Εργολάβος της CISA Διαρρέει Κλειδιά AWS και Κωδικούς Πρόσβασης σε Δημόσιο Αποθετήριο GitHub
Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών, γνωστή ως CISA, είναι η κύρια αρχή της αμερικανικής κυβέρνησης για την προστασία της ψηφιακής υποδομής. Δημοσιεύει συμβουλές ασφαλείας, θέτει πρότυπα για τις ομοσπονδιακές υπηρεσίες και προειδοποιεί τακτικά το κοινό για την υγιεινή των διαπιστευτηρίων. Έτσι, όταν ένας εργολάβος της CISA άφησε κωδικούς πρόσβασης σε μορφή απλού κειμένου και κλειδιά AWS υψηλών προνομίων σε ένα δημόσιο αποθετήριο GitHub, το περιστατικό έπεσε σαν γροθιά στο στομάχι για την αξιοπιστία της υπηρεσίας. Αυτό το μάθημα ασφάλειας από τη διαρροή κυβερνητικών διαπιστευτηρίων ξεπερνά κατά πολύ τα όρια της Ουάσιγκτον.
Τι Αποκάλυψε Πραγματικά ο Εργολάβος της CISA
Το υλικό που διέρρευσε δεν ήταν αμελητέο. Οι κωδικοί πρόσβασης σε μορφή απλού κειμένου είναι, με τους πιο απλούς όρους, η ανεπεξέργαστη, μη κρυπτογραφημένη μορφή ενός διαπιστευτηρίου. Όποιος πέσει τυχαία πάνω σε έναν κωδικό πρόσβασης σε απλό κείμενο μπορεί να τον χρησιμοποιήσει αμέσως, χωρίς να απαιτείται καμία τεχνική ικανότητα. Δεν υπάρχει κατακερματισμός για παραβίαση, ούτε κωδικοποίηση για αντιστροφή.
Ακόμα πιο ανησυχητικά ήταν τα εκτεθειμένα κλειδιά AWS. Τα κλειδιά πρόσβασης του Amazon Web Services (AWS) λειτουργούν ως κύριοι αναγνωριστές για περιβάλλοντα cloud. Τα κλειδιά υψηλών προνομίων, ειδικότερα, μπορούν να παραχωρήσουν σε όποιον τα κατέχει τη δυνατότητα να διαβάσει δεδομένα, να δημιουργήσει ή να καταστρέψει διακομιστές, να τροποποιήσει ρυθμίσεις και να εισχωρήσει βαθύτερα σε συνδεδεμένα συστήματα. Σε έναν λογαριασμό GovCloud, στον οποίο αναφέρθηκαν οι Δημοκρατικοί του Κογκρέσου στις απαιτήσεις τους για εξηγήσεις, τα διακυβεύματα είναι σημαντικά υψηλότερα από ό,τι σε έναν προσωπικό λογαριασμό προγραμματιστή.
Το γεγονός ότι όλα αυτά κατέληξαν σε ένα δημόσιο αποθετήριο GitHub σημαίνει ότι ήταν, τουλάχιστον για ένα χρονικό διάστημα, ανακαλύψιμα από οποιονδήποτε. Αυτοματοποιημένα bots σαρώνουν τακτικά το GitHub για ακριβώς αυτό το είδος υλικού, συχνά μέσα σε λίγα λεπτά από την ανάρτηση ενός αρχείου. Το παράθυρο έκθεσης μπορεί να ήταν σύντομο, αλλά ο κίνδυνος ήταν πραγματικός και σοβαρός.
Γιατί οι Κυβερνητικές Υπηρεσίες Συνεχίζουν να Αποτυγχάνουν στα Βασικά
Αυτό το περιστατικό δεν είναι μεμονωμένο. Οι κυβερνητικές υπηρεσίες και οι εργολάβοι τους έχουν ένα καλά τεκμηριωμένο μοτίβο σκοντάμματος στις θεμελιώδεις πρακτικές ασφάλειας, ακόμα και όταν αυτοί γράφουν τους κανονισμούς που όλοι οι άλλοι υποτίθεται ότι πρέπει να ακολουθούν. Η παραβίαση του προσωπικού email του Διευθυντή του FBI απεικόνισε μια παρόμοια δυναμική: τα άτομα και οι θεσμοί που τοποθετούνται ως αρχές ασφάλειας δεν είναι άτρωτοι στις πιο στοιχειώδεις αποτυχίες.
