Chuyến ra tòa vì SQL injection

 (sockpuppet.org)
1 điểm bởi GN⁺ 2025-02-26 | 1 bình luận | Chia sẻ qua WhatsApp

Tóm tắt

  • Theo Đạo luật Tự do Thông tin (FOIA) của bang Illinois, phần lớn thông tin do các cơ quan công quyền nắm giữ đều thuộc diện phải công khai, nhưng thành phố Chicago đã từ chối một yêu cầu FOIA với lý do lược đồ cơ sở dữ liệu (schema) có thể gây ra rủi ro bảo mật. Trước việc đó, nhà báo dữ liệu Matt Chapman đã khởi kiện, và thông qua lời khai của chuyên gia đã chứng minh rằng schema không phải là mối đe dọa bảo mật; ông thắng ở cấp sơ thẩm và phúc thẩm, nhưng cuối cùng lại thua tại Tòa án Tối cao bang Illinois.
  • Tòa án Tối cao diễn giải rằng lược đồ cơ sở dữ liệu thuộc loại "bố cục tệp", nên không nằm trong diện phải công khai; từ đó mở ra khả năng để các cơ quan công quyền từ chối công bố thông tin dựa trên cấu trúc cơ sở dữ liệu. Tuy nhiên, một dự luật nhằm khắc phục vấn đề này (SB0226) đã được đề xuất, trong đó yêu cầu các cơ quan công quyền mô tả cấu trúc cơ sở dữ liệu để người yêu cầu thông tin có thể yêu cầu các truy vấn dữ liệu cụ thể.
  • Đây là một biện pháp quan trọng để tăng cường tính minh bạch thông tin, và cần liên hệ với các nghị sĩ địa phương để thúc giục dự luật được thông qua.

Bối cảnh

  • FOIA của bang Illinois rất mạnh, và trong đa số trường hợp, thông tin do cơ quan công quyền thu thập được xem là tài sản công.
  • Có thể gửi yêu cầu thông tin đơn giản qua email, và theo luật thì phản hồi phải được đưa ra trong vòng 5 ngày.
  • Hạn chế chính của FOIA là không thể buộc cơ quan tạo ra hồ sơ mới.
  • Lược đồ cơ sở dữ liệu mô tả cấu trúc của cơ sở dữ liệu, và ngày càng trở nên quan trọng khi thông tin của cơ quan công quyền ngày càng được lưu trong cơ sở dữ liệu.

Matt Chapman kiện thành phố Chicago

  • Matt Chapman là chuyên gia làm báo dữ liệu thông qua các yêu cầu FOIA quy mô lớn.
  • Hệ thống CANVAS của Chicago là một cơ sở dữ liệu lớn quản lý tập trung dữ liệu vé phạt đỗ xe; Matt đã yêu cầu lược đồ của cơ sở dữ liệu này nhưng bị từ chối.
  • Chicago từ chối với lý do việc công khai thông tin có thể đe dọa an ninh hệ thống, và Matt đã khởi kiện về việc đó.

Tôi đứng lên bục nhân chứng

  • Đã có tranh cãi về việc công khai lược đồ cơ sở dữ liệu có đe dọa bảo mật hay không.
  • SQL injection là một trong những phương thức tấn công cơ sở dữ liệu chủ yếu, và đã có thảo luận về việc liệu lược đồ cơ sở dữ liệu có thể được dùng cho kiểu tấn công này hay không.
  • Tôi đã làm chứng, nhấn mạnh rằng các cuộc tấn công SQL injection không được thực hiện thông qua lược đồ cơ sở dữ liệu.

Dấu chân đẫm máu của pháp luật

  • Dù thắng ở phiên sơ thẩm, Chicago đã lập tức kháng cáo.
  • Ở cấp phúc thẩm, tòa nhấn mạnh rằng khả năng việc công khai thông tin đe dọa bảo mật phải là rất cao.
  • Cuối cùng, Tòa án Tối cao Illinois phán quyết rằng lược đồ cơ sở dữ liệu có thể được xem là bố cục tệp.

