- Karl Voit cho rằng đám mây Microsoft Azure về thực chất đã bị hack, và do thiếu biện pháp cô lập, các sự cố tiếp theo đang bắt đầu được công khai
- Dẫn một bản tin của Reuters như một trường hợp đã được công khai: 60.000 email đã bị đánh cắp từ 10 tài khoản của Bộ Ngoại giao Mỹ
- Mối lo ngại cốt lõi là Microsoft đã không thể loại bỏ kẻ xâm nhập, hoặc không loại bỏ chúng, khiến toàn bộ hệ thống dựa trên chứng thực của Microsoft trở nên khó tin cậy
- Phạm vi ô nhiễm bao gồm cả chứng thực Windows; nếu có quan hệ tin cậy nội bộ giữa chứng chỉ Azure bị hack và GitHub, thì GitHub cũng bị xem là chịu ảnh hưởng
- Điều này lan sang cả môi trường sử dụng NixOS vốn phụ thuộc nhiều vào GitHub, và mở rộng thành vấn đề rằng trên đám mây, người dùng khó kiểm soát dữ liệu của chính mình
Lo ngại về vụ hack Azure và thất bại trong cô lập
- Karl Voit mô tả rằng toàn bộ đám mây Azure của Microsoft về thực chất đã bị hack
- Ông cho biết danh sách các nguồn liên quan đã được tập hợp trong bài viết của mình You Can't Control Your Data in the Cloud
- Trọng tâm của vấn đề không chỉ là bản thân vụ hack, mà là nhận định rằng sau đó các biện pháp cô lập không đủ, khiến các sự cố tiếp theo bắt đầu được công khai
Trường hợp email của Bộ Ngoại giao Mỹ bị đánh cắp
- Là ví dụ về sự cố tiếp theo, ông nêu bản tin Reuters cho biết 60.000 email đã bị đánh cắp từ 10 tài khoản của Bộ Ngoại giao Mỹ
- Bản tin Reuters được liên kết nói rằng hacker Trung Quốc đã đánh cắp 60.000 email của Bộ Ngoại giao Mỹ thông qua vụ hack Microsoft
- Trường hợp này được liên hệ như bằng chứng cho thấy thiệt hại thực tế đang tiếp diễn sau vụ hack Microsoft
Mất niềm tin vào hệ thống chứng thực của Microsoft
- Voit cho rằng Microsoft đã không thể loại bỏ kẻ xâm nhập, hoặc đang không loại bỏ chúng
- Kết quả là ông đánh giá mọi thứ được Microsoft chứng thực đều ở trạng thái tainted, tức là đã bị ô nhiễm
- Ông nêu rõ phạm vi ô nhiễm bao gồm cả chứng thực Windows
Nỗi lo lan sang GitHub và NixOS
- Trong bài viết tiếp theo, ông nói rằng nếu có quan hệ tin cậy nội bộ của Microsoft giữa chứng chỉ Azure bị hack và GitHub, thì GitHub cũng phải được xem là đã bị hack hoặc bị ô nhiễm
- Ông cho biết ngay cả sau khi chuyển một số host sang NixOS, cảm giác bất an vẫn còn vì các vấn đề liên quan đến Microsoft và GitHub
- Ông cho rằng mức phụ thuộc vào GitHub sâu sắc, từng được nhắc đến trong bài viết về trải nghiệm NixOS của mình I Started With Nix, NixOS, Home Manager and Flakes, đã lộ ra là một nhược điểm lớn của hệ điều hành này
Vấn đề kiểm soát dữ liệu trên đám mây
- Bài viết được liên kết You Can't Control Your Data in the Cloud mở rộng vấn đề Azure và chứng thực Microsoft thành vấn đề kiểm soát dữ liệu trên đám mây
- Cảnh báo trong bài đăng Mastodon tập trung vào việc khó có thể tin cậy toàn bộ các hệ thống dựa vào chứng thực của Microsoft và các quan hệ tin cậy nội bộ
1 bình luận
Ý kiến trên Hacker News
Nhìn vào phần giảm thiểu và tăng cường trong bài blog sự cố của Microsoft, họ nói rằng ngày 26/6, OWA đã không còn chấp nhận việc làm mới các token được cấp từ
GetAccessTokensForResource; ngày 27/6, OWA đã chặn việc sử dụng các token được ký bằng khóa MSA bị đánh cắp; và ngày 29/6, họ đã hoàn tất việc thay khóa và thu hồi các khóa ký MSA còn hiệu lực vào thời điểm đó.Ngày 3/7, họ nói đã chặn việc sử dụng khóa đó đối với tất cả khách hàng tiêu dùng bị ảnh hưởng để ngăn lạm dụng các token đã được cấp.
