לפני כמה ימים, בעוד ניצוצות של קרירות התגנבו לגל החום של אוגוסט, הופיעה שוב שאלה חשובה אך מעט פרובוקטיבית ברשתות החברתיות המקצועיות: "עד כמה הענן מאובטח?"
הסיבה העיקרית לספק זה נעוצה בפגיעות של רכיב תוכנה שתוארו על ידי כמה חוקרי החברה קוֹסֵם.
בואו ננסה לחקור מה קרה כדי להבין את הסיכונים והפתרונות.
מיקרוסופט, כחלק מפתרונות הענן הנמצאים תחת מטריית "תכלת", מציעה פתרון מסד נתונים בשם CosmosDB. זהו מאגר נתונים של NoSQL, ולכן שונה במבנה ובביצועים באופן קיצוני בהשוואה למסד נתונים יחסי כגון SQLServer.
היתרונות שדוחפים חברות קטנות וגדולות לאמץ מסד נתונים של NoSQL בענן הם בעצם שלושה: אחסון כמויות גדולות של נתונים לא מובנים, מהירות תגובה בכמה מילי שניות, ואחרון חביב, מדרגיות ברמה הגלובלית. יתרונות אלה, בשילוב עם העוצמה של הענן, מסבירים את הסיבות להצלחת CosmosDB.
באוגוסט 2021 החברה קוֹסֵם, בראשותו הטכנית של עמי לוטוואק, שמילא לאחרונה את אותו תפקיד ב- Microsoft Cloud Security Group, מודיע למיקרוסופט כי צוות המחקר שלה זיהה פגיעות ברכיב תוכנה המשמש עם CosmosDB צ'ה סי צ'יאמה מחברת צדק.
זהו יישום מתאר קטן של מנוע הנתונים הראשי, המגדיר את עצמו פתח את פורמט המסמך.
בפועל זוהי דרך לייצג נתונים המאפשרים לך ליצור ולשתף מסמכים המכילים מטקסט נרטיבי ועד משוואות מדעיות, מקוד תוכנה לנתונים מורכבים יותר כפי שפשוטו בתמונה למטה.
לאחר מכן ניתן לאחסן מסמכים אלה במסד הנתונים, ולאחר מכן לשאול, למיין, לחלץ וכו '.
מחברת צדק זה לא נולד עם CosmosDB, אך לפני כעשר שנים כחלק משפת התכנות פיתון. בשנת 2015 זה מגיע לא מקובץ בפרויקט עצמאי של מקור פתוח בשם פרויקט ג'ופיטר.
במילים הפשוטות ביותר שאפשר להבין את הסיכון, את הפגיעות של מחברת צדק, אם מנוצל עם ספיישל לנצל מקודד לאירוע, הוא מאפשר לתוקף לחקור את הרכיב מחברת צדק של מסד נתונים CosmosDB נגיש מהאינטרנט, קבלת תעודות תקפות שימושיות לצפייה, שינוי ומחיקה של נתונים במשתמש של CosmosDB.
כמו תמיד כשהדברים נעשים די טובים, חוקרים העניקו לפגיעות הזו שם על ידי כך שהם קוראים לה כאוס DB והודיעה למיקרוסופט בהתאם לתכתיבי ה- אחראי גילוי.
חברת רדמונד הגיבה מייד תוך פחות מ -48 שעות על ידי השבתת אפשרות התוכנה הזו שהייתה קיימת כברירת מחדל בכל המופעים CosmosDB ללא קשר לשימוש והתריעו בפני הלקוחות על הסיכון כך שיוכלו לשנות תצורות כדי לתקן את הסיכון לפשרה אפשרית.
אני מסיים את הדיון הזה בשורה של חמש שאלות להבהרת הסיכון האמיתי, ולבסוף אני מציע את ההרהורים שלי בנושא.
אז האם הענן בטוח?