Tình hình hiện tại

  • Các cơ quan công quyền ở bang Illinois có quyền từ chối công khai lược đồ cơ sở dữ liệu.
  • Cơ sở dữ liệu không nên trở thành công cụ để che giấu thông tin, và dự luật mới SB0226 có thể giải quyết điều này.
  • Dự luật nêu rõ rằng cấu trúc cơ sở dữ liệu phải được mô tả đầy đủ để người yêu cầu có thể yêu cầu các truy vấn cụ thể.

Bài viết liên quan

1 bình luận

 
GN⁺ 2025-02-26
Ý kiến trên Hacker News

  • Xin chào, tôi là nguyên đơn trong vụ kiện này. Tôi đang chuẩn bị một bài đăng đi kèm cho bài của tptacek. Trong lúc chờ, cứ thoải mái đặt câu hỏi

    • Trong lúc chờ, hãy xem bài viết cũ này: liên kết

  • Ví dụ "truy vấn toàn bộ dữ liệu vé đỗ xe của Bob O và cả phần còn lại của cơ sở dữ liệu" là một ví dụ về SQL Injection. Ở đây, everyone's trở thành vấn đề vì có dấu nháy đơn lẻ không được thoát

  • Tôi tin rằng thành phố nên chia sẻ schema, nhưng tôi không đồng ý với luận điểm của bài viết rằng việc biết SQL schema không giúp ích cho kẻ tấn công

    • Kẻ tấn công khôi phục SQL schema bằng cách dùng tấn công SQL Injection. Schema là kết quả của cuộc tấn công, không phải điều kiện tiên quyết
    • Có hàm ý rằng nếu tìm ra lỗ hổng thì có thể khôi phục schema, nhưng không phải lúc nào cũng vậy. Biết schema có thể khiến việc khai thác lỗ hổng dễ hơn

  • Kurt đã đăng bài này để chọc tôi. Đối tượng độc giả của tôi chủ yếu là những người không chuyên kỹ thuật nhưng quan tâm đến chính trị địa phương ở khu vực Chicago

    • Tham gia chính trị địa phương có tính phản ứng rất mạnh. Tôi đã làm được nhiều việc trong thời gian rảnh, như thông qua các đạo luật
    • Chính trị địa phương xoay quanh các bảng tin. Nếu tham gia, bạn có thể làm được rất nhiều điều

  • Có lạ không khi tòa tối cao và tòa phúc thẩm lại bất đồng ý kiến về một vấn đề cú pháp?

    • Điều lạ là luật vẫn còn mơ hồ. Nếu cấu trúc câu cơ bản của luật còn không rõ ràng với tòa án thì hệ thống đã sụp đổ ngay ở chướng ngại đầu tiên

  • Có phải chỉ mình tôi thấy hơi bối rối hoặc lo ngại về ngoại lệ đối với mã nguồn không?

    • Rất dễ hình dung một kịch bản trong đó thành phố tự phát triển một phần mềm cụ thể và che giấu "thiên lệch" trong mã nguồn
    • Tôi nghĩ bản sửa đổi được đề xuất là chưa đủ

  • Bài đọc rất thú vị

    • Thật nực cười khi nghĩ rằng việc công khai schema lại được bảo vệ. Tôi làm ở một công ty nhỏ và cố gắng cung cấp cho khách hàng dữ liệu họ cần

  • Có vẻ như theo phán quyết của Tòa án Tối cao Illinois, giờ đây đã có cơ hội để nói rằng "mọi thứ đều là tệp"

  • Tôi đã gửi yêu cầu FOIA cho hơn 1 triệu trang tài liệu cho dự án cleartap.com. Hầu hết các bang chỉ thu một khoản nhỏ để thu thập tài liệu

    • Michigan đã đòi $50K cho một yêu cầu FOIA. Có lẽ là vì khủng hoảng nước nhiễm chì ở Flint. Họ muốn tôi biến mất

  • Nếu công chúng không thể biết chính phủ đang nắm giữ dữ liệu gì thì sẽ không có tự do thông tin