Амая Томан У апошні час з-за дрэннай бяспекі канфідэнцыйныя дадзеныя Apple і іншых буйных кампаній ледзь не сталі адкрытымі. Віной таму дрэнная канфігурацыя воблачнага сховішча Box, якая дазволіла несанкцыянаваным асобам атрымаць доступ да канфідэнцыйных дадзеных. Памылка была выяўлена даследчыкамі бяспекі.
Пастаўшчыкі хмарных паслуг звычайна рэкламуюць бяспеку свайго сховішча разам з прастатой абмену захаванымі дадзенымі. Размяшчэнне дадзеных на серверах гэтых сэрвісаў заўсёды нясе ў сабе пэўную рызыку іх выяўлення і няправільнага выкарыстання, нягледзячы на тое, наколькі аператары спрабуюць іх абараніць. Таксама можа здарыцца так, што адчувальныя звесткі становяцца агульнадаступнымі без крэдыту трэцяга боку.
Гэта можа быць зацікавіць вас
Давід Ханак Даследчыкі з Adversis нядаўна яны даведаліся, што даныя некаторых асноўных кліентаў Box Enterprise знаходзяцца пад пагрозай. TechCrunch паведаміў, што проста з дапамогай функцыі абмену згаданыя дадзеныя былі падвергнуты магчымасці раскрыцця. Гэта былі літаральна сотні тысяч дакументаў і ТБ даных ад сотняў важных кліентаў, якія карыстаюцца сэрвісам Box.
Праблема заключалася ў спосабе абмену файламі па спасылках на карыстальніцкіх даменах. Пасля таго, як супрацоўнікі Adversis выявілі спасылку, ім было лёгка перабраць іншыя сакрэтныя спасылкі на субдамене.
Гэта можа быць зацікавіць вас
Згодна з Adversis, Box параіў адміністратарам уліковых запісаў наладзіць агульныя спасылкі так, каб доступ да іх мелі толькі людзі ў кампаніі. Такім чынам трэба было пазбегнуць іх выкрыцця грамадскасці.
Па словах Adveris, даныя, якія маглі лёгка стаць агульнадаступнымі і такім чынам выкарыстоўвацца не па прызначэнні, уключалі, напрыклад, фатаграфіі пашпарта, нумары банкаўскіх рахункаў, нумары сацыяльнага страхавання або розныя фінансавыя і кліенцкія даныя. У выпадку з Apple гэта былі менавіта папкі, якія змяшчаюць «неканфідэнцыяльныя ўнутраныя дадзеныя», такія як прайс-лісты або файлы часопісаў.
Іншыя кампаніі, чые дадзеныя ў сховішчы Box патэнцыйна былі скампраметаваныя, уключаюць Discovery, Herbalife, Pointcate, а таксама сам Box. Усе названыя кампаніі ўжо прынялі неабходныя меры для выпраўлення памылкі.
