AWS оставляет утекшие ключи активными: эксперты предупреждают о катастрофических рисках

Исследование Truffle Security выявило шокирующую проблему: сотни утекших корневых ключей AWS до сих пор остаются активными и действительными, несмотря на то, что AWS применяет к ним политику карантина при обнаружении.

AWS оставляет утекшие ключи активными: эксперты предупреждают о катастрофических рисках. Фото: СС0

Политика карантина AWS призвана ограничить потенциальный ущерб от несанкционированных действий, блокируя определенные операции, но не затрагивая существующие ресурсы клиентов, однако эксперты утверждают, что этот подход ошибочен и фактически оставляет злоумышленникам множество способов нанести критический ущерб.

Как показывает анализ, даже при примененной политике карантина злоумышленник может выполнять команды от имени root на EC2 через ssm:SendCommand и ssm:StartSession, использовать sts:AssumeRole для получения любых других ролей в учетной записи, запускать экземпляры через autoscaling:CreateAutoScalingGroup в обход запрета ec2:RunInstances, останавливать логирование через cloudtrail:StopLogging и DeleteTrail, рассылать спам через SES и SNS, загружать терабайты данных в S3 и настраивать версионирование с блокировкой объектов на 2126 дней в режиме COMPLIANCE, который невозможно отменить никому, включая службу поддержки AWS.

При этом критические операции secretsmanager:GetSecretValue, ssm:GetParameter и kms:Decrypt не имеют ограничений, что позволяет злоумышленнику получить все секреты учетной записи, а также удалить резервные копии через backup:DeleteRecoveryPoint и rds:DeleteDBSnapshot или уничтожить все стеки CloudFormation через cloudformation:DeleteStack.

В AWS утверждают, что политика карантина направлена на баланс между безопасностью и сохранением работоспособности клиентских сред, однако эксперты настаивают, что деактивация утекших ключей, даже если это нарушит работу зависящих от них систем, все равно менее опасна, чем возможность злоумышленника использовать эти ключи для полного уничтожения инфраструктуры.

Автор анализа задает AWS прямой вопрос: «Насколько серьезный инцидент с клиентом должен произойти, прежде чем вы измените этот подход?», подчеркивая, что текущая политика создает ложное чувство безопасности и оставляет злоумышленникам множество векторов атаки, которые могут привести к катастрофическим последствиям для бизнеса.