SERVIRA / Felhő hírek / Hatból egy Amazon S3 felhasználó tárolója bárki által hozzáférhető

Hatból egy Amazon S3 felhasználó tárolója bárki által hozzáférhető

Kutatók felfedezték, hogy közel 2000 Amazon Simple Storage Service tároló tartalmaz szabadon hozzáférhető érzékeny adatot

Relatíve alacson technológiai felszereléseket és technikákat használva biztonsági kutatók felfedezték, hogy minden hatodik Amazon S3 tároló publikusan hozzáférhető. A tartalom változó, többnyire képek és egyéb személyes fájlok mellett azonban találtak eladási jegyzéket, védtelen adatbázis biztonsági mentéseket, forráskódokat és alkalmazotti személyes adatokat is. Sok ily módon megszerzhető adat használható hálózati támadásra, felhasználói fiókok kompromittálására és még a feketepiacon is értékesíthetőek.


vps, cloud és cloudhosting kedvező áron!

felhő, cloud, iaas, vps, akció, kedvező, olcsó, konfiguráció


A kutatók közel 2000 tárolóból 126 milliárd fájl listáját tudták összegyűjteni. Ebből közel 40.000 publikusan látható, és nagyon sok érzékeny információt tartalmazó.

A biztonsági kockázat a nyilvános tárolóknál egyszerű. A fájlok listája és a fájlok maguk is letölthető. A legrosszabb esetben az érzékeny adatokat tartalmazó tároló publikusként van megjelölve, mely így felfedi a fájlok listáját, és nincs beállítva hozzáférési szabályzat, ennek értelmében szabadon letölthetőek. A legfontosabb, hogy a nyilvános tároló ki fogja listázni az összes fájlt és mappát, amit tartalmaz, akármelyik felhasználónak, aki kéri.

Hiba vagy figyelmetlenség?

A probléma gyökere nem biztonsági rés az Amazon felhőjén, inkább a felhasználók hanyagságán alapul. Persze az sem segít sokat, hogy az Amazon S3 tárolók könnyen kikövetkeztethető, és nyilvánosan hozzáférhető URL-eket használnak.

Ha egy fájl listázásra került egy tárolóban, még nem jelenti automatikusan, hogy le is tölthető. A tárolóknak és a fájloknak külön hozzáférési vezérlése van. Ennek ellenére, ha egy felhasználó lezárja a fájljait, akkor az adat tolvajok még mindig látják a listában, bár nem tudják letölteni. Potenciálisan érzékeny adatokat tudhatnak meg magából a fájlnévből és a frissítés / módosítás gyakoriságából is.

A problémához hozzájárul az is, hogy az összes Amazon S3 tárolónak egyedi, kikövetkeztethető és nyilvánosan elérhető URLje van, ami egyszerűvé teszi az ilyen tárolók keresését, és nyilvánosságuk avagy privát mivoltuk lenyomozását.

Példának okáért egy alapértelmezett S3 URL így néz ki (amerikai területi szerverek esetén)

http://s3.amazonaws.com/[tároló neve] vagy http://[tároló neve].s3.amazonaws.com

Írországi szervernél ez annyiban módosul, hogy

http://s3-eu-west-1.amazonaws.com/[tárolóneve] vagy http://[tárolóneve].s3-eu-west-1.amazonaws.com

A többi szervernél már egyszerűen kikövetkeztethető ezek alapján.

Ha beütünk egy URLt, akkor a privát tárolók esetében Hozzáférés megtagadva üzenetet kapunk, viszont ha nyilvános, akkor az első 1000 elemet megjeleníti egy listában a böngészőnk is.

Mióta tudnak róla?

Ez a jelenség már több hónapja ismeretes, Robin Wood biztonsági kutató ugyanis már akkor közzé tett egy programot, amely végigkeresi egy felhasználó által megadott szólista alapján a tárolókat, és azok tartalmát. Az Amazon figyelmeztette felhasználóit ugyan, de mindenkinek magának kell eldöntenie, hogy mit tárol publikusan és mit privát tárolóban.

Saját kutatásunk

Mi is végeztünk egy kis kutatást, mert kíváncsiak voltunk arra, hogy az eltelt idő alatt a felhasználók hozzáállása a helyzethez mennyiben változott. Viszonylag kis méretű szólistával dolgoztunk, mely 2268 általános felhasználónevet tartalmaz, és bárki által hozzáférhető a Packet Storm oldalán, melyet biztonsági szakemberek használhatnak ellenőrzésre. Mint majd kiderül, a felhasználók hanyagsága mit sem változott az eltelt idő alatt.

Itt az eredmény

2268 lehetséges felhasználónévből:

Ahogy látszik, a listában szereplő nevek többsége nem létezik, de 5% igen és nyilvános is. A Packet Storm-nak van olyan listája, ami több mint 100,000 névvel illetve szóval van tele, ha ugyanez a tendencia, akkor már 5000 tárolóról beszélünk.

A nyilvános tárolókban összesen 9683 fájl volt elérhető. Listáztuk, hogy milyen kiterjesztésűek az elérhető fájlok.

Képek – jpg|png | gif | tiff | psd | bmp 7096
Web – html | css | js 1387
Videó és zene – mp3 | mp4 | flv | mov | avi | wmv | m4v | aa | mpg  446
Dokumentumok – pdf | doc | xls | ppt 90
Archívumok – rar | zip | gz     67
SQL 1
Minden más 656
Összesen :  9743

Mint látszik, az AWS felhasználók többnyire személyes dolgok tárolására használják a felhőjüket, képek, zenék és videók megosztására. Ez persze csak egy kis szelete az összes nyilvános tárolónak. Azért ha a tendenciát nézzük, általánosan elmondhatjuk, hogy felhasználói hanyagságból olyan bizalmas inforációkat tartalmazó fájlok is kikerülnek a nyilvános tárolókba, melyeknek nem kellene ott lenniük. Hosszú idő telt el, és a felhasználók megtehették volna az óvintézkedéseket, de amint látjuk, nagyon sokan nem törődnek ezzel, potenciális célpontként kínálva fel magukat egy esetleges rosszakarónak. 

Ajánlatos megfontolnunk, mielőtt nyilvános felületre tesszük fel legféltettebb dolgainkat. Mint látszik, elég egyszerűen hozzájuk lehet férni.

Még egyszer hangsúlyoznánk, nem biztonsági hibáról van szó, hanem a felhasználók hanyagságáról.

 
Támogatott rendszereink