Birisi kişi arama aracı ClarityCheck’e bir fotoğraf yüklediğinde, web sitesinde şu net mesaj yer alıyor: “Tersine görsel aramanız gizli ve güvenlidir.” Ancak yeni bir araştırma, web sitesinin insanların yüzlerinin fotoğrafları da dahil olmak üzere 9 milyondan fazla görsel dosyasını herkese açık bir şekilde maruz bıraktığını ortaya koyuyor.
İkinci bir yapılandırma hatası ise kullanıcıların e-posta adreslerini ve telefon numaralarını herkese açık hale getirdi. Bağımsız güvenlik araştırmacısı Jeremiah Fowler’ın bulgularına göre, sızdırılan ClarityCheck veritabanı, yetişkinlerin, gençlerin ve çocukların profil resimleri, ekran görüntüleri ve diğer fotoğrafları gibi göründüğü yaklaşık 450 GB’lık görüntü içeriyordu. Tüm görüntüler, güvenli olmayan bir Amazon S3 depolama alanında saklanıyordu ve dosyalar, şirketin herkese açık web sitesi kodunda yer alan bir URL aracılığıyla çevrimiçi olarak herkes tarafından erişilebilen “faces” ve “profiles” adlı klasörlerde bulunuyordu.
ClarityCheck, son yıllarda çevrimiçi olarak ortaya çıkan, sözde “kişi bulma” araçlarından biridir. Bu web siteleri genel olarak, bireyleri tanımlamak için web’i, kamu kayıtlarını ve diğer veritabanlarını arayabildiklerini iddia ederler. ClarityCheck’in web sitesinde, telefon numaraları, e-posta adresleri, araç kimlik numaraları ve isimler üzerinden arama yapabileceği belirtiliyor. Fotoğraf arama sayfasında ise “bir fotoğraftaki herhangi birini tanımlamaya” ve sosyal medya profillerini “saniyeler içinde” bulmaya yardımcı olabileceği ifade ediliyor.
WIRED’in Temmuz ayında şirketle iletişime geçmesinin ardından ClarityCheck devasa görüntü veritabanını güvence altına alsa da, Fowler, veritabanının görünüşe göre aylarca açıkta kaldığı ve sorunu şirkete bildirmek için yaptığı ilk girişimlerin sonuçsuz kaldığı konusunda uyarıyor. Kazara veri sızıntıları, her türlü kişisel bilgi için risk oluşturur; ancak bu risk, yüz görüntüleri gibi hassas ve değiştirilemez biyometrik veriler için özellikle daha yüksektir.
ClarityCheck’in web sitesi, kullanıcıların siteye fotoğraf yükleme iznine sahip olduklarını beyan etmelerini gerektirse de Fowler, pratikte yüzleri ifşa edilen kişilerin ClarityCheck’in kendi görüntülerini elinde bulundurduğundan haberdar olmayabileceğine dikkat çekiyor. Sonuçta, bu hizmet açıkça kimlik tespiti amacıyla tasarlanmış ve kullanıcılar genellikle kendilerini veya tanıdıklarını tanımlamaya çalışmazlar.
“Bir kişinin kim olduğunu bulmaya çalışıyorsanız, yetkiniz veya izniniz olmayabilir; bu nedenle insanlar, görüntülerinin halka açık bu veritabanına aktarıldığından haberdar olmayabilir,” diyor Fowler, WIRED’e. “Bir yapay zeka botu bu veritabanını tarayabilir, yüzleri ayıklayabilir ve bunları eğitim amacıyla kullanabilir. Üstelik veritabanında çok sayıda çocuk fotoğrafı da bulunuyor.”
WIRED’e gönderilen bir açıklamada, bir sözcü, ClarityCheck’in Fowler’ın bu sorunları şirkete bildirme çabalarını takdir ettiğini belirtti. Sözcü, “Bu durum ilgili ekiplerin dikkatine sunulduktan sonra, erişimi kısıtlamak için derhal harekete geçtik,” dedi.
Şirket, verilerin “ifşa edildiği” yönündeki iddialara itiraz ederek, “sıradan bir kişinin” bu verilere rastlamayacağını belirtti. Sözcü, “Geçici depolama alanındaki verilerin ‘kamuya açık hale geldiği’ iddiasını kabul etmiyoruz; bu, geniş çaplı bir kamu erişimi olduğu anlamına gelir,” dedi. “Erişim için, ClarityCheck hizmetinin normal kullanımıyla veya genel bir web aramasıyla bulunamayan, belirli ve indekslenmemiş bir URL’yi bilmek gerekiyordu.”
Güvenlik sektörü genel olarak, özellikle de ABD federal hükümeti, verilere erişmesi amaçlanmayan kişiler tarafından erişilebiliyorsa —özellikle de kullanıcı adı ve şifre gibi bir kimlik doğrulama şartıyla korunmadan açık internette erişilebilirse— verilerin ifşa edilmiş sayıldığını kabul eder. Güvenlik şirketi Malwarebytes’in tüketici ürünleri başkanı Mark Beare, “Maruz kalma, kişisel veya hassas verilerin erişilebilir, bulunabilir durumda bırakılması ya da başka bir şekilde yetkisiz erişim riskine maruz kalması durumudur; bu verilerin henüz kimse tarafından alınmış veya kötüye kullanılmış olup olmadığına bakılmaksızın,” diyor. “Herkesin erişebileceği bir veritabanı yedeği, yanlış yapılandırılmış bir depolama kovası veya bir araştırmacının erişebileceği bir sistemde bulunan kimlik bilgileri, hepsi maruz kalma örnekleridir.”
ClarityCheck’in açıklamasında, “Araştırmacının da belirttiği gibi, kötü niyetli erişime dair herhangi bir işaret yoktur,” denildi. “Söz konusu veriler, 9 milyon benzersiz görüntüden ibaret değil; aynı dosyaların yinelenen, kırpılmış ve boyutları değiştirilmiş kopyalarının yanı sıra görüntü dışı verileri de içermektedir.”
Şirket, gelecekte diğer araştırmacıların kendileriyle iletişime geçebilmesi için güvenlik bildirim prosedürlerini “iyileştirdiğini” de ekledi.
Yüz verilerinin yanı sıra, ClarityCheck’in API’leri de yanlış yapılandırılmıştı; bu durum, web sitesi URL’lerinin manipüle edilerek sadece isim girilmesiyle kişiler hakkındaki verilerin ortaya çıkarılmasına olanak tanıyordu; herhangi bir tüketici tarayıcısını kullanan herkes bunu yapabilirdi. URL’lerden birine bir isim girildiğinde, o isme sahip kişiler için birden fazla olası e-posta adresi, fiziksel adres ve telefon numarası görüntüleniyordu. WIRED’in şirketle iletişime geçmesinin ardından URL’ler güvenli hale getirildi. ClarityCheck sözcüsü