Tôi không phải chuyên gia bảo mật, nhưng tò mò lỗ hổng trong chiến lược này là gì.
Nếu có nhật ký kiểm toán vĩnh viễn không thể thay đổi, có thể truy vết mọi thao tác được thực hiện bằng xác thực do khóa bị lộ ký trực tiếp hoặc gián tiếp; nhưng tạo ra nhật ký kiểm toán mà ngay cả người có đặc quyền cao nhất cũng không thể chỉnh sửa thì không dễ cũng không rẻ.
Trong trường hợp xấu nhất, nhật ký kiểm toán chỉ có danh tính đã xác thực mà không có phương thức xác thực, nên có thể không dễ xác định các truy cập có khả năng bị xâm phạm.
Cuối cùng, lỗ hổng của chiến lược này là nó không tính đến các backdoor duy trì hiện diện được thêm vào trong thời gian có thể truy cập bằng khóa bị lộ. Nó ngăn được việc lạm dụng tiếp theo, nhưng xét cách khóa bị đánh cắp, nếu kẻ tấn công rất tinh vi thì gần như không thể biết họ đã tạo bao nhiêu đường truy cập thứ cấp.
Vấn đề này có vẻ chỉ giới hạn ở Azure và Microsoft; tôi nghĩ AWS và GCP vẫn ổn.
Microsoft có mức lỗ hổng và thực hành bảo mật thuộc hàng tệ nhất mà tôi từng thấy. Tôi thật sự không hiểu các lãnh đạo ở những tập đoàn Fortune 500 lại chuyển workload sang Azure như thế nào.
Ở một số mảng, điểm bán hàng duy nhất của Azure chỉ là Amazon là đối thủ cạnh tranh. Ước gì Amazon cứ để AWS hoạt động độc lập.
Tôi mong Microsoft cải thiện bảo mật, nhưng đến mức này thì gần như không còn hy vọng.
Một khi các công ty đã ở trong dashboard Azure, cơ chế là họ sẽ thử dùng cả những dịch vụ trông có vẻ hấp dẫn được cung cấp ở đó.
Tất cả giống như trò đánh lạc hướng và ảo thuật, nhưng nó có hiệu quả.
Vì vậy nếu tổ chức chưa đăng ký AWS làm nhà cung cấp, thường thì thúc đẩy dùng nhà cung cấp hiện có sẽ dễ hơn.
Tôi cũng từng vận hành máy chủ web Windows 2000 Pro rồi chuyển sang Linux vì thiếu bảo mật.
Microsoft có thể phổ biến, nhưng có những lỗ hổng lớn về bảo mật và từ trước đến nay vẫn luôn như vậy.
Dịch vụ, dù là cloud hay do khách hàng quản lý, đều thường xuyên bị xâm phạm. Microsoft có một đội ngũ bảo mật trưởng thành, chuyên nghiệp và hiệu quả.
Họ bị xâm phạm vì lỗi triển khai và, theo suy đoán cá nhân của tôi, do một hoặc nhiều nội gián tham nhũng.
Phần lớn tổ chức có lẽ thậm chí không biết rốt cuộc chuyện gì đã xảy ra, và có khả năng cũng không nhận diện được những nội dung đã được công bố.
Nhìn lại thì chuyện gì cũng có vẻ dễ dàng.
