Seberapa aman rahasiamu? Jika Anda menggunakan snapshot Penyimpanan Blok Elastis Amazon, Anda mungkin ingin memeriksa pengaturan Anda.
Penelitian baru yang dipresentasikan pada konferensi keamanan Def Con mengungkapkan bagaimana perusahaan, startup dan pemerintah secara tidak sengaja membocorkan file mereka sendiri dari cloud.
Anda mungkin pernah mendengar tentang bucket S3 yang terbuka - server penyimpanan yang di-host di Amazon yang dikemas dengan data pelanggan tetapi seringkali salah konfigurasi dan secara tidak sengaja diatur ke "publik" untuk diakses oleh siapa saja. Tetapi Anda mungkin belum pernah mendengar tentang snapshot EBS yang terbuka, yang memiliki risiko lebih besar, jika tidak lebih besar.
Snapshots penyimpanan blok elastis (EBS) ini adalah "kunci menuju kerajaan," kata Ben Morris, seorang analis keamanan senior di perusahaan cybersecurity Bishop Fox, dalam panggilan dengan TechCrunch menjelang pembicaraan Def Con-nya. Snapshot EBS menyimpan semua data untuk aplikasi cloud. "Mereka memiliki kunci rahasia untuk aplikasi Anda dan mereka memiliki akses database ke informasi pelanggan Anda," katanya.
"Ketika Anda menyingkirkan hard disk untuk komputer Anda, Anda tahu, Anda biasanya mencabik-cabik atau menghapusnya sepenuhnya," katanya. "Tapi ini volume EBS publik hanya tersisa bagi siapa saja untuk mengambil dan mulai menyodok."
Dia mengatakan bahwa terlalu sering admin cloud tidak memilih pengaturan konfigurasi yang benar, membiarkan foto-foto EBS secara tidak sengaja menjadi publik dan tidak terenkripsi. "Itu berarti siapa pun di internet dapat mengunduh hard disk Anda dan mem-boot-nya, melampirkannya ke mesin yang mereka kontrol, dan kemudian mulai mengaduk-aduk disk untuk mencari segala jenis rahasia," katanya.
Morris membuat alat menggunakan fitur pencarian internal Amazon sendiri untuk meminta dan mengikis foto-foto EBS yang dipublikasikan kepada publik, lalu melampirkannya, membuat salinan, dan mencantumkan konten volume pada sistemnya.
"Jika Anda mengekspos disk hanya untuk beberapa menit, sistem kami akan mengambilnya dan membuat salinannya," katanya.
Slide lain yang mencatat jenis data yang dikompromikan ditemukan menggunakan penelitiannya, sering dikenal sebagai "Wall of Sheep" (Gambar: Ben Morris / Bishop Fox; disediakan)
Butuh waktu dua bulan untuk membangun basis data yang terbuka dan hanya beberapa ratus dolar yang dihabiskan untuk sumber daya cloud Amazon. Setelah dia memvalidasi setiap foto, dia menghapus data.
Morris menemukan lusinan foto yang terpapar secara publik di satu wilayah saja, katanya, termasuk kunci aplikasi, pengguna kritis atau kredensial administratif, kode sumber dan banyak lagi. Dia menemukan beberapa perusahaan besar, termasuk penyedia layanan kesehatan dan perusahaan teknologi.
Dia juga menemukan konfigurasi VPN, yang menurutnya dapat memungkinkannya untuk tunnel ke jaringan perusahaan. Morris mengatakan dia tidak menggunakan kredensial atau data sensitif apa pun, karena itu akan melanggar hukum.
Di antara hal-hal yang paling merusak yang ia temukan, Morris mengatakan ia menemukan foto untuk satu kontraktor pemerintah, yang tidak ia sebutkan, tetapi menyediakan layanan penyimpanan data kepada agen-agen federal. "Di situs web mereka, mereka membual tentang memegang data ini," katanya, merujuk pada intelijen yang dikumpulkan dari pesan yang dikirim ke dan dari apa yang disebut kelompok teror Negara Islam ke data tentang penyeberangan perbatasan.
"Itu adalah hal-hal yang saya pasti tidak ingin diekspos ke internet publik," katanya.
Dia memperkirakan angkanya bisa sebanyak 1.250 eksposur di semua wilayah cloud Amazon.
Morris berencana untuk merilis kode bukti konsepnya dalam beberapa minggu mendatang.
"Saya memberi perusahaan beberapa minggu untuk memeriksa disk mereka sendiri dan memastikan bahwa mereka tidak memiliki eksposur yang tidak disengaja," katanya.
0 komentar:
Posting Komentar