Truffle Security: 768 de chei AWS scurse încă oferă acces la conturi - politica de „carantină” a Amazon lasă posibile acțiuni cu impact major

Sute de chei AWS scurse rămân valide, iar „carantina” nu oprește abuzul. O analiză prezentată de The Next Web arată că 768 de chei Amazon Web Services (AWS) expuse public încă oferă control complet asupra conturilor companiilor, iar politica AWS de „quarantine” (limitare automată a cheilor detectate ca fiind compromise) lasă, în continuare, loc pentru acțiuni cu impact operațional și financiar. Truffle Security a identificat cele 768 de chei care acordau „full control” asupra conturilor, inclusiv 526 de chei „root” (cele mai privilegiate credențiale dintr-un cont AWS). Cercetarea a pornit de la 431.875 „secrete” AWS colectate din surse publice precum depozite de cod, istoricul git, seturi de date, imagini Docker și loguri de integrare continuă (CI), reduse ulterior la 64.024 de chei unice. Dintre acestea, au fost testate 10.616 credențiale pentru care existau date complete, iar la 10 august 88% încă se autentificau. Un detaliu relevant pentru companiile care folosesc intens instrumente de inteligență artificială este că cea mai mare sursă singulară de expuneri nu a fost o platformă clasică de găzduire de cod: Hugging Face a concentrat 8.482 de expuneri de chei unice, pe fondul reutilizării practicilor din dezvoltarea software în depozite de modele. De ce contează pentru operațiuni: cheile vechi rămân în producție Problema nu este doar scurgerea inițială, ci faptul că rotația cheilor (înlocuirea periodică a credențialelor) pare să fie rar aplicată. Potrivit datelor Truffle Security, cheia mediană pentru care exista o dată de creare cunoscută avea aproximativ cinci ani, iar doar 13,7% dintre utilizatori aveau emisă o cheie mai nouă pentru același cont. În practică, asta înseamnă că o credențială compromisă poate rămâne utilizabilă ani la rând, cu risc de acces neautorizat, consum fraudulos de resurse și întreruperi operaționale. „Carantina” AWS: limitare, nu blocare completă AWS aplică o politică de „quarantine” atunci când detectează chei scurse, cu scopul de a limita daunele asociate fraudei fără a afecta resursele existente. Însă, într-o analiză publicată în The Register, economistul de cloud Corey Quinn susține că această politică lasă prea multe acțiuni posibile chiar și pentru credențiale „carantinate”. Conform interpretării lui Quinn, astfel de credențiale ar putea în continuare să: își asume alte roluri în cont (escaladare laterală în interiorul contului); ruleze comenzi pe instanțe deja pornite; oprească logarea CloudTrail și să șteargă urmele de audit. Un exemplu cu efecte persistente ține de stocare: scrierea într-un „bucket” ar fi permisă, inclusiv setarea de „object lock” și retenție în „compliance mode”, ceea ce ar putea permite umplerea spațiului de stocare și blocarea datelor pentru perioade care nu pot fi scurtate nici măcar cu suportul AWS, fără ștergerea întregului cont. Publicația notează că aceasta este o interpretare a unei politici publicate, nu o demonstrație a unui atac reușit, dar lista de permisiuni poate fi verificată în documentația Amazon. Context de reglementare: DORA pune presiune pe controlul riscului tehnologic Pentru companiile europene, miza nu este doar tehnică. Entitățile financiare sunt supuse Digital Operational Resilience Act (DORA) din ianuarie 2025, iar o cheie „root” veche de cinci ani ajunsă într-un set de date public este exact tipul de risc tehnologic „third-party” pe care reglementarea cere să fie identificat și documentat. În acest cadru, lipsa rotației cheilor devine un punct vulnerabil direct legat de controalele pe care DORA presupune că organizațiile le au în funcțiune. [...]