Cách diễn đạt này quá phóng đại. Rõ ràng đây là một vụ xâm nhập nghiêm trọng và có thể chúng ta vẫn chưa hiểu hết phạm vi, nhưng điểm mấu chốt trong câu “có thể cài backdoor và khóa tự tạo ở khắp nơi” là có thể — tức “theo những gì tôi biết thì về mặt lý thuyết là khả thi”, chứ không có nghĩa là họ đã thực sự làm vậy
Kết luận rằng “mọi thứ của Microsoft đều đã bị hack và họ không thể hoặc không chịu loại bỏ kẻ xâm nhập. Mọi thứ được Microsoft chứng thực đều đã bị ô nhiễm, kể cả chứng thực Windows” cũng quá cực đoan
Phản hồi của Microsoft có vẻ nói rõ rằng họ đã thay khóa và chuyển chúng sang kho lưu trữ an toàn hơn. Họ không nói là đã loại bỏ kẻ tấn công, nhưng cũng không nói cuộc tấn công vẫn đang tiếp diễn. Điều đó cũng không có nghĩa là mọi cơ chế xác thực đã hỏng vĩnh viễn
Tôi cảm thấy kết luận được đưa ra là cực đoan
https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
Vậy mà vẫn tin rằng họ không để lại backdoor duy trì hiện diện trên các mục tiêu nổi tiếng sao?
Kết luận ở đây hoàn toàn hợp lý. Với khách hàng đám mây công cộng phổ thông, lập luận đó có thể còn có lý. Vì backdoor rải bừa bãi chỉ làm tăng nguy cơ bị phát hiện
Nhưng các doanh nghiệp lớn và người dùng chính phủ phải giả định là đã bị xâm phạm; nếu không thì đó là thái độ ngây thơ đến khó tin
Tham khảo:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
Microsoft cũng viết rằng Storm-0558 có năng lực tác chiến kỹ thuật và an ninh vận hành ở mức cao, đồng thời hiểu rõ môi trường mục tiêu, chính sách log, yêu cầu xác thực, cũng như chính sách và quy trình
Khi tìm thấy một lỗ hổng zero-day, bạn sẽ không bỏ qua bản vá với lý do “chắc người khác không có đâu”
Vụ này được đưa tin quá ít, trong khi tác động tiềm tàng có thể cực kỳ lớn. Điều tôi bất bình với Microsoft là: khóa đã bị rò rỉ từ năm 2021 và đến năm 2023 vẫn còn ký token xác thực, trong khi trong các dịch vụ Azure lại không có dịch vụ nào cho phép người dùng đưa vào thông tin xác thực có thời hạn 2 năm
Đây là ví dụ điển hình của kiểu “hãy làm như tôi bảo, đừng làm như tôi làm”
app registration secretstồn tại tối đa 2 năm. Cho đến gần đây, thực tế còn có thể tạo secret không thời hạnĐiều này trông bị phóng đại quá mức và mang tính cảnh báo thái quá. Tôi không nghĩ các nguồn chứng minh được phạm vi xâm phạm mà bài viết tuyên bố, tức là “toàn bộ Microsoft”
Thay vào đó, nó có vẻ gần với một trường hợp rò rỉ khóa tạm thời rồi sau đó đã bị thu hồi
Cũng có phần dưới đây:
https://infosec.exchange/@briankrebs/110820474957163710
Nếu đúng thì khá nghiêm trọng
[1]: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
[2]: https://www.wiz.io/blog/storm-0558-compromised-microsoft-key...
