btbilgi

ABD’de gerçekleştirilen güvenlik konferansı Def Con, şirketlerin bulut yedeklerinden nasıl dosya sızdığına dair önemli bir araştırma raporunun sunumuna ev sahipliği yapmış. Araştırma firmaların, startup şirketlerin ve devlet kurumlarının, Amazon tarafından S3 depolama sunucularında barındırılan verilerinin yanlış bir ayar ile nasıl herkese açılabileceğini kanıtlamakta.

Amazon S3 depo sunucularındaki klasörler müşteri verileri ile dolu. Bu klasörler eğer yanlışlıkla veya dikkatsizlik sonucu ‘public’ yani halka açık şekilde konfigüre edildiyse, içlerindeki veriler herkese açık hale getirilebilmekte. Bir diğer aynı seviyede büyük risk ise EBS görünümleri (EBS snapshots) ile ilgili. ‘Elastik blok depolama’ diye ifade edilen EBS görünümleri, bulut uygulamaları için tüm verileri depoluyor. Bu görünümler de farkedilmeden veya yanlışlıkla herkese açık ve şifrelenmemiş olarak konumlanabiliyor.

Bu durumu ortaya çıkartan ve sunumu gerçekleştiren kişi, siber güvenlik firması Bishop Fox’un kıdemli güvenlik analisti Ben Morris. Morris sunumu öncesinde TechCrunch sitesine bilgi vermiş ve EBS görüntülerinin tüm uygulamalar için gizli anahtarlara sahip olduğunu ifade etmiş. Bu görünümler müşterilerin bilgilerinin saklandığı veritabanlarına erişime sahip. Morris herkese açık EBS görünümlerini bulmak ve içlerinden veri kazımak için, Amazon’un kendi dahili arama özelliğini kullanarak bir araç geliştirmiş. Bu araç sayesinde herkese açık EBS görünümlerinin bir kopyasını alıp, kendi bilgisayarında içeriği istediği gibi inceleyebildiğini aktarıyor.

Morris bu şekilde açığa çıkmış verilerden oluşan bir veritabanı oluşturmak için Amazon bulut sistmei üzerinde sadece birkaç yüz dolar ve iki ay harcamış. Bulduğu her bir EBS görünümünü doğruladıktan sonra elindeki verileri silmiş. Bulduğu veri yığınları içinde uygulama anahtarları, kritik kullanıcıların veya yöneticilerin kimlik bilgileri, kaynak kodları, şirket ağlarında tünel açmasına izin veren VPN hesapları ve benzeri birçok kurumsal veri olduğunu söylüyor. Nihayetinde bir sürü sağlık firmasının ve teknoloji şirketlerinin verilerine erişebildiğini belirtmekte.

Yüzlerce Amazon bulut yedeğinde veri sızıntısı saptandı

Bulduğu en ciddi şeylerden biri ise, federal kuruluşlara veri depolama hizmetleri sağlayan bir devlet taşeronunun klasörleri olmuş. Eriştiği bilgiler arasında bazı islami terör örgütlerinin sınır geçişlerine dair mesajların bulunduğunu ifade ediyor: “Bunlar kesinlikle halka açık internete maruz kalmasını istemeyeceğiniz türden bilgiler.”

Amazon bulut sunucularında herkese açık tüm EBS görünümlerinin, yaklaşık 1.250 adete kadar çıkabileceği Morris tarafından tahmin edilmekte. Araştırmacı önümüzdeki haftalarda bunu ortaya koyan konsept kanıtı (proof-of-concept) kodunu yayınlamayı planlamış. Morris bunu yayınlamadan önce, “Şirketlere kendi bulut disklerini gözden geçirmeleri ve kaza sonucu herhangi bir veri sızıntısına maruz kalmadıklarından emin olmaları için birkaç hafta veriyorum” diyor.

Yorumlar
btbilgi
PAYLAŞ
blank
xTRlarge, Türkiye'nin (TR) üretici ve yenilikçi potansiyelini sergilemek; farklı bakış açılarını, yeni tarzları, x sayıda yeni değeri, girişimi, fikri yansıtmak; teknolojiden doğaya, iş yönetiminden tasarıma, insana dair faaliyetlerin en geniş ufkunu sizlerle mümkün olduğu kadar geniş 'large" paylaşabilmek için yola çıktı. Geleceğe inancı olanlarla birlikte mesafe katetmeyi planlıyor.