埃森哲的幾台伺服器泄密，大量高度敏感的數據岌岌可危
四台泄密的伺服器居然沒有密碼，卻又含有「通向數據王國的鑰匙」。
科技和雲巨頭埃森哲近日證實，它不小心任由大量的秘密數據存放在四台未加保護的雲伺服器上，泄露了高度敏感的密碼和解密密鑰，從而有可能給這家公司及其客戶造成嚴重破壞。
這些伺服器託管在亞馬遜的S3存儲服務上，含有這家公司的企業雲平台的數百GB數據。該公司聲稱，該企業雲平台為《財富》100強中的大多數企業提供支持服務。
誰要是知道這些伺服器的Web地址，不用密碼就可以下載這些數據。
安全公司UpGuard的網路安全研究主任克里斯?維克里（ChrisVickery）在9月中旬發現了這些數據，並私下告知了埃森哲這次泄密。次日，四台伺服器悄然採取了相應的安全措施。
據維克里聲稱，這台四伺服器含有的資料相當於「通向數據王國的鑰匙」，他上周在電話中告訴IT外媒ZDNet。
每台伺服器含有諸多不同類型的登錄信息（credential），包括私密的簽名密鑰（可用來冒充這家公司）和密碼（其中一些密碼居然是以明文格式存儲的）。
維克里表示，他還發現了埃森哲用於其亞馬遜網路服務的密鑰管理系統（KMS）的主密鑰（masterkey）；主密鑰一旦失竊，攻擊者就有可能全面掌控這家公司存儲在亞馬遜伺服器上的已加密數據。
安全專家肯尼思?懷特（Kenneth White）表示，「對雲服務提供商而言，沒有比主密鑰泄露更糟糕的事情了。」
懷特說：「該KMS主密鑰保護的任何資產和基礎設施勢必會完全受到危及。」
其他伺服器中有一台含有的文件夾存儲了用來解密在埃森哲與客戶之間在互聯網上傳輸的內容的密鑰和證書。維克里表示，除了讓攻擊者得以進入埃森哲內部企業網路的虛擬專用網密鑰外，他還發現了似乎與埃森哲訪問谷歌雲平台和微軟Azure有關的登錄信息，這些登錄信息讓攻擊者得以進一步訪問該公司的雲資產。
據維克里聲稱，最龐大的一台伺服器含有逾137GB的數據，包括收錄了用戶登錄信息的龐大資料庫，其中一些登錄信息似乎直接與埃森哲客戶有關。維克里還發現了一個備用資料庫中的將近40000個密碼，絕大多數密碼是以明文格式存儲的。
ZDNet首次聯繫埃森哲時，這家公司對這次泄密輕描淡寫，表示泄密數據不到其雲服務的0.5%，「我們客戶的信息根本沒有受到影響，我們的任何客戶並未面臨任何風險」，還提到這家公司採用了「多層次安全模型」。
我們根據維克里所見到的信息對這一說法提出質疑時，埃森哲發言人隨後改口稱，公司正在調查之中。
發言人說：「有人首次報告亞馬遜網路服務S3問題後，我們就堵住了外泄。隨著我們深入開展取證分析審查工作，可能會了解更多情況，但是資料庫裡面的電子郵件和密碼信息是兩年半以前的，牽涉的是使用一個已停用的系統的埃森哲用戶。」
埃森哲不是第一家遭遇這種數據泄密事件的公司。近幾個月，一連串知名公司（包括幾家電話公司和選民記錄分析公司）之所以泄露了敏感數據，就是由於它們任由各自的亞馬遜雲伺服器敞開大門、未加保護。
維克里表示，埃森哲可能使用亞馬遜伺服器將數據從開發環境遷移到生產環境。雖然他發現的部分數據包含測試帳戶，但他表示，「要是我願意鑽其空子，許多登錄信息將讓我得以進一步訪問大量的客戶數據。」
維克里告訴ZDNet：「但要是我掌握其生產環境的登錄信息，可以這麼說，任何使用埃森哲的雲平台的人都面臨很大的風險。」
UpGuard的丹?奧沙利文（Dan O』Sullivan）在博客上談到了發現的這些數據，他表示黑客很有可能已對埃森哲及使用其雲的客戶造成了「數額不明的經濟損失。」
我們詢問是否別人訪問了這些伺服器，公司發言人表示，系統日誌顯示「只有一個未經授權的IP地址有訪問過，我們後來查到該IP地址屬於一名數據安全顧問，他在大概兩周前聯繫過我們，說起過此事。」
我們聯繫了登錄信息出現在數據中的幾家公司。
在本文刊發之前，沒有一家公司正式表態。不過有一家公司聲稱，他們聯繫埃森哲後，該公司告訴他們：它「沒意識到」有任何泄密事件。
被問及時，發言人不願表示是否已向埃森哲的任何客戶告知了數據泄密事件。
※白盒伺服器成主流
※問個問題：做個IT領域的「招投標聚合網」如何？
※Visual Studio Team Services遇到了一些「性能問題」！
※Tensorflow 好差勁！
TAG:雲頭條 |