Sicherheitslücke bei Benutzerdaten im Oktober 2013

Am 1. Oktober 2013 wurde ein Fehler entdeckt, durch den geschützte Daten von ca. 37.000 Benutzern von Wikimedia-Projekten für die ehrenamtlichen Entwickler mit einem Benutzerkonto bei der Wikimedia-LabsDB-Infrastruktur zugänglich waren. Insbesondere betroffen waren E-Mail-Adressen, Passwort-Hashes, Sitzungskennung (wird verwendet, um angemeldet zu bleiben) und der Zeitpunkt der letzten Anmeldung.

LabsDB wurde im Mai 2013 gestartet und bietet ehrenamtlichen Entwicklern eine Plattform, zusätzliche Tools und Auswertungen zu entwickeln, die in Echtzeit auf die Datenbanken zugreifen können. Dies ermöglicht die Einführung von Neuheiten von der Basis der Wikimedia-Gemeinschaft her.

Als Teil dieses Prozesses werden die geschützten Benutzerdaten automatisch redigiert (anonymisiert), bevor der Zugriff für die Ehrenamtlichen ermöglicht wird.

Unglücklicherweise ist für einige Wikis der Auslösemechanismus, der zur Anonymisierung der Benutzerdaten führen sollte, fehlerhaft gewesen, und LabsDB-Benutzer hatten Zugriff auf private Userdaten in diesen speziellen Wikis. Am 1. Oktober hatten 228 Benutzer Zugriff auf LabsDB, und die Daten standen vom 29. Mai bis 1. Oktober 2013 zur Verfügung.

Der Fehler wurde durch einen vertrauenswürdigen Ehrenamtlichen entdeckt und gemeldet, und die betroffenen Dateien wurden innerhalb von 15 Minuten zurückgezogen.

Wir haben keine Hinweise darauf, dass die betroffenen Benutzerdaten massenhaft exportiert oder für böswillige Zwecke verwendet wurden, aber wir können die Möglichkeit dazu nicht ausschließen. Als Vorsichtsmaßnahme haben wir alle betroffenen Logins ungültig gemacht und fordern die Benutzer auf, beim nächsten Login ihr Passwort zu ändern.

Wir haben außerdem alle betroffenen Benutzer mit bestätigten E-Mail-Adressen eine Benachrichtigung per Mail gesendet.

Wir bedauern diesen Fehler. LabsDB ist noch ein neuer Teil unserer Infrastruktur, und wir werden den Anonymisierungsprozess, in dem die Lücke aufgetreten ist, intensiv überprüfen, um künftige Fehler dieser Art zu vermeiden.

Mit freundlichen Grüßen,
Erik Moeller
Vice President of Engineering & Product Development

Kontakt

Solltest du irgendwelche Fragen haben, schicke bitte eine Mail an:

accountsecuritywikimedia.org

Die Wikimedia Foundation ist außerdem erreichbar via:

Wikimedia Foundation, Inc.
149 New Montgomery Street
Floor 6
San Francisco, CA 94105
United States
Telefon: +1-415-839-6885
Fax: +1-415-882-0495

Fragen und Antworten

Was ist geschehen?

Am 1. Oktober 2013 haben wir erfahren, dass ein Fehler in der Konfiguration in einer unserer Datenbanken dazu führte, dass private Benutzerinformationen von ca. 37.000 Benutzern von Wikimedia-Projekten für Ehrenamtliche mit Zugang zur Wikimedia „LabsDB“-Infrastruktur zugänglich waren.

Was ist LabsDB?

LabsDB wurde im Mai 2013 gestartet und bietet ehrenamtlichen Entwicklern eine Plattform, zusätzliche Tools und Auswertungen zu entwickeln, die in Echtzeit auf die Datenbanken zugreifen können. Dies ermöglicht die Einführung von Neuheiten von der Basis der Wikimedia-Gemeinschaft her.

Wer hat den Fehler entdeckt?

Entdeckt wurde er von einem vertrauenswürdigen Benutzer; der Zugriff auf die Daten wurde innerhalb von Minuten nach dem Bericht gesperrt.

Der Fehlerreport ist hier zu finden.

Welche Art von Information war für LabsDB-Benutzer verfügbar?

Es waren potenziell vier Arten von Benutzerinformation verfügbar: E-Mail-Adresse, Passwort-Hashes, Sitzungskennung (wird verwendet, um angemeldet bleiben) und den Zeitpunkt der letzten Anmeldung.

