Изпълнител на CISA изтича AWS ключове и пароли в публичен GitHub
Агенцията за киберсигурност и сигурност на инфраструктурата, по-известна като CISA, е основният орган на правителството на Съединените щати за защита на цифровата инфраструктура. Тя публикува препоръки за сигурност, задава стандарти за федерални агенции и редовно предупреждава обществото за правилното боравене с идентификационни данни. Затова когато изпълнител на CISA остави пароли в явен текст и AWS облачни ключове с високи привилегии в публичен GitHub хранилище, инцидентът се стовари като удар в корема върху доверието в агенцията. Този урок за сигурност при изтичане на правителствени идентификационни данни достига далеч отвъд Вашингтон.
Какво точно е разкрил изпълнителят на CISA
Изтеклите данни не бяха маловажни. Паролите в явен текст са, казано най-просто, суровата, некриптирана форма на идентификационни данни. Всеки, който случайно открие парола в явен текст, може да я използва незабавно, без никакви технически умения. Няма хеш за разбиване, няма кодиране за обръщане.
Още по-тревожни бяха разкритите AWS облачни ключове. Ключовете за достъп до Amazon Web Services (AWS) действат като главни идентификатори за облачни среди. Ключовете с високи привилегии, по-конкретно, могат да предоставят на притежателя им способността да чете данни, да стартира или унищожава сървъри, да модифицира конфигурации и потенциално да се придвижи по-дълбоко в свързани системи. При акаунт в GovCloud — което е именно това, към което конгресменските демократи са насочили исканията си за отговори — залозите са значително по-високи, отколкото при личен акаунт на разработчик.
Фактът, че всичко това се е озовало в публично GitHub хранилище, означава, че поне за определен период е било достъпно за всеки. Автоматизирани ботове редовно сканират GitHub именно за такъв вид материали, често в рамките на минути след качването на файл. Прозорецът на излагане може да е бил кратък, но рискът беше реален и сериозен.
Защо правителствените агенции продължават да се провалят в основите
Този инцидент не е изолиран случай. Правителствените агенции и техните изпълнители имат добре документиран модел на препъване в основни практики за сигурност, дори докато пишат наредбите, които всички останали трябва да следват. Хакването на личния имейл акаунт на директора на ФБР илюстрира подобна динамика: хората и институциите, позиционирани като авторитети в сигурността, не са имунизирани срещу най-елементарните грешки.
Няколко структурни фактора допринасят за тази тенденция. Изпълнителите работят в периферията на надзора на агенцията и може да не получават същото обучение по сигурност като щатните служители. Работните процеси на разработчиците, особено при бързо движение по даден проект, създават натиск за взимане на преки пътища, а твърдото кодиране на идентификационни данни в кодова база или случайното качване на файл с тайни в публично хранилище е забележително честа грешка на разработчиците във всеки сектор.
Големите организации също се борят с разпръскването на тайни: десетки системи, десетки идентификационни данни и нито една единна точка на отговорност, която да гарантира, че всяка от тях се съхранява, ротира и отменя правилно. Когато тази организация е правителствен изпълнител, разпръскването се разширява между агенции, договори и подизпълнители, умножавайки площта за exactly такъв вид грешки.
Какво означава това за обикновените потребители, които се доверяват на институциите
Неудобният извод тук е ясен: на никоя институция, колкото и авторитетна да е, не може да се разчита като на сигурно пристанище за вашите данни или идентификационни данни. CISA задава стандарта за федералните насоки за киберсигурност. Ако изпълнител, работещ за тази агенция, може да допусне толкова фундаментална грешка, няма причина да се предполага, че някоя друга организация, обработваща вашата информация, е имунна.
Това е важно, защото повечето хора работят с имплицитното допускане, че правителствените агенции и големите компании се справят със сигурността. Те не се замислят два пъти за повторното използване на парола в множество услуги или пропускането на двуфакторното удостоверяване, защото се доверяват на платформите и институциите от другата страна. Събития като изтичането при изпълнителя на CISA трябва да нарушат това допускане. Пробивите, засягащи основни правителствени органи, станаха достатъчно рутинни, така че въпросът вече не е дали институциите се провалят, а кога.
Личната ви позиция за сигурност не може да зависи от тяхната.
Контролният списък за многопластова сигурност: Какво можете реално да контролирате
Инцидентът с CISA е полезен повод за одит на собствените ви практики с идентификационни данни. Многопластовата сигурност означава, че нито една единична точка на провал не може да компрометира всичко, което ви е важно. Ето откъде да започнете:
Мениджъри на пароли. Ако паролите ви се съхраняват в електронна таблица, приложение за бележки или паметта ви, те са или слаби, или повторно използвани, или и двете. Мениджърът на пароли генерира и съхранява сложни, уникални пароли за всеки акаунт. Ако една услуга бъде пробита, щетите остават ограничени.
Двуфакторно удостоверяване (2FA). Дори ако парола е разкрита в явен текст, нападател без достъп до вашия втори фактор не може да влезе. Използвайте приложение за удостоверяване вместо SMS, където е възможно, тъй като SMS може да бъде прихванат чрез атаки за размяна на SIM карти.
Криптиране на чувствителни данни. Файловете, съдържащи идентификационни данни, финансови записи или лична информация, трябва да бъдат криптирани в покой. Облачното съхранение е удобно, но удобството и сигурността не са едно и също нещо.
Редовни одити на идентификационни данни. Проверете дали вашите имейл адреси или пароли са се появили в известни бази данни с пробиви. Услуги като Have I Been Pwned ви позволяват да правите търсения, без да е необходимо да предавате повече данни от необходимото.
Мястото на VPN мрежите. VPN мрежата защитава данните при пренос, особено в публични или ненадеждни мрежи, като криптира връзката между вашето устройство и интернет. Тя е един полезен слой в по-широк стек за сигурност, въпреки че не защитава срещу кражба на идентификационни данни, фишинг или вида на излагане, което се случи тук. Мислете за нея като за един инструмент сред няколко, а не като за цялостно решение.
Защитете се сами, не чакайте институциите да го направят
Изтичането при изпълнителя на CISA е смущаващо за агенцията, но за всички останали е конкретно напомняне, че хигиената на идентификационните данни е лична отговорност. Нито работодател, нито правителствен орган, нито платформа могат да гарантират, че вашите данни се обработват правилно от тяхна страна. Това, което можете да контролирате, е как управлявате собствените си идентификационни данни и колко щети може реално да причини единична точка на провал.
Извършете одит на паролите си тази седмица. Активирайте 2FA за всеки акаунт, който го поддържа. И третирайте тази история, заедно с пробива на имейла на директора на ФБР, като доказателство, че най-важните решения за сигурност, които вземате, са тези, случващи се на вашите собствени устройства, а не в нечий друг облак.
