En 16-årig bug hunter har efter sigende opnået admin-adgang til Microsofts interne Titan-analysetjeneste, et system der beskrives som indeholdende 17 billioner rækker data i alt og 25.000 brugerkonti. Ifølge TechRadars rapportering var vejen ind et usigneret login-token, som tjenesten accepterede uden ordentlige kontroller. Teenageren blev efter sigende belønnet for opdagelsen. Her er, hvad man ved, hvorfor det er vigtigt, og hvad almindelige brugere kan gøre.

Hvad skete der i sagen om Microsofts Titan-database

Baseret på den tilgængelige dækning fandt forskeren, at Titan, en intern analysetjeneste, stolede på et login-token uden at verificere dets signatur. Overskrifter beskriver det som en mangel på JWT-validering. Et JWT (JSON Web Token) er et lille stykke data, som en tjeneste bruger til at bekræfte, hvem du er, og hvad du må tilgå. Det er meningen, at det skal være kryptografisk signeret, så serveren kan skelne et ægte token fra et forfalsket et.

Hvis en tjeneste springer den signaturkontrol over, kan enhver, der kan konstruere et token med de rigtige claims, blive behandlet som administrator. Det er den type sårbarhed, der rapporteres her. Resultatet var ifølge rapporterne admin-adgang til et meget stort datasæt.

TechRadars formulering siger, at teenageren var "keder sig", og er blevet "godt betalt" for sine handlinger, hvilket tyder på, at fundet gik gennem en legitim bug bounty- eller disclosure-proces. Den dækning, vi har gennemgået, angiver ikke beløbets størrelse, og vi vil ikke gætte på det. Den siger heller ikke, at dataene blev stjålet, solgt eller misbrugt af kriminelle.

Hvorfor et usigneret token er så stort et problem

Omfanget af tallene er slående, men den underliggende lære er enkel. Autentificeringsfejl som denne er ikke eksotiske. At kontrollere et tokens signatur er et grundlæggende skridt, og når det mangler, kan resten af et systems forsvar blive irrelevant. Stærke adgangskoder, multi-factor-prompts og kryptering på din egen enhed kan ikke hjælpe, hvis en kontrol på serversiden springes over.

Det er også derfor ansvarlig disclosure betyder noget. En forsker, der rapporterer en fejl og bliver betalt, er det bedst tænkelige udfald. Den samme svaghed i andre hænder kunne have ført til en helt anden historie. Overskrifterne omkring denne peger på en bredere række af hændelser, herunder et supply-chain-angreb, der lækkede terabytes af data, og et brud, der eksponerede 220 millioner rejsendes registreringer. Hver af dem er en påmindelse om, at dine data ofte ligger i systemer, du ikke kontrollerer.

Lignende dynamikker optræder også i social-engineering-sager. Vores dækning af ShinyHunters vishing-angreb på Charter, hvor omkring 40 millioner kunderegistreringer angiveligt blev stjålet, viser, at angribere går efter det lag, der er svagest, uanset om det er teknisk eller menneskeligt.

Hvad det betyder for dig

Det er værd at være klar over, hvad vi ikke ved. Rapporterne siger ikke, at individuelle brugeres filer eller personlige oplysninger blev eksponeret for offentligheden, så der er ingen bekræftet grund til panik. Men sagen illustrerer et par realistiske risici for alle, der bruger cloud-tjenester.

  • Du kan ikke revidere udbyderen. Når en virksomhed opbevarer dine data, er dens interne sikkerhed ude af dine hænder. Din bedste strategi er at begrænse, hvor mange følsomme oplysninger en enkelt konto indeholder.
  • Kontoovertagelse er den fælles tråd. Stjålne eller forfalskede legitimationsoplysninger og tokens ligger bag mange hændelser. At reducere afhængigheden af adgangskoder hjælper.
  • En VPN har begrænsninger her. En VPN krypterer trafikken mellem din enhed og VPN-serveren, hvilket er nyttigt på offentligt Wi-Fi. Den løser ikke en fejl inde i en virksomheds backend, og den ville ikke have forhindret et problem som dette. Betragt den som ét værktøj blandt flere, ikke som et skjold for dine cloud-data.

Praktiske skridt til at beskytte dine cloud-konti

  1. Skift til passkeys, hvor det tilbydes. En passkey erstatter din adgangskode med et kryptografisk nøglepar gemt på din enhed, så der er ingen adgangskode at phishing-angribe eller genbruge.
  2. Slå multi-factor authentication til for din Microsoft-konto og enhver anden cloud-tjeneste, helst med en authenticator-app eller sikkerhedsnøgle frem for SMS.
  3. Krypter følsomme filer, før du uploader dem. Hvis et dokument er krypteret med en nøgle, som kun du har, er en fejl hos udbyderen langt mindre skadelig.
  4. Behold lokale backups. En af de relaterede overskrifter beskriver en bruger, hvis OneDrive med 25 års medier blev slettet efter at være blevet hacket. Cloud-lagring bør ikke være din eneste kopi af noget uerstatteligt.
  5. Gennemgå login-aktivitet og forbundne apps. Tjek seneste logins, fjern enheder, du ikke længere bruger, og tilbagekald adgang for apps, du ikke genkender.
  6. Brug overvågning af legitimationsoplysninger. Værktøjer til brudnotifikationer kan fortælle dig, om din e-mail optræder i en kendt lækage, så du hurtigt kan skifte adgangskoder.
  7. Brug en VPN til det rigtige formål. Det er fornuftigt på utro-værdige netværk, men kombinér det med trinnene ovenfor i stedet for at stole på det alene.

Konklusionen

Historien om Microsofts Titan-database er i bund og grund en lektion om en manglende signaturkontrol og værdien af forskere, der rapporterer problemer i stedet for at udnytte dem. De tilgængelige fakta viser et stort datasæt nået via et usigneret token, en ung forsker belønnet for fundet, og ingen bekræftet offentlig lækage. For læsere er pointerne praktiske: antag, at enhver cloud-udbyder kan have en fejl, reducer hvad du opbevarer hos dem, sikr dine konti med passkeys og multi-factor authentication, og behold dine egne backups. Brug ti minutter i denne uge på at gennemgå dine Microsoft- og andre cloud-konti, og du vil være bedre forberedt på den næste overskrift.