Αρκετοί δομικοί παράγοντες συμβάλλουν σε αυτό το μοτίβο. Οι εργολάβοι λειτουργούν στα άκρα της εποπτείας μιας υπηρεσίας και μπορεί να μην λαμβάνουν την ίδια εκπαίδευση ασφάλειας με το μόνιμο προσωπικό. Οι ροές εργασίας των προγραμματιστών, ειδικά όταν εργάζονται γρήγορα σε ένα έργο, δημιουργούν πίεση για συντομεύσεις, και η ενσωμάτωση διαπιστευτηρίων σε κώδικα ή η τυχαία ανάρτηση ενός αρχείου με μυστικά σε ένα δημόσιο αποθετήριο είναι ένα εξαιρετικά συνηθισμένο σφάλμα προγραμματιστή σε κάθε τομέα.
Οι μεγάλοι οργανισμοί παλεύουν επίσης με την εξάπλωση μυστικών: δεκάδες συστήματα, δεκάδες διαπιστευτήρια και κανένα ενιαίο σημείο λογοδοσίας για τη διασφάλιση ότι το καθένα αποθηκεύεται, εναλλάσσεται και ανακαλείται σωστά. Όταν αυτός ο οργανισμός είναι κυβερνητικός εργολάβος, η εξάπλωση επεκτείνεται σε υπηρεσίες, συμβάσεις και υπεργολάβους, πολλαπλασιάζοντας την επιφάνεια για ακριβώς αυτό το είδος λάθους.
Τι Σημαίνει Αυτό για τους Απλούς Χρήστες που Εμπιστεύονται τους Θεσμούς
Το δυσάρεστο συμπέρασμα εδώ είναι απλό: κανένας θεσμός, όσο αυθεντικός κι αν είναι, δεν μπορεί να θεωρηθεί ασφαλές καταφύγιο για τα δεδομένα ή τα διαπιστευτήριά σας. Η CISA θέτει τον πήχη για τις ομοσπονδιακές κατευθυντήριες γραμμές κυβερνοασφάλειας. Αν ένας εργολάβος που εργάζεται για αυτήν την υπηρεσία μπορεί να κάνει ένα τόσο θεμελιώδες λάθος, δεν υπάρχει λόγος να υποθέσουμε ότι οποιοσδήποτε άλλος οργανισμός που χειρίζεται τις πληροφορίες σας είναι άτρωτος.
Αυτό έχει σημασία επειδή οι περισσότεροι άνθρωποι λειτουργούν με την έμμεση υπόθεση ότι οι κυβερνητικές υπηρεσίες και οι μεγάλες εταιρείες έχουν ρυθμίσει την ασφάλεια. Δεν σκέφτονται δύο φορές πριν επαναχρησιμοποιήσουν έναν κωδικό πρόσβασης σε πολλές υπηρεσίες, ή παραλείψουν τον έλεγχο ταυτότητας δύο παραγόντων, επειδή εμπιστεύονται τις πλατφόρμες και τους θεσμούς στην άλλη άκρη. Περιστατικά όπως αυτή η διαρροή του εργολάβου της CISA θα πρέπει να διαταράξουν αυτήν την υπόθεση. Οι παραβιάσεις που επηρεάζουν μεγάλα κυβερνητικά όργανα έχουν γίνει αρκετά συνηθισμένες ώστε το ερώτημα δεν είναι πλέον αν οι θεσμοί αποτυγχάνουν, αλλά πότε.
Η προσωπική σας στάση ασφάλειας δεν μπορεί να εξαρτάται από τη δική τους.
