据报道，一名16岁的漏洞猎人获得了微软内部Titan分析服务的管理员级访问权限，该系统据称拥有17万亿行数据和25,000个用户账户。据TechRadar报道，入侵途径是一个未签名的登录令牌，该服务未经适当检查便接受了它。据报道，这名青少年因这一发现获得了奖励。以下是已知情况、为何此事重要，以及普通用户可以采取哪些措施。
微软Titan数据库事件经过
根据现有报道，这名研究人员发现Titan——一个内部 analytics 服务——信任了一个登录令牌而未验证其签名。新闻标题将其描述为缺乏JWT验证。JWT（JSON Web令牌）是服务用来确认你的身份和可访问权限的一小段数据。它应当经过加密签名，以便服务器能够区分真实令牌和伪造令牌。
如果服务跳过了签名检查，任何能够构造带有正确声明的令牌的人可能被当作管理员对待。这就是此处报道的漏洞类型。据报道，结果是获得了对超大规模数据集的管理员访问权限。
TechRadar的表述称这名青少年“无聊”，并且其行为获得了“丰厚报酬”，这表明该发现经过了合法的漏洞赏金或披露流程。我们审阅的报道未说明具体赏金金额，我们也不会对此进行猜测。报道也未说明数据被犯罪分子窃取、出售或滥用。
为什么未签名令牌如此严重
数字规模令人震惊，但根本教训很简单。像这样的身份验证漏洞并不罕见。检查令牌签名是基本步骤，当这一步缺失时，系统其余防御措施可能变得无关紧要。如果服务器端检查被跳过，强密码、多因素提示和你自己设备上的加密都无济于事。
这也是负责任披露如此重要的原因。研究人员报告漏洞并获得报酬是最好的结果。同样的弱点落入他人之手，可能会导致截然不同的故事。围绕此事的新闻标题指向更广泛的一系列事件，包括一起泄露数TB数据的供应链攻击，以及一起暴露2.2亿旅客记录的入侵事件。每一个都提醒我们，你的数据往往存放在你无法控制的系统中。
类似的动态也出现在社会工程案例中。我们对ShinyHunters对Charter的语音钓鱼攻击的报道——约4000万客户记录被声称窃取——表明攻击者会瞄准最薄弱的环节，无论是技术层面还是人为层面。
这对你意味着什么
有必要明确我们不知道的事情。报道并未说明个人用户的文件或个人信息被暴露给公众，因此没有确认的恐慌理由。但此案例确实说明了云服务用户面临的一些现实风险。
- 你无法审计服务提供商。 当一家公司持有你的数据时，其内部安全不在你的掌控之中。你最好的策略是限制任何单一账户持有的敏感信息量。
- 账户接管是共同主线。 被盗或伪造的凭证和令牌是许多事件的根源。减少对密码的依赖会有所帮助。
- VPN在这里有局限。 VPN加密你的设备与VPN服务器之间的流量，这在公共Wi-Fi上很有用。它不能修复公司后端的漏洞，也无法阻止此类问题。将其视为众多工具之一，而非云数据的盾牌。
保护云账户的实用步骤
- 在支持的地方改用通行密钥。 通行密钥用存储在设备上的加密密钥对替代密码，因此没有密码可供钓鱼或重复使用。
- 开启多因素认证，适用于你的微软账户和任何其他云服务，最好使用身份验证器应用或安全密钥，而非短信。
- 在上传前加密敏感文件。 如果文档使用只有你持有的密钥加密，服务提供商一方的漏洞造成的损害会小得多。
- 保留本地备份。 一则相关新闻标题描述了一位用户的OneDrive在被黑客攻击后被删除，其中存有25年的媒体文件。云存储不应成为任何不可替代文件的唯一副本。
- 检查登录活动和已连接的应用。 查看最近的登录记录，移除不再使用的设备，并撤销不认识的应用的访问权限。
- 使用凭证监控。 泄露通知工具可以告诉你你的电子邮件是否出现在已知泄露中，以便你快速更改密码。
- 为正确的工作使用VPN。 在不受信任的网络上使用它是明智的，但请将其与上述步骤配合使用，而非仅依赖它。
总结
微软Titan数据库事件本质上是一个关于缺失签名检查的教训，以及报告问题而非利用问题的研究人员的价值。现有事实显示，一个大型数据集通过未签名令牌被访问，一名年轻研究人员因发现而获得奖励，没有确认的公开泄露。对读者而言，要点是实用的：假设任何云服务提供商都可能有漏洞，减少你存储在他们那里的数据，使用通行密钥和多因素认证保护你的账户，并保留自己的备份。本周花十分钟审计你的微软和其他云账户，你将更好地应对下一个新闻头条。
