微软人工智能无意中曝光了一个秘密，为期3年的机密数据可被访问38TB
微软人工智能无意中曝光一个秘密！为期3年的机密数据38TB可被访问
WIZ研究团队最近发现，一组超额配置的SAS令牌在GitHub上公开了近三年。这个令牌授予了访问38TB的大量私人数据的权限。这个Azure存储包含了其他秘密，例如隐藏在两名微软员工的磁盘备份中的私人SSH密钥。这一发现强调了强大的数据安全措施的重要性。
发生了什么？
WIZ研究最近披露了一个在2023年6月23日发现于Microsoft的 AI GitHub存储库上的数据暴露事件。
管理GitHub的研究人员通过SAS令牌使用了Azure存储共享功能，以提供对一个开放源代码的AI训练数据存储桶的访问权限。
这个令牌被错误配置，允许访问账户的整个云存储，而不是原本的存储桶。
这个存储包括了38TB的数据，其中包括两个员工工作站的磁盘备份，里面有秘密、私钥、密码以及超过3万条内部Microsoft Teams信息。
SAS（Shared Access Signatures）是用于共享Azure存储资源的签名URL。它们被配置为对客户端访问数据拥有精细控制：公开哪些资源（完整账户、容器或文件选择），拥有什么权限以及持续多长时间。请参阅Azure存储文档。
在向Microsoft披露事件后，SAS令牌已被废止。从它第一次提交到GitHub (2020年7月20日) 到废止之间，近三年时间过去了。参见Wiz Research团队提供的时间线：
正如WIZ研究团队强调的那样，Shared Access Signature (SAS) 存在错误配置。
数据暴露
这个令牌允许任何人访问额外的38TB数据，包括敏感数据，如秘密密钥、个人密码和来自数百名微软员工的超过3万条内部Microsoft Teams信息。
以下是Wiz团队恢复的一些最敏感数据的摘录：
正如研究人员强调的那样，这可能允许攻击者向存储块中注入恶意代码，然后在每个用户（可能是AI研究人员）下载时自动执行，而用户会信任微软的声誉，这可能导致供应链攻击。
安全风险
根据研究人员的说法，像他们的研究中展示的这样的Account SAS令牌存在很高的安全风险。这是因为这些令牌很宽松，生命周期长，逃脱了管理员的监控范围。
当用户生成新的令牌时，它会被浏览器签名，不触发任何Azure事件。要废止令牌，管理员需要更改签名账户密钥，从而一次废止所有其他令牌。
讽刺的是，一个微软产品特性（Azure SAS令牌）的安全风险引起了微软研究团队的事件，这个风险最近被Microsoft存储服务的第二版威胁矩阵引用：
机密扩散
这个例子完美地展示了组织内部普遍存在的机密扩散问题，即使是有先进安全措施的组织也是如此。有趣的是，它强调了一个AI研究团队，或任何数据团队，可以独立创建可能危及组织的令牌。这些令牌可巧妙地绕过旨在保护环境的安全防护措施。
缓解策略
对于Azure存储用户：
1- 避免使用账户SAS令牌
缺乏监控使这个功能成为您网络外部的安全漏洞。在外部共享数据方面，更好的方法是使用一个带有存储访问策略的服务SAS。此功能将SAS令牌绑定到策略，从而可以集中管理令牌策略。
更好的办法是，如果您不需要使用Azure存储共享功能，只需禁用每个您拥有的账户的SAS访问。
2 – 启用Azure存储分析
您可以通过存储分析日志监控每个存储账户中的SAS令牌使用情况。Azure指标允许监控经过SAS身份验证的请求，并识别通过SAS令牌访问过的存储账户，保存时间长达93天。
适用于所有：
1 – 审计您的GitHub外围以查找敏感凭证
GitHub拥有大约9000万个开发者账户、3亿个托管仓库和400万个活跃组织，其中包括90%的财富100强公司。GitHub的攻击面比表面上看起来更大。
去年，GitGuardian在公共仓库上发现了1000万个泄漏的凭证，比前年增加了67%。
作为组织安全外围的一部分，必须对GitHub进行积极监控。关于该平台上泄漏凭证的事件持续给大公司带来大规模的漏洞，而且这个是没有保护壳的安全漏洞不禁让我们回想起一年前的丰田数据泄漏。
2022年10月7日，日本汽车制造商丰田披露他们在公共的GitHub仓库中意外泄露了一个凭证，允许访问客户数据，持续了近5年。该代码从2017年12月至2022年9月之间一直是公开的。
如果贵公司有开发团队，很可能公司的一些机密信息（API密钥、标记、密码）会被公开发布在GitHub上。因此，强烈建议作为攻击面管理计划的一部分，审计您的GitHub攻击面。
最后的话
无论规模大小，每个组织都需要准备应对各种新兴风险。这些风险通常源于今天现代企业中广泛软件操作的监控不足。在这种情况下，一支AI研究团队无意中创建并公开了一个错误配置的云存储共享链接，绕过了安全防护措施。但有多少其他部门——支持、销售、运营或市场营销——可能会陷入类似的情况？对软件、数据和数字服务的依赖程度不断加深，从而放大了全球范围内的网络风险。
遏制机密信息传播及其相关风险，需要重新评估安全团队的监督和治理能力。
