Nei giorni scorsi Truffle Security ha pubblicato l’esito di un’analisi
incentrata sulla verifica di 10.616
chiavi di accesso AWS finite in pubblico fra l’agosto 2022 e
l’agosto 2026, e l’88% autentica ancora. Delle chiavi ancora vive,
768 danno il controllo pieno dell’account AWS di un’azienda: 526
sono chiavi root e 242 appartengono a utenti IAM con la policy
AdministratorAccess. I settori pi� rappresentati sono software,
cloud e consulenza informatica, e una singola societ� di consulenza
globale compare con 19 chiavi distinte su account separati. Con
credenziali di tale livello � possibile leggere, esfiltrare o cancellare i
dati ospitati, prendere il controllo di server e applicazioni e crearsi
utenti amministrativi per rientrare quando serve.
Gli scanner della societ� hanno raccolto 431.875 rilevazioni
pubbliche fra cronologie git, dataset di Hugging Face, immagini
Docker, registri di pacchetti e log di CI, che una volta deduplicate danno
64.024 chiavi uniche riferite a 50.654 account. Una su sei
� root: 10.625 chiavi, il 16,6%, su 9.945 account
distinti. Una chiave root non si pu� ridimensionare, perch� coincide con
l’account e comprende la facolt� di chiuderlo. La ri-verifica ha usato
solo chiamate di metadati in sola lettura, senza aprire documenti di
policy e senza modificare nulla, e i proprietari identificabili, 10.260
sui 10.616 riesaminati, sono stati avvisati prima della
pubblicazione; il lavoro esce insieme al lancio di uno strumento
commerciale della stessa societ�.
Fonte: Truffle
Security
Sulle 7.590 chiavi IAM attive i ricercatori hanno provato a
elencare le policy allegate, i soli nomi e mai il contenuto. 1.157
utenti lo hanno permesso, e 976 di loro, l’84%, hanno
AdministratorAccess in proprio o attraverso un gruppo, mentre altri 144
hanno IAMFullAccess. Il sottoinsieme che si lascia enumerare �
sbilanciato, perch� sia gli amministratori sia gli utenti gi� messi in
quarantena possono leggere IAM, quindi le percentuali valgono come
indicazione e i numeri assoluti come conteggi esatti. Pi� in alto ancora
ci sono 130 chiavi root vive su account di gestione di
un’organizzazione, quelli che governano tutti gli account membro:
una sola di queste espone in un colpo l’intera organizzazione.
La fonte singola pi� grossa non � un repository di codice in senso
classico: � Hugging Face, con 8.482 chiavi uniche vive
distribuite su 3.394 dataset pubblici. Le credenziali AWS sono il
secondo tipo di segreto pi� verificato sulla piattaforma, e l� la quota di
chiavi root sale al 17,9%, la pi� alta fra le sorgenti censite.
Gran parte di quei dataset sono istantanee di codice pubblico
riconfezionate per l’addestramento, quindi una chiave scritta una volta
sola in un commit finisce tokenizzata in corpora che migliaia di progetti
a valle scaricano.
Et� mediana di cinque anni, rotazione quasi assente
Per le 2.903 chiavi che hanno consentito la chiamata
iam:ListAccessKeys, AWS restituisce la data esatta di creazione. La
mediana � di 1.831 giorni: met� delle chiavi vive ha pi� di cinque
anni, e la pi� vecchia ne ha 17,4, quasi quanti ne ha IAM. Solo 25
chiavi, lo 0,9%, sono nate negli ultimi trenta giorni, e il dato
racconta un deposito che si accumula da anni pi� che una fuga recente.
La rotazione � l’evento raro. Sullo stesso sottoinsieme solo il 13,7%,
398 chiavi su 2.903, ha accanto una chiave pi� recente per lo stesso
utente: le altre non sono mai state sostituite n� ripulite. Il 43%
delle chiavi del campione � stato avvistato pi� di una volta, in
repository, dataset e immagini diversi, quindi cancellare il file dopo il
commit serve a poco una volta che la credenziale � entrata in un corpus di
addestramento.
Quarantena applicata, chiavi ancora valide
929 delle 7.590 chiavi IAM attive, il 12%, portano la policy AWSCompromisedKeyQuarantine:
AWS le ha rilevate come esposte e ne ha limitato l’uso. Di queste, 112
hanno la versione originale della policy, che Amazon ha smesso di
applicare nel 2023, quindi erano state marcate almeno tre anni fa e i
titolari avvisati dalla stessa AWS. Autenticano ancora. Un portavoce di
AWS ha dichiarato che l’azienda notifica i clienti interessati ogni volta
che viene a conoscenza di chiavi esposte, indaga su tutte le segnalazioni
e applica le policy di quarantena per ridurre il rischio senza
interrompere l’ambiente informatico del cliente, richiamando il modello di
responsabilit� condivisa.
2.754 chiavi permettevano di leggere i budget configurati e 1.059
di interrogare Cost Explorer, e solo 262 account, il 9,5%
di quelli leggibili, hanno un avviso di spesa attivo, con un limite
mediano di 8 dollari, la soglia classica da piano gratuito. La
spesa mediana del mese precedente � stata di 0,03 dollari, ma 50
account hanno superato i mille dollari, nove i diecimila, e l’insieme
leggibile ha speso 420.631 dollari nel solo mese di luglio: la
chiave tipica apre un esperimento abbandonato che non costa nulla, ed � la
ragione per cui nessuno la ruota, mentre la coda della distribuzione apre
la produzione. Le indicazioni operative dei ricercatori sono elementari: eliminare
le chiavi root, che nel 2026 non hanno pi� una ragione d’essere,
ordinare le chiavi IAM per et� imponendo un tetto massimo, e impostare un
avviso di spesa anche minimo, perch� un allarme da dieci dollari
intercetta presto l’estrazione abusiva di criptovalute.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
