Crónica de una visita al tribunal por una inyección SQL

Resumen

• Según la ley de libertad de información (FOIA) de Illinois, la mayor parte de la información en poder de organismos públicos está sujeta a divulgación, pero la ciudad de Chicago rechazó una solicitud FOIA alegando que el esquema de la base de datos (schema) podría implicar un riesgo de seguridad. Ante eso, el periodista de datos Matt Chapman presentó una demanda y, mediante testimonio experto, demostró que el esquema no representaba una amenaza de seguridad; ganó en primera instancia y en apelación, pero finalmente perdió ante la Corte Suprema de Illinois.
• La Corte Suprema interpretó que el esquema de la base de datos corresponde a un "diseño de archivos", por lo que no estaría sujeto a divulgación, lo que abre la puerta a que organismos públicos rechacen solicitudes de acceso a la información basándose en la estructura de sus bases de datos. Sin embargo, ya se presentó un proyecto de ley (SB0226) para resolver este problema, que incluye disposiciones para que los organismos públicos describan la estructura de la base de datos y así los solicitantes puedan pedir consultas de datos específicas.
• Este proyecto de ley es una medida importante para fortalecer la transparencia informativa, y hace falta contactar a legisladores locales para impulsar su aprobación.

Contexto

• La ley FOIA de Illinois es sólida y, en la mayoría de los casos, la información recopilada por organismos públicos se considera propiedad pública.
• Las solicitudes de información pueden hacerse fácilmente por correo electrónico, y por ley deben responderse en un plazo de 5 días.
• Una limitación importante de la FOIA es que no puede obligar a crear nuevos registros.
• Un esquema de base de datos describe la estructura de una base de datos, y su importancia ha crecido a medida que cada vez más información de los organismos públicos se almacena en bases de datos.

Matt Chapman vs. la ciudad de Chicago

• Matt Chapman es un especialista que hace periodismo de datos mediante solicitudes FOIA a gran escala.
• El sistema CANVAS de Chicago es una gran base de datos que administra de forma centralizada la información sobre multas de estacionamiento, y Matt solicitó el esquema de esa base de datos, pero su pedido fue rechazado.
• Chicago negó la divulgación alegando que podría poner en riesgo la seguridad del sistema, y Matt respondió presentando una demanda.

Cuando subí al estrado

• Hubo un debate sobre si divulgar el esquema de una base de datos representa una amenaza para la seguridad.
• La inyección SQL es uno de los principales métodos de ataque contra bases de datos, y se discutió si un esquema de base de datos puede usarse para ese tipo de ataque.
• Yo declaré enfatizando que los ataques de inyección SQL no se llevan a cabo a través del esquema de la base de datos.

Las huellas sangrientas de la ley

• Se ganó en primera instancia, pero Chicago apeló de inmediato.
• En apelación, se destacó que la divulgación de información tendría que representar una probabilidad muy alta de amenazar la seguridad.
• Finalmente, la Corte Suprema de Illinois resolvió que un esquema de base de datos puede considerarse un diseño de archivos.

Situación actual

• Los organismos públicos de Illinois tienen la facultad de negarse a divulgar esquemas de bases de datos.
• Las bases de datos no deberían convertirse en una herramienta para ocultar información, y el nuevo proyecto de ley SB0226 podría corregir esto.
• El proyecto establece que debe describirse con suficiente detalle la estructura de la base de datos para que el solicitante pueda pedir consultas específicas.

[GN⁺]

Comentarios de Hacker News

• Hola, soy el demandante en este caso. Estoy preparando una publicación complementaria a la publicación de tptacek. Mientras tanto, pueden hacer preguntas cuando quieran

  • Mientras esperan, vean esta publicación antigua: enlace

• El ejemplo de “buscar todos los datos de multas de estacionamiento de Bob O y también todo el resto de la información de la base de datos” es un ejemplo de SQL Injection. Aquí, "everyone's" causa el problema por la comilla simple aislada

• Creo que la ciudad debería compartir el esquema, pero no estoy de acuerdo con la idea del artículo de que conocer el esquema SQL no ayuda a un atacante

  • Un atacante recupera el esquema SQL usando un ataque de SQL Injection. El esquema es el resultado del ataque, no un requisito previo
  • Se insinúa que, si se encuentra una vulnerabilidad, se puede recuperar el esquema, pero no siempre es así. Conocer el esquema puede hacer que la vulnerabilidad sea más fácil de explotar

• Kurt publicó este texto para burlarse de mí. Mi audiencia consiste principalmente en personas no técnicas relacionadas con la política local de Chicago

  • Participar en la política local es muy reactivo. En mi tiempo libre he logrado muchas cosas, como impulsar la aprobación de leyes
  • La política local gira en torno a tableros de mensajes. Si participas, puedes lograr mucho

• ¿No es extraño que la Corte Suprema y el tribunal de apelaciones discrepen por una cuestión de redacción?

  • Lo extraño es que la ley siga siendo ambigua. Si la estructura básica de una oración legal no es clara para los tribunales, entonces el sistema colapsó en el primer obstáculo

• ¿Soy el único que está un poco confundido o preocupado por la exención del código fuente?

  • Es fácil imaginar un escenario en el que la ciudad desarrolle internamente cierto software y oculte “sesgo” en el código fuente
  • Creo que la enmienda propuesta no es suficiente

• Lectura muy interesante

  • Pensar que revelar el esquema está protegido es absurdo. Trabajo en una empresa pequeña y trato de darles a los clientes los datos que necesitan

• Parece que, según la decisión de la Corte Suprema de Illinois, surgió una oportunidad para decir “todo es un archivo”

  • Everything is a file

• Solicité por FOIA más de 1 millón de páginas de documentos para el proyecto cleartap.com. La mayoría de los estados cobra una pequeña cantidad por recopilar documentos

  • Michigan quería $50K por una solicitud FOIA. Supongo que fue por la crisis del plomo en Flint. Querían que yo desapareciera

• Si el público no puede saber qué datos tiene el gobierno, entonces no existe libertad de información