https://karl-voit.at/cloud/
Trong danh sách dài đó cũng có nội dung rằng vào tháng 8/2023, Azure gặp vấn đề “truy cập trái phép vào ứng dụng giữa các tenant và dữ liệu nhạy cảm, bao gồm cả secret xác thực”, Microsoft không thể khắc phục trong nhiều tháng, và tính đến 2023-08-03 đây vẫn là một lỗ hổng công khai của Azure
Trong sự cố tháng 7/2023, chỉ với log mặc định thì khách hàng cũng không thể phát hiện kẻ xâm nhập, và họ phải trả thêm phí để truy cập các tệp log đó
Microsoft không cho biết dịch vụ nào bị ảnh hưởng và dịch vụ nào không, và phần tóm tắt nói theo hướng nên xem mọi dịch vụ đám mây của Microsoft đều có khả năng đã bị xâm phạm
Ngoài ra, bài cũng nói rằng các chuyên gia bảo mật như Mike Kuketz cho rằng mọi hệ thống Microsoft dùng xác thực đám mây, thậm chí cả máy chủ Windows, cũng nên được xem là đã bị xâm phạm
Bài viết của Microsoft trong cùng liên kết cũng nói như sau:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
“Hoạt động sau xâm phạm: dữ liệu đo từ xa và điều tra của chúng tôi cho thấy hoạt động sau xâm phạm chỉ giới hạn ở việc truy cập và trích xuất email của những người dùng bị nhắm mục tiêu”
Vì vậy không phải là “toàn bộ Microsoft”. Đây là một tiêu đề phóng đại thường thấy, và lần này chỉ là thu hút sự chú ý bằng một bài đăng Mastodon
Nền tảng này cũng chẳng khác Twitter là mấy
Tôi nghĩ vài năm nữa phần cứng on-premises và hosting máy chủ đơn giản sẽ lại thịnh hành
Khi mọi thứ còn ở local và riêng tư, bảo mật thường yếu hơn, nhưng kẻ tấn công chỉ có thể truy cập vào một thiết bị hoặc mạng cụ thể
Giờ đây, phần thưởng khi tấn công một tổ chức tập trung là quá lớn, khiến kẻ tấn công có lý do bỏ ra nguồn lực lớn hơn nhiều
Cứ một hai tháng lại phải migrate sang một phiên bản môi trường mới ngớ ngẩn nào đó, ứng dụng không gửi được mail nên phải chỉnh các bản ghi DNS, phải cấu hình hệ thống IAM tệ hại của nhà cung cấp cloud dù không cần, rồi phải đăng ký ứng dụng để truy cập cơ sở dữ liệu
Hiện có những ứng dụng chỉ cần 15 phút bảo trì mỗi năm, 5 phút cài đặt và cấu hình
Một số nhà cung cấp cloud có các tính năng đáng kinh ngạc, nhưng tất cả đều có cảm giác ngày càng phình to, và use case của tôi không cần cả một cluster
Tôi cũng nghe về nhiều dự án nhằm tạo ra thêm các dịch vụ cloud châu Âu
Nếu thịnh hành, nhiều khả năng sẽ là dạng đặt container hoặc orchestrator Kata Containers lên trên phần cứng on-premises
Ngoài ra, ngay cả với phần mềm triển khai on-premises, các tổ chức lớn vẫn cần single sign-on, và vẫn có thể tiếp tục bị phơi nhiễm trước kiểu tấn công này
Chuyện này thật sự nghiêm trọng. Nhờ bài này mà giờ tôi mới đọc kỹ, và tôi không hiểu sao nó lại có thể trôi qua dưới radar như vậy
Công ty nơi tôi làm gần đây cũng đã hợp nhất toàn bộ xác thực cho ứng dụng và dịch vụ nội bộ thông qua Azure. Nhìn lại thì có vẻ đó là sai lầm, dù cũng có thể tôi đang quá nhạy cảm
Không lâu trước khi sự cố này xuất hiện, cũng có một “sự cố” mà bất kỳ ai cũng có thể thay đổi một số kết quả tìm kiếm Bing cụ thể, và có lẽ cả các dịch vụ khác nữa
