सुपाबेस का वैल्यूएशन $10 अरब पर पहुंचा; रिसर्चर्स ने गिनीं 16,326 ऐसी होस्टेड डेटाबेस, जिन्हें कोई भी एक्सेस कर सकता है
अपगार्ड ने 16,326 सुपाबेस-होस्टेड डेटाबेस गिनी हैं जिनकी टेबलें पब्लिक वेब से पढ़ी जा सकती हैं — पूरे प्लेटफॉर्म पर की गई यह पहली ऐसी गिनती है। जून में एआई-चालित ग्रोथ के दम पर सुपाबेस की वैल्यूएशन $10 अरब हुई थी। कंपनी का कहना है कि वह डिफॉल्ट रूप से सुरक्षित (secure by default) है और कॉन्फिगरेशन ग्राहक का काम है।
Vincent Jiang · 3 min read
सोलह हजार दरवाजे, मालिक एक
फिलीपींस में वन-टाइम पासकोड इंटरसेप्ट करने के लिए बनाया गया एक सिम फार्म (SIM farm) एक ऐसे सुपाबेस डेटाबेस पर चल रहा था जिसे कोई भी क्वेरी कर सकता था। उसमें एक लाख से ज्यादा टेक्स्ट मैसेज भरे थे — 95 फीसदी सिर्फ पासकोड — और साथ में कुछ हजार ऐसी मामूली राइड-शेयरिंग चैट भी, जो ड्राइवरों और सवारियों के बीच हुई थीं और जिनका उस स्कीम से कोई लेना-देना नहीं था 2। यह प्रोजेक्ट उन 16,326 सुपाबेस-होस्टेड डेटाबेस में से एक है जिनमें अपगार्ड को पब्लिक वेब से पढ़ी जा सकने वाली टेबलें मिलीं — फर्म इसे अपनी तरह का सबसे बड़ा अध्ययन बताती है 1 2।
जिस राउंड की सवारी में ये लीक आए
सुपाबेस ने जीआईसी की अगुवाई में $10 अरब के प्री-मनी वैल्यूएशन पर $500 मिलियन की सीरीज एफ फंडिंग बंद की थी 3 4। यह गिनती उसके ठीक तीन महीने बाद सामने आई है। राउंड का इंजन और लीक का इंजन एक ही मशीन है: एक साल में डेटाबेस लॉन्च 600 फीसदी बढ़े हैं और नए डेटाबेस में से 60 फीसदी से ज्यादा किसी-न-किसी एआई टूल से लॉन्च होते हैं 3। आज प्लेटफॉर्म पर करीब एक करोड़ डेवलपर काम करते हैं 3।
डिफॉल्ट रूप से सुरक्षित, बिल किसी और का
सुपाबेस के चीफ इन्फॉर्मेशन सिक्योरिटी ऑफिसर (CISO) बिल हार्मर का कहना है कि सुपाबेस के प्रोजेक्ट 'डिफॉल्ट रूप से सुरक्षित' होते हैं और 'अपने प्रोजेक्ट कैसे कॉन्फिगर होंगे, यह ग्राहक तय करते हैं' 1। कंपनी का सिक्योरिटी पेज भी यही लकीर खींचता है: इन्फ्रास्ट्रक्चर की सुरक्षा सुपाबेस की जिम्मेदारी है; रो लेवल सिक्योरिटी पॉलिसी, एपीआई कीज और एक्सेस कंट्रोल ग्राहक के हिस्से 5। मगर उलझन सुपाबेस के अपने ही दस्तावेजों में बैठी है: वे कहते हैं कि जिस टेबल पर RLS नहीं है, वह 'जिस रोल को उस पर ग्रांट हो, उससे पढ़ी और लिखी जा सकती है', और मौजूदा प्रोजेक्ट्स पर बनने वाली नई पब्लिक टेबल शुरू ही ऐसे आती है कि सभी तीन रोल्स — अनाम वाला समेत — को हर प्रिविलेज मिला हो 6। रिसर्च के मुताबिक RLS का डिफॉल्ट टेबल एडिटर में बनी टेबलों तक ही है; एपीआई से बनी टेबलें इसके दायरे में नहीं आतीं — और टेबल बनाने का यही रास्ता कोडिंग एजेंट अपनाते हैं 2। वैल्यूएशन रफ्तार की कीमत तो लगाता है, लीक की कीमत रिकॉर्ड में कहीं नहीं लगती।
टेबलों में क्या था
एक्सपोज्ड डेटाबेसों में से आधे से ज्यादा में पर्सनल डेटा के संकेत मिले — नाम, पते और फोन नंबर; साथ ही कम संख्या में पासवर्ड और ऑथेंटिकेशन टोकन 1 2। अमेरिका की एक वैलेट सर्विस (कार पार्किंग कंपनी) लगभग 78,000 ग्राहकों के नंबर प्लेट एक्सपोज कर बैठी थी। कनाडा जाने वाले प्रवासियों की रीलोकेशन कोच के लगभग 5,000 रिकॉर्ड के बीच 884 पासवर्ड प्लेनटेक्स्ट (बिना एन्क्रिप्ट) रूप में छूटे थे। और अफ्रीका के एक देश के कांसुलेट के डेटाबेस में 25,000 लोग दर्ज थे — साथ में एक फील्ड यह भी कि हर एक को कहां रखा गया है 2। इससे पहले के छोटे स्कैन भी बार-बार यही चीज उजागर करते रहे थे — हर बार पिछले से बड़े पैमाने पर 2।
हर स्कैन में एक्सपोज्ड सुपाबेस प्रोजेक्ट्स की गिनती बढ़ती गई — आखिरकार अपगार्ड ने 16,326 गिने
Data
| Value | |
|---|---|
| सिम्बायोटिक सिक्योरिटी | 39 |
| एस्केप | 175 |
| रेड एक्सेस | 2,000 |
| अपगार्ड | 16,326 |
दो पक्ष, एक बकाया बिल
सुपाबेस खरी दलीलें देकर जवाब दे सकता है — कि गलत कॉन्फिगरेशन वाले डेटाबेस एआई से पहले की चीज हैं, कि कोई दिक्कत सामने आने पर वह प्रभावित ग्राहकों को सूचित करता है, और कि उसका सिक्योरिटी पोस्चर SOC 2, HIPAA और ISO 27001 से सर्टिफाइड है 1 5। अपगार्ड ने ऐप्लिकेशन के मालिकों को खबर की; लेकिन टेबलों में दर्ज लोग इस लूप में शामिल नहीं हैं — और इस एक्सपोजर की उन पर पड़ने वाली कीमत रिकॉर्ड में कहीं नहीं लगती 2। जोखिम का नक्शा अपगार्ड के अपने ही हिसाब-किताब में खिंचा है: लीक दो चीजों का गुणनफल है — किसी टेक्नोलॉजी को गलत कॉन्फिगर करने की आसानी और उसके यूजर बेस का आकार 2। अगले स्कैन पर नजर रखें — वही तय करेगा कि 16,326 कोई चरम बिंदु था या बेसलाइन।
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
