Uma visita ao tribunal por causa de SQL injection

Resumo

• Segundo a Lei de Liberdade de Informação (FOIA) de Illinois, a maior parte das informações mantidas por órgãos públicos deve ser divulgada, mas a cidade de Chicago negou um pedido via FOIA alegando que o esquema do banco de dados (schema) poderia representar um risco de segurança. Em resposta, o jornalista de dados Matt Chapman entrou com uma ação e, por meio de depoimento técnico especializado, demonstrou que o esquema não constitui uma ameaça à segurança, vencendo em primeira instância e na apelação, mas perdendo por fim na Suprema Corte de Illinois.
• A Suprema Corte interpretou que o esquema do banco de dados se enquadra como "layout de arquivo" e, portanto, não está sujeito à divulgação, abrindo caminho para que órgãos públicos rejeitem pedidos de acesso à informação com base na estrutura do banco de dados. No entanto, foi apresentado um projeto de lei (SB0226) para resolver essa questão, incluindo a exigência de que órgãos públicos descrevam a estrutura do banco de dados para que o solicitante possa pedir consultas de dados específicas.
• Esse projeto é uma medida importante para reforçar a transparência da informação, e é necessário entrar em contato com deputados estaduais da região para pedir a aprovação da proposta.

Contexto

• A Lei de Liberdade de Informação (FOIA) de Illinois é robusta e, na maioria dos casos, as informações coletadas por órgãos públicos são consideradas patrimônio público.
• Pedidos de informação podem ser feitos de forma simples por e-mail, e a resposta deve ser dada legalmente em até 5 dias.
• A principal limitação da FOIA é que ela não pode obrigar a criação de novos registros.
• O esquema de banco de dados descreve a estrutura do banco de dados e se torna cada vez mais importante à medida que mais informações de órgãos públicos passam a ser armazenadas em bancos de dados.

Matt Chapman vs. Cidade de Chicago

• Matt Chapman é um especialista em jornalismo de dados baseado em grandes solicitações via FOIA.
• O sistema CANVAS de Chicago é um grande banco de dados que gerencia centralmente dados de multas de estacionamento, e Matt solicitou o esquema desse banco, mas teve o pedido negado.
• Chicago recusou a divulgação alegando que isso poderia ameaçar a segurança do sistema, e Matt entrou com uma ação judicial em resposta.

Quando eu subi ao banco das testemunhas

• Houve debate sobre se a divulgação de um esquema de banco de dados ameaça a segurança.
• SQL injection é um dos principais métodos de ataque a bancos de dados, e discutiu-se se o esquema do banco poderia ser usado nesse tipo de ataque.
• Em meu depoimento, enfatizei que ataques de SQL injection não são realizados por meio do esquema do banco de dados.

O rastro sangrento da lei

• Houve vitória em primeira instância, mas Chicago recorreu imediatamente.
• Na apelação, destacou-se que a divulgação da informação precisaria ter altíssima probabilidade de ameaçar a segurança.
• Por fim, a Suprema Corte de Illinois decidiu que o esquema do banco de dados pode ser considerado um layout de arquivo.

Situação atual

• Órgãos públicos de Illinois agora têm autoridade para negar a divulgação de esquemas de bancos de dados.
• Bancos de dados não devem se tornar um meio de ocultar informações, e o novo projeto de lei SB0226 pode resolver isso.
• O projeto determina que a estrutura do banco de dados deve ser explicada de forma suficiente para que o solicitante possa pedir consultas específicas.

[GN⁺]

Opiniões do Hacker News

• Olá, eu sou o autor desta ação judicial. Estou preparando uma postagem complementar à postagem do tptacek. Enquanto isso, podem fazer perguntas à vontade

  • Enquanto esperam, deem uma olhada neste post antigo: link

• O exemplo "pesquisar todos os dados de multas de estacionamento do Bob O e também todo o resto do banco de dados" é um exemplo de SQL Injection. Aqui, "everyone's" causa problema por causa da aspa simples isolada

• Eu acredito que a cidade deveria compartilhar o esquema, mas discordo da tese do artigo de que conhecer o esquema SQL não ajuda um atacante

  • Um atacante recupera o esquema SQL usando um ataque de SQL Injection. O esquema é resultado do ataque, não um pré-requisito
  • Há uma implicação de que, uma vez encontrada uma vulnerabilidade, é possível recuperar o esquema, mas isso nem sempre acontece. Conhecer o esquema pode tornar a exploração da vulnerabilidade mais fácil

• Kurt publicou este texto para tirar sarro de mim. Meu público é composto principalmente por pessoas não técnicas envolvidas com a política local de Chicago

  • Participar da política local é algo muito reativo. Eu consegui fazer muita coisa, como aprovar leis, no meu tempo livre
  • A política local gira em torno de fóruns e murais de mensagens. Se você participar, pode conseguir muita coisa

• Não é estranho que a Suprema Corte e o tribunal de apelação discordem por causa de uma questão de sintaxe?

  • O estranho é a lei continuar ambígua. Se a estrutura básica das frases de uma lei não está clara para os tribunais, então o sistema falhou logo no primeiro obstáculo

• Sou só eu que fico um pouco confuso ou preocupado com a isenção de código-fonte?

  • É fácil imaginar um cenário em que a cidade desenvolve internamente um software específico e esconde "viés" no código-fonte
  • Acho que a emenda proposta não é suficiente

• Leitura muito interessante

  • É absurdo achar que divulgar o esquema seria algo protegido. Trabalho em uma empresa pequena e tento fornecer aos clientes os dados de que eles precisam

• Parece que, de acordo com a decisão da Suprema Corte de Illinois, surgiu uma chance de dizer que "everything is a file"

  • Everything is a file

• Solicitei documentos por FOIA para mais de 1 milhão de páginas no projeto cleartap.com. A maioria dos estados cobra uma pequena taxa pela coleta de documentos

  • Michigan queria $50K por um pedido via FOIA. Acho que foi por causa da crise de chumbo em Flint. Eles queriam que eu desaparecesse

• Se o público não pode saber quais dados o governo possui, então não existe liberdade de informação