Kết quả là có thể truy cập toàn bộ dữ liệu mà trình duyệt chia sẻ với Bing, trong đó bao gồm cả mọi khóa truy cập tài khoản MS của người dùng dùng Bing cho tìm kiếm cụ thể đó
Không thể biết mức độ ảnh hưởng, vì Microsoft không công bố. Lý do thì mỗi người chỉ có thể tự suy đoán
Bài viết rất hay, đáng sợ, và dường như chỉ chứa những thông tin đúng, có thể kiểm chứng, nhưng tôi không chắc nên kỳ vọng điều gì
Người “bình thường” sẽ không đọc thứ này, không hiểu nó, và cũng không ước lượng được tác động. Mọi thứ đã trở nên quá phức tạp. Về mặt xã hội, cũng không thể đơn giản là ngừng dùng các dịch vụ được nhắc đến
Có lẽ sẽ hợp lý hơn nếu dạy những điều sau: không có quyền riêng tư, không thể bảo đảm quyền riêng tư và không ai có động cơ để bảo đảm điều đó; không có bảo mật, mọi bảo mật hoặc đã bị xâm phạm, hoặc được thiết kế để bị xâm phạm, hoặc sẽ bị xâm phạm trong tương lai; mọi thông tin số hoặc đã công khai, hoặc một ngày nào đó sẽ công khai
Không cần 10 năm kinh nghiệm IT để hiểu rằng “Microsoft đã cho phép khách hàng dùng chìa khóa nhà mình để mở két văn phòng của tất cả mọi người, che giấu chuyện đó suốt 2 năm, và đến giờ vẫn chưa có kế hoạch sửa”
McNeally đơn giản là sai. Nhưng tuyệt vọng thì dễ hơn sửa chữa, nên nhiều người đã chọn tuyệt vọng, và sự phổ biến của cloud và SaaS là kết quả của điều đó
Đây không phải là số phận đã định, và thực tế chỉ cần không tin tưởng những người mà ta không thực sự tin tưởng
Ngay cả khi phải dùng đến cây búa pháp lý đáng sợ đi nữa
Con người vẫn có thể có quyền riêng tư được bảo đảm. Ví dụ như đi vào rừng mà không mang thiết bị nào
Động cơ để bảo đảm quyền riêng tư của người khác có thể là cơ chế pháp lý trừng phạt khi thất bại
Không có bảo mật tuyệt đối, nhưng có bảo mật đối với một mô hình đe dọa cụ thể
Cũng khó hiểu vì sao dữ liệu lưu trên một thiết bị không kết nối mạng lại nhất định phải bị công khai
Bỏ qua cách nói người “bình thường”, tôi không thấy lý do nào cho rằng không thể sống thiếu những dịch vụ thậm chí chưa được nêu tên, hoặc không thể chuyển sang thứ thân thiện hơn với quyền riêng tư
Cách giáo dục hợp lý hơn là: quyền riêng tư là thiết yếu đối với một xã hội và nền kinh tế vận hành được. Ai nói khác đi là người cho rằng họ có thể kiếm tiền ngắn hạn bằng cách khai thác bất cân xứng thông tin giữa bạn và họ
Tôi tôn trọng Scott, nhưng phát ngôn đó không phải khoảnh khắc hay. Nếu đổi cùng câu đó thành “không có tài sản, không thể bảo đảm tài sản, và không ai có động cơ để bảo đảm tài sản”, nghe cũng có thể hoàn toàn đúng, nhưng trên thực tế chúng ta đã tạo ra cách bảo đảm tài sản, đó là luật pháp và chính quyền thực thi. Có thể áp dụng khái niệm đã được kiểm chứng này cho quyền riêng tư
Mọi ổ khóa đều có thể bị mở, nhưng không phải ai cũng có thể cạy khóa, nên chúng ta vẫn khóa cửa
Tôi cũng nghi ngờ việc các công ty tư vấn hàng đầu giả định rằng mọi thông tin số sẽ bị công khai. Những công ty kiểu như trong “The Big Con” của Mazzucato và Collington có thể bán giả định đó, nhưng họ không thực sự vận hành như vậy
Ví dụ, nếu McKinsey biết lời khuyên của họ dành cho Purdue Pharma sẽ bị công khai, có lẽ họ đã không mất lớn đến thế
