ทุกคนต่างรู้กันดีว่าการเปิด S3 เป็น public เป็นหนึ่งในสาเหตุของข้อมูลหลุดหลายครั้ง จนสุดท้าย AWS ต้องออก Block Public Access ไม่ให้เปิด S3 เป็นสาธารณะตลอดไป แต่จริง ๆ แล้วคลาวด์มีส่วนประกอบจำนวนมาก ดังนั้น S3 จึงไม่ใช่อย่างเดียวที่คนใช้งานจะพลาดในด้านความปลอดภัย

Ben Morris นักวิเคราะห์ความปลอดภัยอาวุโสจาก Bishop Fox ระบุว่า snapshot ของ EBS คือสิ่งหนึ่งที่ถูกละเลยความปลอดภัย เพราะตัว snapshot เก็บข้อมูลทุกอย่างของแอปบนคลาวด์ แต่กลับมีคนปล่อยเป็นสาธารณะ

EBS หรือ Elastic Block Storage เป็นพื้นที่จัดเก็บข้อมูลประสิทธิภาพสูงสำหรับใช้งานร่วมกับ EC2 ดังนั้น EBS จึงต้องเก็บข้อมูลสำคัญที่เกี่ยวข้องกับการประมวลผล ซึ่งรวมถึง secret key หรือ access token ต่าง ๆ ด้วย

โดยปกติแล้ว เมื่อองค์กรต้องเปลี่ยนฮาร์ดดิสก์ในคอมพิวเตอร์ จะต้องทำลายข้อมูลในทิ้งทั้งหมดเพื่อป้องกันการถูกกู้ข้อมูลขึ้นมาก่อนที่จะถูกส่งออกไป ซึ่งองค์กรบางแห่งอาจจะต้องทำลายตัวฮาร์ดดิสก์เลยด้วย แต่ EBS เมื่อใช้งานเสร็จควรจะทำลายอย่างถูกวิธีเช่นเดียวกับฮาร์ดดิสก์ กลับมีคนเปิด snapshot ซึ่งเป็นแบคอัพของ EBS ทิ้งไว้เป็นสาธารณะจำนวนมาก

Morris ระบุว่า ผู้ดูแลระบบคลาวด์มักจะตั้งค่าไม่ถูกต้อง ปล่อย EBS เป็นสาธารณะและไม่มีการเข้ารหัสข้อมูล เปิดให้ใครก็ได้ในอินเทอร์เน็ตดาวน์โหลดดิสก์และบู๊ตขึ้นมา เชื่อมต่อเข้ากับเครื่องที่ตัวเองควบคุม และค้นทุกอย่างในฮาร์ดดิสก์เพื่อหา secret ทุกรูปแบบ

Morris ได้พัฒนาเครื่องมือที่ใช้ระบบค้นหาของ Amazon ในการหา EBS snapshot ที่ปล่อยเป็นสาธารณะ จากนั้นเชื่อมต่อเข้ากับเครื่อง คัดลอก และดูเนื้อหาต่าง ๆ บนระบบของตัวเอง แม้ผู้ใช้จะปล่อยดิสก์ออกสู่สาธารณะเพียง 2 นาที เครื่องมือของ Morris ก็หาเจอและคัดลอกข้อมูลได้

จากการทดสอบโดยใช้เครื่องมือของตัวเอง Morris พบว่ามี snapshot จำนวนไม่น้อยที่เปิดเป็นสาธารณะ นี่เพียง region เดียว โดยใน EBS ที่เขาพบก็มีสิ่งที่ไม่ควรจะให้คนอื่นเห็นมากมาย เช่น ซอร์สโค้ด, credential สำหรับผู้ดูแลระบบ, key สำหรับแอป, การตั้งค่า VPN (สามารถใช้เข้าเครือข่ายบริษัทได้เลย) และอื่น ๆ

สิ่งที่น่าสนใจคือ Morris ระบุว่าบริษัทใหญ่ในกลุ่มผู้ให้บริการด้านสุขภาพหรือบริษัทเทคโนโลยีก็มีปล่อยข้อมูลหลุดเหมือนกัน ไปจนถึงบริษัทหนึ่งที่เป็นคู่สัญญากับรัฐบาลด้วย โดยบริษัทนี้ให้บริการเก็บข้อมูลกับหน่วยงานสหพันธรัฐ ซึ่งสิ่งเหล่านี้ไม่ควรอย่างยิ่งที่จะหลุดออกมาในอินเทอร์เน็ต

Morris ประมาณการว่าน่าจะมี EBS ปล่อยหลุดออกมาราว 1,250 รายการใน AWS ทุก region ซึ่งโฆษกของ Amazon ระบุว่า หากลูกค้า AWS เปิดใช้ EBS เป็นสาธารณะ จะได้รับการแจ้งเตือนและแนะนำให้ปิดกลับเป็นออฟไลน์ถ้าการตั้งค่านี้เกิดขึ้นโดยไม่ได้ตั้งใจ

ที่มา - TechCrunch

ภาพจาก Pixabay