Beachte, dass der Passwort-Hash das Passwort nicht im Klartext preisgibt; falls ein Dritter eine Kopie der Passwort-Hashes erhalten sollte, würden sie es nur mit der Brute-Force-Methode schaffen, die Passwörter zu erhalten. Normalerweise führt diese Methode nur bei sehr einfachen, unsicheren Passwörtern zum Erfolg.

Der Konfigurationsfehler betrifft keine Spenderdaten und auch keine weiteren privaten Daten.

Wie lange waren die Informationen verfügbar?

Die Daten standen vom 29. Mai 2013 bis zum 1. Oktober 2013 zur Verfügung.

Warum dauerte es so lange, diesen Fehler in der Konfiguration zu finden?

Nur ein Teil unserer öffentlichen Wikis war von dem Fehler betroffen, und nur ein Teil der privaten Daten war verfügbar. Der Anonymisierungs-Mechanismus wurde getestet und schien wie erwartet zu arbeiten, jedoch wurde eine Reihe neuer Wikis mit einem kleinen Unterschied im Datenbankschema ergänzt, was dazu führte, dass der Prozess ohne Warnung teilweise versagte, bis ein Ehrenamtlicher auf den Fehler hinwies.

Wer hatte Zugriff zu diesen Informationen?

Benutzer des LabsDB hatten potentiell Zugriff zu diesen Benutzerinformationen, aber wir haben keinen Beweis, dass tatsächlich jemand auf die Daten zugegriffen hat.

Am 1. Oktober 2013 hatten 228 Benutzer Zugriff auf LabsDB.

Welche Arten von Sicherheitsprotokollen gibt es, um den Zugriff auf Benutzerdaten zu verhindern?

Als Teil des Prozesses werden private Daten automatisch entfernt, bevor Freiwilligen der Zugriff zu den Daten gewährt wurde. Unglücklicherweise versagte für manche Wikimedia-Wikis der Datenbank-Mechanismus (Trigger), der die privaten Daten entfernen sollte, so dass LabsDB-Benutzer Zugriff zu den privaten Daten einiger Benutzer in den genannten Wiki-Datenbanken hatten.

Hat irgendjemand auf die persönlichen Informationen zugegriffen?

Wir haben keinen Hinweis, dass Dritte tatsächlich auf die Daten zugegriffen haben, nur dass diese potentiell zugänglich für LabsDB-Benutzer waren. Soweit wir dazu in der Lage sind, haben wir nach Anhaltspunkten dafür gesucht, dass die Daten massenhaft exportiert oder für böswillige Zwecke genutzt wurden, und keine gefunden; wir können diese Möglichkeit aber nicht vollständig ausschließen.

Welche Wikis bzw. Datenbanken waren betroffen?

• aswikisource
• bewikisource
• dewikivoyage
• elwikivoyage
• enwikivoyage
• eswikivoyage
• frwikivoyage
• guwikisource
• hewikivoyage
• itwikivoyage
• kowikiversity
• lezwiki
• loginwiki
• minwiki
• nlwikivoyage
• plwikivoyage
• ptwikivoyage
• rowikivoyage
• ruwikivoyage
• sawikiquote
• slwikiversity
• svwikivoyage
• testwikidatawiki
• tyvwiki
• ukwikivoyage
• vecwiktionary
• votewiki
• wikidatawiki
• wikimania2013wiki
• wikimania2014wiki

Was wurde unternommen, um den Konfigurationsfehler zu beheben?

Die betroffenen Dateien wurden innerhalb von 15 Minuten zurückgezogen.

Als Vorsichtsmaßnahme haben wir alle betroffenen Logins ungültig gemacht und fordern die Benutzer auf, beim nächsten Login ihr Passwort zu ändern. Wir haben außerdem allen betroffenen Benutzern mit bestätigten E-Mail-Adressen eine Benachrichtigung per Mail gesendet.

Außerdem werden wir den Anonymisierungsprozess vollständig überprüfen, um künftige Fehler dieser Art zu vermeiden.

Ich habe dasselbe Passwort bei anderen Websites verwendet, sollte ich es dort ebenfalls ändern?

Auch wenn für Dritte nur Passwort-Hashes potenziell offengelegt waren, sind diese anfällig gegenüber bestimmten Formen von Brute-Force-Angriffen, die Passwörter wiederherstellen könnten (besonders dann, wenn das Passwort nicht besonders komplex ist). Wir empfehlen, dass du dein Passwort bei jeder anderen Website änderst, wo es verwendet wurde – am besten in ein anderes, als du bei Wikimedia-Projekten verwendest.