Tóm lại, người nói quyền riêng tư không quan trọng thực ra đang nói quyền riêng tư của bạn không quan trọng, và họ quá tự tin rằng bản thân có thể đứng ở phía có lợi trong bất cân xứng thông tin và vẫn giữ được bí mật. Việc Google cố giữ kín thông tin của mình trong một phiên tòa chống độc quyền công khai đã cho thấy điều đó một cách mỉa mai
Trên mạng không có quyền riêng tư, và các nhà cung cấp có động cơ bán đứng người dùng. Vì vậy cần tự bảo vệ bằng cách chỉ duy trì một sự hiện diện trực tuyến nông
Nếu là người dùng phổ thông, đặc biệt nên đăng càng ít thông tin càng tốt lên mạng xã hội. Nếu cần có sự hiện diện trực tuyến, hãy đánh giá rủi ro và bỏ thời gian, tiền bạc để giảm thiểu. Nếu trong nỗ lực giảm thiểu đó không thấy hiệu quả so với khoản đầu tư, rất có thể bạn đã bị lừa rằng mình cần sự hiện diện trực tuyến
Không có bảo mật tuyệt đối. Mọi biện pháp phòng vệ đều có thể bị vượt qua, nhưng không nhất thiết sẽ bị vượt qua. Chỉ cần đánh giá càng nhiều rủi ro càng tốt, và chỉ giảm thiểu những rủi ro dự kiến có hiệu quả đầu tư dương. Những rủi ro không giảm thiểu thì chấp nhận, còn những rủi ro không thể gánh chịu thì phải từ chối sử dụng hệ thống để khỏi phải gánh ngay từ đầu
Ngay cả khi không quản trị rủi ro gì, vẫn tồn tại một mức bảo mật cơ bản vì một bộ phận dân số có khuynh hướng phạm tội sẽ tính toán chi phí và phần thưởng. Càng nhiều người trong cuộc đầy hoài nghi nói rằng không có bảo mật, mức nền này càng tiến gần về 0, và công chúng càng dễ bị tổn thương
Mức nền càng thấp, cá nhân càng phải tự đầu tư nhiều thời gian và tiền bạc để đạt được mức an toàn có thể chịu được. Chủ nghĩa hoài nghi khiến chúng ta phải trả giá, nên ý là đừng tè hay phóng uế vào guồng nước của làng chỉ vì trông có vẻ ngầu
Thông tin số hiện nay hoặc đã công khai, hoặc một ngày nào đó có thể công khai. Nhưng ta có thể chọn công nghệ đẩy thời điểm đó ra xa hơn trong tương lai, và với những thông tin chưa được số hóa, ta có thể quyết định một cách có ý thức liệu sự tiện lợi có đáng để chấp nhận rủi ro hay không
“Các chuyên gia bảo mật như Mike Kuketz cho rằng mọi hệ thống Microsoft dùng xác thực cloud, thậm chí cả các host Windows, đều nên được xem là đã bị xâm phạm” là một tuyên bố cực kỳ lớn
Về mặt lý thuyết, có vẻ có khả năng khóa ký bị đánh cắp đã được dùng như một phần của cuộc tấn công lớn hơn nhằm truy cập các dịch vụ cốt lõi như Windows Update hay mặt phẳng điều khiển Azure
Nhưng nếu đã có một sự xâm phạm có hệ thống như vậy, tôi nghĩ hẳn đã có ai đó nhận ra
Phần giải thích của Microsoft trình bày rõ ràng hơn nhiều so với bài viết gốc và blog: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
Ngoài ra, trái với những gì được tuyên bố ở đây, Microsoft đã khắc phục sau khi biết vấn đề: https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
Và những người đó đã hack tài khoản kỹ sư rồi. Xác suất chỉ hack một tài khoản kỹ sư rồi tình cờ phát hiện ra khóa này là rất thấp, nên hợp lý hơn là cho rằng nhiều tài khoản kỹ sư của Microsoft đã bị hack
Về cơ bản, tài khoản MS không an toàn