การสำรองข้อมูลบนคลาวด์ของ Amazon ที่เปิดเผยหลายร้อยรายการพบว่าข้อมูลสำคัญรั่วไหล — OPDEV.MEN

การสำรองข้อมูลบนคลาวด์ของ Amazon ที่เปิดเผยหลายร้อยรายการพบว่าข้อมูลสำคัญรั่วไหล thumbnail

ความลับของคุณปลอดภัยแค่ไหน? หากคุณใช้สแน็ปช็อตที่เก็บยืดหยุ่นของ Amazon คุณอาจต้องการตรวจสอบการตั้งค่าของคุณ งานวิจัยใหม่ที่เพิ่งนำเสนอในการประชุมด้านความปลอดภัย Def Con เผยให้เห็นว่า บริษัท สตาร์ทอัพและรัฐบาลกำลังรั่วไฟล์ของตัวเองโดยไม่ตั้งใจจากระบบคลาวด์ คุณอาจเคยได้ยิน S3 ถังเก็บ – เซิร์ฟเวอร์จัดเก็บข้อมูลที่โฮสต์โดย Amazon เต็มไปด้วยข้อมูลลูกค้า แต่มักจะกำหนดค่าผิดพลาดและตั้งค่าเป็น “สาธารณะ” โดยไม่ตั้งใจเพื่อให้ทุกคนเข้าถึงได้ แต่คุณอาจไม่เคยได้ยินเกี่ยวกับสแนปชอตของ EBS ที่เปิดเผยซึ่งก่อให้เกิดความเสี่ยงได้มาก สแน็ปช็อตที่เก็บข้อมูลยืดหยุ่น (EBS) เหล่านี้คือ“ กุญแจสู่ราชอาณาจักร” Ben Morris นักวิเคราะห์ด้านความปลอดภัยอาวุโสของ บริษัท Fox Fox กล่าวในการโทรหา TechCrunch ก่อนการพูดคุย Def Con ของเขา สแน็ปช็อต EBS จัดเก็บข้อมูลทั้งหมดสำหรับแอปพลิเคชันคลาวด์ “ พวกเขามีกุญแจลับในแอปพลิเคชันของคุณและพวกเขาสามารถเข้าถึงฐานข้อมูลของลูกค้าของคุณได้” เขากล่าว “ เมื่อคุณกำจัดฮาร์ดดิสก์สำหรับคอมพิวเตอร์ของคุณคุณจะรู้ว่าปกติคุณจะหั่นย่อยหรือเช็ดมันจนหมด” เขากล่าว “ แต่ปริมาณ EBS สาธารณะเหล่านี้เหลือไว้เพียงให้ทุกคนรับและเริ่มเจาะเข้าไป” เขาบอกว่าผู้ดูแลระบบคลาวด์มักจะไม่ได้เลือกการตั้งค่าที่ถูกต้องทำให้สแนปชอต EBS เป็นสาธารณะโดยไม่ได้ตั้งใจและไม่ได้เข้ารหัส “ นั่นหมายความว่าทุกคนในอินเทอร์เน็ตสามารถดาวน์โหลดฮาร์ดดิสก์ของคุณและบู๊ตขึ้นติดกับเครื่องที่พวกเขาควบคุมจากนั้นเริ่มการค้นผ่านดิสก์เพื่อค้นหาความลับใด ๆ ” เขากล่าว หนึ่งในสไลด์ Def Con ของมอร์ริสอธิบายว่าสแน็ปช็อต EBS สามารถเปิดเผยได้อย่างไร (ภาพ: Ben Morris / Bishop Fox; จัดหาให้) มอร์ริสสร้างเครื่องมือโดยใช้คุณลักษณะการค้นหาภายในของ Amazon เพื่อค้นหาและขูดภาพสแนปชอต EBS ที่เปิดเผยต่อสาธารณะแล้วแนบไฟล์ทำสำเนาและแสดงรายการเนื้อหาของไดรฟ์ข้อมูลในระบบของเขา “ หากคุณเปิดเผยดิสก์เป็นเวลาเพียงไม่กี่นาทีระบบของเราจะเก็บและทำสำเนาแผ่นดิสก์” เขากล่าว สไลด์อีกแผ่นที่ระบุประเภทของข้อมูลที่ถูกบุกรุกซึ่งพบโดยใช้งานวิจัยของเขาซึ่งรู้จักกันในชื่อ“ Wall of Sheep” (รูปภาพ: Ben Morris / Bishop Fox; จัดหาให้) เขาใช้เวลาสองเดือนในการสร้างฐานข้อมูลข้อมูลที่เปิดเผยและใช้เวลาเพียงไม่กี่ร้อยดอลลาร์ในทรัพยากรคลาวด์ของ Amazon เมื่อเขาตรวจสอบแต่ละสแน็ปช็อตเขาจะลบข้อมูล มอร์ริสพบสแน็ปช็อตจำนวนมากที่เปิดเผยต่อสาธารณะในภูมิภาคเดียวโดยเฉพาะรวมถึงแอปพลิเคชันคีย์ผู้ใช้ที่สำคัญหรือข้อมูลรับรองสำหรับผู้ดูแลระบบซอร์สโค้ดและอื่น ๆ เขาพบ บริษัท ยักษ์ใหญ่หลายแห่งรวมถึงผู้ให้บริการด้านการดูแลสุขภาพและ บริษัท เทคโนโลยี นอกจากนี้เขายังพบการกำหนดค่า VPN ซึ่งเขาบอกว่าสามารถอนุญาตให้เขาเข้าไปในเครือข่ายขององค์กรได้ มอร์ริสกล่าวว่าเขาไม่ได้ใช้ข้อมูลรับรองหรือข้อมูลที่ละเอียดอ่อนใด ๆ เพราะจะผิดกฎหมาย สิ่งที่เป็นอันตรายที่สุดที่เขาค้นพบมอร์ริสกล่าวว่าเขาพบภาพรวมของผู้รับเหมารายหนึ่งของรัฐซึ่งเขาไม่ได้ตั้งชื่อ แต่ให้บริการจัดเก็บข้อมูลแก่หน่วยงานรัฐบาลกลาง “ ในเว็บไซต์ของพวกเขาพวกเขาคุยโวเกี่ยวกับการเก็บข้อมูลนี้” เขากล่าวหมายถึงการรวบรวมข่าวกรองจากข้อความที่ส่งไปยังและจากกลุ่มก่อการร้ายรัฐอิสลามที่เรียกว่าข้อมูลการข้ามพรมแดน “ สิ่งเหล่านี้เป็นสิ่งที่ฉันไม่ต้องการสัมผัสกับอินเทอร์เน็ตสาธารณะอย่างแน่นอน” เขากล่าว เขาประมาณการว่าตัวเลขอาจมีความเสี่ยงสูงถึง 1,250 ภาพในทุกภูมิภาคคลาวด์ของอเมซอน มอร์ริสวางแผนที่จะปล่อยโค้ดพิสูจน์ความคิดของเขาในอีกไม่กี่สัปดาห์ข้างหน้า “ ฉันให้ บริษัท สองสามสัปดาห์เพื่อไปดูดิสก์ของพวกเขาเองและตรวจสอบให้แน่ใจว่าพวกเขาไม่มีความเสี่ยงจากอุบัติเหตุ” เขากล่าว
ดูข้อมูลเพิ่มเติม จากแหล่งเว็บไซต์ข่าว

Facebook Comments