Truffle Security 10. augustā pārbaudīja 10 616 publiski atrastus AWS piekļuves atslēgu pārus. 88 % no tiem joprojām autentificējās, tātad dzīvas ir 9308 atslēgas. 768 no tām pieder uzņēmumiem un dod pilnu kontroli pār kontu: 526 ir saknes atslēgas, bet 242 pieder IAM lietotājiem ar pievienotu politiku AdministratorAccess.
Datus pētnieki vāca četrus gadus, no 2022. gada augusta līdz šī gada augustam. No 431 875 publiski ziņotiem atradumiem palika 64 024 unikāli atslēgu pāri, kas attiecas uz 50 654 dažādiem AWS kontiem. Saknes atslēgas starp tām ir 10 625 jeb 16,6 %, izkaisītas pa 9945 kontiem. Saknes atslēga ir bīstamākā, jo uz to IAM atļaujas neattiecas: to nevar ierobežot ar politiku, to var tikai deaktivizēt. Rezultātus komanda publicēja 19. augustā.
Vecākā strādājošā atslēga ir 17,4 gadus veca
Noplūdušo atslēgu mediānas vecums ir 1831 diena, aptuveni pieci gadi. Pēdējo 30 dienu laikā bija izveidotas tikai 25 atslēgas jeb 0,9 % no kopskaita. Gandrīz visas noplūdes tātad ir senas. Vecākā vēl strādājošā atslēga bija izveidota pirms 17,4 gadiem.
Rotācijas praktiski nav. No 2903 atslēgām, kurām bija zināms izveides datums, tikai 398 gadījumos tam pašam IAM lietotājam blakus atradās jaunāka atslēga. Pārējos 2505 gadījumos jeb 86 % aizstājēju neviens nebija izveidojis. Tas nozīmē, ka noplūdusī atslēga lielākoties joprojām ir tā pati atslēga, ko sistēma lieto ikdienā.
Tiem lietotājiem, kuriem atļaujas izdevās nolasīt, aina ir vēl skarbāka. 976 no 1157 jeb 84 % turēja AdministratorAccess. Vēl 144 lietotājiem bija IAMFullAccess, ar ko var pašam sev uzrakstīt jebkuras citas tiesības.
Lielākais viens avots ir Hugging Face
Hugging Face publiskajās datu kopās pētnieki atrada 8482 unikālas dzīvas atslēgas. Tās bija izkaisītas pa 3394 datu kopām. Saknes atslēgas veido 17,9 % no šī skaita, kas ir vairāk nekā vidēji pārējos avotos.
Pārējais nāk no vietām, kuras izstrādātāji reti pārbauda: Git vēstures ar sen izdzēstiem failiem, Docker attēlu starpslāņi, pakotņu reģistri un CI/CD žurnāli. Atslēga, kas vienreiz nokļuvusi Git vēsturē, paliek tur arī pēc tam, kad no darba koka fails ir izmests. Atslēgas izņemšana no repozitorija neko neatslēdz. Deaktivizēt to var tikai IAM konsolē vai ar aws iam update-access-key.
AWS karantīna aizliedz simtu darbību, pārējās paliek
Kad AWS pamana publiski atklātu atslēgu, tā lietotājam piekar pārvaldīto politiku AWSCompromisedKeyQuarantineV3. Truffle Security datos šī politika bija 929 IAM lietotājiem jeb 12 % no izsekojamajiem. 112 atslēgām bija vecāka politikas versija, ko AWS pārtrauca izsniegt 2023. gadā. Tās tātad ir atzīmētas vismaz trīs gadus atpakaļ, tomēr autentificējas joprojām.
Politika liedz aptuveni 110 darbības, starp tām ec2:RunInstances, iam:CreateAccessKey, s3:DeleteObject, bedrock:InvokeModel un organizations:CreateAccount. Pilnu sarakstu var apskatīt AWS dokumentācijā. Politikas mērķis ir apturēt rēķina uzskrūvēšanu. Piekļuvi tā neatņem. AWS to formulē tieši: karantīna ierobežo krāpniecisku izmantošanu, neaiztiekot esošos resursus.
Pašā sarakstā ir dīvainības. Aizliegts ir s3:GetObject un s3:ListBucket, tāpēc esošos failus nolasīt nevar. s3:PutObject sarakstā nav, tāpēc jaunus objektus pievienot var joprojām. Aizliegts ir kms:ScheduleKeyDeletion, taču secretsmanager:GetSecretValue nav, tāpēc noslēpumu krātuvi izlasīt var brīvi. Karantīna tātad aptur to, kas AWS rada nesamaksātu rēķinu. Datu aizsardzība tajā ir blakusprodukts.
Korijs Kvins (Corey Quinn) 22. augustā The Register uzskaitīja, kas ar karantīnā ieliktu atslēgu vēl ir izdarāms. Aizliegumu sarakstā nav sts:AssumeRole, tāpēc uzbrucējs var pāriet uz citu lomu un no ierobežojumiem izkļūt pavisam. Nav arī ssm:SendCommand, ar ko izpildīt komandas uz EC2 instancēm. Nav cloudtrail:StopLogging, lai izslēgtu auditu. Nav s3:PutObject kopā ar objektu saglabāšanas slēdzeni, ar kuru datus var padarīt neizdzēšamus. Kvins raksta, ka šo sarakstu sastādīja apmēram stundā.
AWS to gandrīz noteikti mainīs. Jautājums ir tikai, cik liels klienta incidents tam būs vajadzīgs.
Mediānais budžeta brīdinājums ir astoņi dolāri
Ja atslēgu kāds izmanto kriptovalūtu rakšanai vai AI modeļu darbināšanai, pirmā pazīme parasti ir rēķins. Budžeta brīdinājums bija ieslēgts tikai 262 no 2754 nolasāmajiem kontiem jeb 9,5 % gadījumu. Mediānais uzstādītais slieksnis ir 8 dolāri. Lielākā daļa šo kontu par tēriņiem uzzinātu mēneša beigās. Kopējie mēneša tēriņi nolasāmajos kontos sasniedza 420 631 dolāru.
Pārbaudi Truffle Security ierobežoja ar metadatu lasīšanu. Identificētajiem īpašniekiem tā nosūtīja brīdinājumu. 20. augustā komanda izlaida TruffleHog AWS Analyze, kas noplūdušai atslēgai parāda, līdz kurām resursu grupām tā aizsniedzas.
130 atslēgas atver visu organizāciju
Starp dzīvajām saknes atslēgām 130 pieder AWS Organizations pārvaldības kontiem. Katra no tām sniedz piekļuvi visiem dalībkontiem, kas šai organizācijai pievienoti. AWS uz BleepingComputer jautājumu atbildēja, ka par atklātām atslēgām paziņo klientiem un piemēro karantīnas politikas. Vienu no šīm 768 atslēgām neviens nav rotējis 17 gadus.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.