Η Λίστα Ελέγχου Πολυεπίπεδης Ασφάλειας: Τι Μπορείτε Πραγματικά να Ελέγξετε
Το περιστατικό της CISA είναι μια χρήσιμη αφορμή για να ελέγξετε τις δικές σας πρακτικές διαπιστευτηρίων. Η πολυεπίπεδη ασφάλεια σημαίνει ότι κανένα μεμονωμένο σημείο αποτυχίας δεν μπορεί να θέσει σε κίνδυνο όλα όσα σας ενδιαφέρουν. Να από πού να ξεκινήσετε:
Διαχειριστές κωδικών πρόσβασης. Αν οι κωδικοί πρόσβασής σας είναι αποθηκευμένοι σε ένα υπολογιστικό φύλλο, μια εφαρμογή σημειώσεων ή στη μνήμη σας, είναι είτε αδύναμοι, είτε επαναχρησιμοποιούμενοι, είτε και τα δύο. Ένας διαχειριστής κωδικών πρόσβασης δημιουργεί και αποθηκεύει σύνθετους, μοναδικούς κωδικούς πρόσβασης για κάθε λογαριασμό. Αν μια υπηρεσία παραβιαστεί, η ζημιά παραμένει περιορισμένη.
Έλεγχος ταυτότητας δύο παραγόντων (2FA). Ακόμα κι αν ένας κωδικός πρόσβασης εκτεθεί σε μορφή απλού κειμένου, ένας εισβολέας χωρίς πρόσβαση στον δεύτερο παράγοντά σας δεν μπορεί να συνδεθεί. Χρησιμοποιήστε μια εφαρμογή ελέγχου ταυτότητας αντί για SMS όπου είναι δυνατό, καθώς τα SMS μπορούν να υποκλαπούν μέσω επιθέσεων αντικατάστασης SIM.
Κρυπτογράφηση για ευαίσθητα δεδομένα. Τα αρχεία που περιέχουν διαπιστευτήρια, οικονομικά αρχεία ή προσωπικές πληροφορίες θα πρέπει να κρυπτογραφούνται κατά την αποθήκευση. Η αποθήκευση στο cloud είναι βολική, αλλά η ευκολία και η ασφάλεια δεν είναι το ίδιο πράγμα.
Τακτικοί έλεγχοι διαπιστευτηρίων. Ελέγξτε αν οι διευθύνσεις email ή οι κωδικοί πρόσβασής σας έχουν εμφανιστεί σε γνωστές βάσεις δεδομένων παραβιάσεων. Υπηρεσίες όπως το Have I Been Pwned σας επιτρέπουν να κάνετε αναζήτηση χωρίς να χρειάζεται να παραδώσετε περισσότερα δεδομένα από το απαραίτητο.
Πού ταιριάζουν τα VPN. Ένα VPN προστατεύει τα δεδομένα κατά τη μεταφορά, ιδιαίτερα σε δημόσια ή μη αξιόπιστα δίκτυα, κρυπτογραφώντας τη σύνδεση μεταξύ της συσκευής σας και του διαδικτύου. Είναι ένα χρήσιμο επίπεδο σε ένα ευρύτερο πλαίσιο ασφάλειας, αν και δεν προστατεύει από κλοπή διαπιστευτηρίων, phishing ή το είδος έκθεσης που συνέβη εδώ. Σκεφτείτε το ως ένα εργαλείο μεταξύ πολλών, όχι ως μια ολοκληρωμένη λύση.
Προστατευτείτε Μόνοι σας, Μην Περιμένετε από τους Θεσμούς να το Κάνουν
Η διαρροή του εργολάβου της CISA είναι αμηχανία για την υπηρεσία, αλλά για όλους τους άλλους είναι μια συγκεκριμένη υπενθύμιση ότι η υγιεινή των διαπιστευτηρίων είναι προσωπική ευθύνη. Κανένας εργοδότης, κυβερνητικός φορέας ή πλατφόρμα δεν μπορεί να εγγυηθεί ότι τα δεδομένα σας χειρίζονται σωστά από την πλευρά τους. Αυτό που μπορείτε να ελέγξετε είναι πώς διαχειρίζεστε τα δικά σας διαπιστευτήρια και πόση ζημιά μπορεί πραγματικά να προκαλέσει ένα μόνο σημείο αποτυχίας.
Ελέγξτε τους κωδικούς πρόσβασής σας αυτήν την εβδομάδα. Ενεργοποιήστε το 2FA σε κάθε λογαριασμό που το υποστηρίζει. Και αντιμετωπίστε αυτή την ιστορία, μαζί με την παραβίαση email του Διευθυντή του FBI, ως απόδειξη ότι οι πιο σημαντικές αποφάσεις ασφάλειας που λαμβάνετε είναι αυτές που συμβαίνουν στις δικές σας συσκευές, όχι στο cloud κάποιου άλλου.
