AWS पर कैपिटल वन बैंक को हैक करने की तकनीकी जानकारी

19 जुलाई, 2019 को, कैपिटल वन बैंक को एक संदेश मिला कि हर आधुनिक कंपनी डरती है - एक डेटा लीक हुआ है। इसने 106 मिलियन से अधिक लोगों को प्रभावित किया। 140,000 अमेरिकी सामाजिक सुरक्षा संख्या, एक लाख कनाडा सामाजिक सुरक्षा संख्या। 80,000 बैंक खाते। अप्रिय, सहमत हैं?

दुर्भाग्य से, हैकिंग 19 जुलाई को बिल्कुल भी नहीं हुई। जैसा कि यह पता चला, पैज थॉम्पसन उर्फ एरेटिक ने 22 मार्च से 23 मार्च 2019 के बीच इसका प्रदर्शन किया। यह लगभग चार महीने पहले की बात है । वास्तव में, केवल बाहरी सलाहकारों की मदद से कैपिटल वन को पता था कि कुछ हुआ था।

पूर्व अमेज़ॅन कर्मचारी को गिरफ्तार किया गया था, उसे $ 250 हज़ार का जुर्माना और पांच साल की जेल की सजा का सामना करना पड़ा ... लेकिन बहुत नकारात्मकता है। क्यों? क्योंकि कई कंपनियां जो हैक हो चुकी हैं, बढ़ते साइबर अपराध के बीच अपने बुनियादी ढांचे और अनुप्रयोगों को मजबूत करने के लिए जिम्मेदारी को अलग करने की कोशिश कर रही हैं।

किसी भी मामले में, आप इस कहानी को आसानी से Google कर सकते हैं। हम नाटक में नहीं जाएंगे, लेकिन चीजों के तकनीकी पक्ष के बारे में बात करेंगे।

पहला, क्या हुआ?

कैपिटल वन में, लगभग 700 S3 बाल्टी थी जिसे Paige थॉम्पसन ने कॉपी और अपवित्र किया था।

दूसरे, क्या यह गलत तरीके से कॉन्फ़िगर S3 बाल्टी नीति का एक और मामला है?

नहीं, इस बार नहीं। यहां उसने गलत तरीके से कॉन्फ़िगर किए गए फ़ायरवॉल के साथ एक सर्वर तक पहुंच प्राप्त की और वहां से उसने पूरे ऑपरेशन का संचालन किया।

रुको, यह कैसे संभव है?

ठीक है, चलो सर्वर में लॉग इन करके शुरू करें, हालांकि हमारे पास कुछ विवरण हैं। हमें केवल यह बताया गया था कि यह "गलत तरीके से कॉन्फ़िगर फ़ायरवॉल" के माध्यम से हुआ था। तो, गलत सिक्योरिटी ग्रुप सेटिंग्स या वेब एप्लिकेशन फायरवॉल (इंपर्वा), या नेटवर्क फायरवॉल (आईपीवॉल, ufw, शोरवेल, इत्यादि) के विन्यास के रूप में कुछ सरल है। कैपिटल वन ने केवल दोषी ठहराया और कहा कि इसने छेद को बंद कर दिया।

स्टोन ने कहा कि कैपिटल वन ने शुरू में फ़ायरवॉल की भेद्यता पर ध्यान नहीं दिया, लेकिन जैसे ही इसके बारे में पता चला, तुरंत प्रतिक्रिया दी। बेशक, इस तथ्य से मदद मिली कि हैकर ने कथित तौर पर सार्वजनिक रूप से उपलब्ध जानकारी की पहचान करने की कुंजी को छोड़ दिया, स्टोन ने कहा।

यदि आप इस बात में रुचि रखते हैं कि हम इस भाग में देरी क्यों नहीं कर रहे हैं, तो समझें कि सीमित जानकारी के कारण हम केवल अनुमान लगा सकते हैं। यह व्यर्थ है कि कैपिटल वन द्वारा छोड़े गए अंतर पर निर्भर करता है। और अगर वे हमें अधिक नहीं बताते हैं, तो हम उन सभी संभावित तरीकों को सूचीबद्ध करेंगे, जिन्हें कैपिटल वन ने अपने सर्वर को उन सभी संभावित तरीकों के साथ खुला छोड़ दिया है, जो इन विभिन्न विकल्पों में से किसी एक का उपयोग कर सकते हैं। ये अंतराल और विधियां बेतहाशा बेवकूफ ओवरसाइट्स से लेकर अविश्वसनीय रूप से जटिल पैटर्न तक हो सकती हैं। संभावनाओं की सीमा को देखते हुए, यह एक वास्तविक निष्कर्ष के बिना एक लंबी गाथा में बदल जाएगा। इसलिए, हम उस हिस्से के विश्लेषण पर ध्यान केंद्रित करेंगे जहां हमारे पास तथ्य हैं।

