可见达三个月。文件包含维护者和 IRT 对象的哈希认证细节，以及常规公共 Whois 服务不可见的私有对象。独立安全研究者于 6 月 4 日通报问题，APNIC 确认后修正配置并删除文件副本。因完整日志不可用，无法确认数据是否被访问，初步调查未发现可疑更新活动。
私有对象来源与内容：
私有对象源于 2017 年 10 月前的审计日志机制。当时新建私有对象会自动写入审计日志，后续功能更新终止该做法，因此泄露的私有对象仅截止至 2017 年 10 月。这些对象的 `descr` 与 `remarks` 属性含资源持有者添加的注释，经审查以企业联系细节为主。
密码机制与应急处置：
维护者对象通过 `mnt-by` 属性保护所有 Whois 对象，仅授权人员可修改；IRT 对象存放滥用报告联系人。两类对象的 `auth` 属性记录哈希格式与哈希后密码，此次转储文件包含这些哈希值。为预防风险，APNIC 于 6 月 15 日至 18 日协助资源持有者重置全部维护者与 IRT 密码，流程已完成，持有者无需进一步操作。
事件虽未造成确认损失，但暴露出运维流程中云存储权限配置与历史审计日志清理的薄弱环节。网络工程师应建立存储桶访问控制的定期复核机制，并对包含敏感哈希的转储文件实施加密与最小权限分发，防止旧数据随维护操作扩散。
原文: APNIC Blog（2021-06-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog