Ошибка привела к раскрытию 38 терабайт данных, включая хранилища закрытых ключей, паролей и внутренних сообщений Microsoft Teams от сотен сотрудников, подтвердила Microsoft в понедельник.
Утечка данных была обнаружена исследователями из охранной фирмы Wiz, которые уведомили компанию 22 июня.
“Об этой проблеме было ответственно сообщено в рамках скоординированного раскрытия уязвимостей, и она уже устранена”, – сказал представитель. “Мы подтвердили, что никакие данные клиентов не были раскрыты, и никакие другие внутренние службы не подвергались риску”.
Представитель направил Recorded Future News в сообщение в блоге по этому вопросу, в котором объяснялось, как сотрудник Microsoft поделился URL-адресом в общедоступном репозитории GitHub, внося свой вклад в модели обучения искусственного интеллекта с открытым исходным кодом.
“Этот URL-адрес содержал маркер подписи общего доступа с чрезмерными разрешениями (SAS) для учетной записи внутреннего хранилища. Затем исследователи безопасности из Wiz смогли использовать этот токен для доступа к информации в учетной записи хранилища ”, – заявили представители Microsoft.
“Данные, предоставленные в этой учетной записи хранения, включали резервные копии профилей рабочих станций двух бывших сотрудников и внутренние сообщения Microsoft Teams этих двух сотрудников со своими коллегами”.
И Microsoft, и Wiz вернули проблему к SAS tokens, функции Azure, которая позволяет пользователям обмениваться данными из учетных записей хранилища Azure.
Microsoft заявила, что токены предоставляют механизм ограничения доступа к данным, позволяя определенным клиентам подключаться к указанным ресурсам хранилища Azure.
По словам Microsoft, исследователь “непреднамеренно включил этот токен SAS”, внося свой вклад в модели обучения ИИ с открытым исходным кодом. Токены SAS должны создаваться и управляться надлежащим образом, заявила Microsoft, добавив, что она “постоянно совершенствует функцию токенов SAS и продолжает оценивать сервис для укрепления нашей защищенности по умолчанию”.
Как только Microsoft была проинформирована Wiz о проблеме в июне, она отозвала токен SAS и запретила весь внешний доступ к учетной записи хранилища до 24 июня. Последующее расследование показало, что не было никакого риска для клиентов и что уязвимость не использовалась.
Соучредитель Wiz Ами Люттвак рассказала Recorded Future News, что инцидент является примером осторожности, которую необходимо соблюдать, поскольку компании спешат внедрять системы искусственного интеллекта.
“Поскольку специалисты по обработке данных и инженеры стремятся внедрить в производство новые решения в области искусственного интеллекта, огромные объемы данных, которые они обрабатывают, требуют дополнительных проверок безопасности. Последнее открытие Wiz research, которое является частью более широкой инициативы компании, направленной на обеспечение безопасности искусственного интеллекта, иллюстрирует проблемы искусственного интеллекта: эта новая технология требует больших наборов данных для обучения ”, – сказал Луттвак.
“Поскольку многим командам разработчиков приходится манипулировать огромными объемами данных, делиться ими со своими коллегами или сотрудничать в общедоступных проектах с открытым исходным кодом, случаи, подобные Microsoft, становится все труднее отслеживать и избегать”.
Действует до 2051 года
В сообщении в блоге Wiz по этому вопросу говорится, что исследователи смогли использовать открытый токен SAS для доступа к резервной копии диска рабочих станций двух сотрудников, которая включала “секреты, закрытые ключи, пароли и более 30 000 внутренних сообщений Microsoft Teams” от 359 сотрудников Microsoft.
О проблеме было сообщено Microsoft 22 июня, и Microsoft завершила свое расследование 16 августа.
Блог посвящен двум проблемам: чрезмерному обмену данными, необходимыми для обучения моделей искусственного интеллекта, и сложностям использования токенов SAS.
Первоначально компания обнаружила проблему при сканировании Интернета на предмет неправильно сконфигурированных контейнеров хранения. Они обнаружили репозиторий GitHub под управлением организации Microsoft под названием “передача надежных моделей”.
Хранилище принадлежит подразделению Microsoft по исследованию искусственного интеллекта, и его целью является предоставление открытого исходного кода и моделей искусственного интеллекта для распознавания изображений, объяснили исследователи. Тем, у кого был доступ к хранилищу, было предложено загрузить модели с URL-адреса хранилища Azure, но он был настроен на предоставление разрешений для всей учетной записи хранилища, что привело к ошибочному предоставлению дополнительных личных данных.
По мнению Wiz, токен был неправильно настроен, чтобы позволить любому пользователю не только просматривать файлы в учетной записи, но и удалять или перезаписывать их.
“Злоумышленник мог внедрить вредоносный код во все модели искусственного интеллекта в этой учетной записи хранения, и каждый пользователь, который доверяет репозиторию Microsoft GitHub, был бы заражен им”, – сказали исследователи.
“Однако важно отметить, что эта учетная запись хранилища не была доступна напрямую для общего доступа; фактически, это была частная учетная запись хранилища”.
В этом посте подробно рассказывается о том, насколько разрешительные токены SAS без истечения срока действия являются проблемой для организаций, которые имеют слабые политики в отношении своих систем хранения Azure. Отозвать токены непросто, отметил Виз.
“Эти уникальные ошибки делают этот сервис легкой мишенью для злоумышленников, ищущих открытые данные. Помимо риска случайного раскрытия, подводные камни сервиса делают его эффективным инструментом для злоумышленников, стремящихся сохранить сохраняемость скомпрометированных учетных записей хранилища ”, – заявили исследователи Wiz.
“В недавнем отчете Microsoft указывается, что злоумышленники пользуются отсутствием у службы возможностей мониторинга, чтобы использовать привилегированные токены SAS в качестве бэкдора. Поскольку выдача токена нигде не задокументирована, нет способа узнать, что он был выдан, и действовать против него ”.
Их исследование показало, что организации “часто используют токены с очень длительным (иногда бесконечным) сроком службы, поскольку верхнего предела истечения срока действия токена не существует”. В ситуации, описанной в понедельник, токен был действителен до 2051 года.
Согласно Wiz, официального способа отслеживать токены в Azure или отслеживать, как они выдаются, не существует.
По словам исследователей, использование токенов SAS учетной записи для внешнего обмена небезопасно, и его следует избегать.
Author: admin
Related Posts
В новом исследовании ВЦИОМ, посвященном “Цифровой самообороне”, выяснилось, что большинство россиян обеспокоены сохранностью своих личных данных в интернете.
Компании хотят обязать страховать потерю персональных данных россиян