כמו כל יישום שניתן להגיע אליו על ידי כל מי שמורשה ומכל מקום על פני כדור הארץ. כדי להעלות את רמת הבטיחות - בהשוואה לחברות, כפעילותן העיקרית, עושות משהו אחר - ישנה תשומת הלב המתמדת והרציפה של מי שמייצר חלק חשוב מרווחיו על שירותים אלה ובעלי כל עניין בבנייה ושימור. יחסי אמון המבוססים על שלמות הנתונים, כמו גם על סודיותם.
אך האם הפגיעות הזו נותרה פעילה במשך חודשים לפני שהתגלתה?
כמו מאות אלפי נקודות תורפה, חלקן נשארות רדומות במשך שנים עד שיתגלו. מיקרוסופט אישרה גם כי אין גישה בלתי חוקית לנתונים בשל פגיעות זו. יש לזכור גם כי פגיעות רכיב אינה בהכרח פירושה פגיעות בפלטפורמה.
כיצד אוכל להגן על עצמי מפני התקפות ענן?
דאג שתמיד תהיה לך נראות מרבית בסביבה הדיגיטלית שלך, בנוסף לידע על אפשרויות התצורה השונות של המופעים המופעלים בסביבות ענן. לדוגמה, למרות שהוא פגיע עקב רכיב תוכנה כמו Jupyter Notebook, מסד הנתונים של CosmosDB הופך להיות בלתי ניתן לפגיעה רק אם הוא נחשף לנגישות ציבורית באמצעות האינטרנט. ואסור לשכוח את הסיכון הפנימי הנובע מתוקפים המנצלים נקודות תורפה מתוך היקפי האבטחה.
כיצד אוכל לצמצם את הסיכון לפגיעות זו?
נוסף על מדריך הניתן על ידי מיקרוסופט, לפני יומיים אותו Wiz פרסם כמה הנחיות מעניינות בעניין זה, שאפשר להתייעץ איתן בקישור הזה.
אך האם לא אמורה להיות האחריות של מיקרוסופט להבטיח את אבטחת חשבון הענן שלי?
לא יותר נכון, לא לגמרי. אין ספק שתפקידה של מיקרוסופט להבטיח שהתוכנות והפלטפורמות המוצעות כשירות יישארו נקיות ככל האפשר מבאגים ופגיעות, פעילות המתבצעת ללא הרף על ידי כל מי שמציע שירותי ענן לצדדים שלישיים. למעשה, במקרה זה הפגיעות נמצאה במערכת יחסים רציפה בין מיקרוסופט ושותפיה במטרה להגביר את אבטחת השירותים.
חשוב גם למשתמשים להבין את מושג האחריות המשותפת, עליה דיברתי במאמר אחר ביתר פירוט וכי אני מסכם כאן עם דוגמה: נניח שאנו שוכרים בית המצויד בכל תכונות הבטיחות המתקדמות והעדכניות ביותר, על מנת להפוך אותו למבצר בלתי נסבל כמעט. עם זאת, אנו האנשים שקיבלו את המפתחות לפתיחת דלת הבית הזה. אנחנו אלה שמחליטים אם כאשר אנו יוצאים מהבית אנו משאירים את החלונות פתוחים; אנחנו גם אלה שמחליטים ליצור עותק בטיחותי של המפתחות כדי להדביק אותם מתחת לדוכן המטריה בנייר דבק כי לעולם אין לדעת.
כוחה של כל שרשרת שווה לחוליה החלשה ביותר ולעתים קרובות הקישור הזה הוא מה שהוא מחבר את הכיסא למקלדת.
מרקו רוטיני
קָרִיקָטוּרָה: סימון דומיני
להעמיק:
פרויקט ג'ופיטר https://jupyter.org/
היכרות עם CosmosDB https://docs.microsoft.com/it-it/azure/cosmos-db/introduction
הדו"ח של Wiz על הפגיעות https://www.wiz.io/blog/chaosdb-how-we-hacked-thousands-of-azure-customers-databases
הנחיות Wiz כיצד להקל https://www.wiz.io/blog/protecting-your-environment-from-chaosdb