तो पहला निष्कर्ष: पता है कि आपके फ़ायरवॉल क्या अनुमति देते हैं

यह सुनिश्चित करने के लिए एक नीति या प्रक्रिया स्थापित करें कि केवल जो खुला है वह खुला है। यदि आप AWS संसाधनों, जैसे कि सुरक्षा समूह या नेटवर्क ACL का उपयोग करते हैं, तो जाहिर है सत्यापन के लिए चेकलिस्ट लंबी हो सकती है ... लेकिन जैसे ही कई संसाधन स्वचालित रूप से (अर्थात CloudFormation) बनते हैं, आप उनका ऑडिट भी स्वचालित कर सकते हैं। चाहे वह एक मचलिफ्ट स्क्रिप्ट हो जो खामियों के लिए नई वस्तुओं के लिए स्कैन करता है, या एक सीआई / सीडी प्रक्रिया में सुरक्षा ऑडिट जैसा कुछ ... इससे बचने के लिए कई आसान विकल्प हैं।

कहानी का "मज़ेदार" हिस्सा यह है कि अगर कैपिटल वन ने शुरू से ही छेद को बंद कर दिया होता ... तो कुछ भी नहीं होता। और इसलिए, स्पष्ट रूप से, यह देखना हमेशा चौंकाने वाला होता है कि वास्तव में कुछ सरल कैसे एक हैकिंग कंपनी का एकमात्र कारण बन जाता है। खासकर कैपिटल वन जितना बड़ा।

तो, अंदर हैकर - आगे क्या हुआ?

खैर, EC2 उदाहरण में टूटने के बाद ... बहुत कुछ गलत हो सकता है। यदि आप किसी को उस दूर जाने की अनुमति देते हैं तो आप चाकू के किनारे लगभग चलते हैं। लेकिन वह S3 बाल्टी में कैसे आया? इसे समझने के लिए, आइएएम (IAM रोल्स) की भूमिकाओं पर चर्चा करते हैं।

तो, AWS सेवाओं तक पहुंचने का एक तरीका उपयोगकर्ता होना है। ठीक है, यह बहुत स्पष्ट है। लेकिन क्या होगा अगर आप अन्य एडब्ल्यूएस सेवाएं देना चाहते हैं, उदाहरण के लिए, आपके एप्लिकेशन सर्वर, आपके S3 बाल्टी तक पहुंच? इसके लिए, IAM भूमिकाएं हैं। इनमें दो घटक होते हैं:

1. ट्रस्ट नीति - कौन सी सेवाएं या कौन से लोग इस भूमिका का उपयोग कर सकते हैं?
   
2. अनुमतियाँ नीति - यह भूमिका क्या अनुमति देती है?

उदाहरण के लिए, आप एक IAM भूमिका बनाना चाहते हैं जो EC2 इंस्टेंस को S3 बाल्टी तक पहुंच प्राप्त करने की अनुमति देता है: सबसे पहले, यह भूमिका के लिए एक ट्रस्ट पॉलिसी स्थापित करता है जो EC2 (पूरी सेवा) या विशिष्ट उदाहरण भूमिका को "ले" सकता है। एक भूमिका मानने का मतलब है कि वे कार्रवाई करने के लिए भूमिका अनुमतियों का उपयोग कर सकते हैं। दूसरे, अनुमतियाँ नीति एस 3 पर कुछ करने के लिए सेवा / व्यक्ति / संसाधन को "भूमिका पर ले जाने" की अनुमति देती है, यह एक विशिष्ट बाल्टी तक पहुंच हो ... या 700 से अधिक हो, जैसा कि कैपिटल वन के मामले में।

एक बार जब आप IAM भूमिका के साथ EC2 उदाहरण में होते हैं, तो आप कई तरीकों से क्रेडेंशियल्स प्राप्त कर सकते हैं:

1. आप http://169.254.169.254/latest/meta-data पर उदाहरण मेटाडेटा का अनुरोध कर सकते हैं
   
   अन्य बातों के अलावा, इस पते पर आप किसी भी एक्सेस कुंजी के साथ IAM भूमिका पा सकते हैं। बेशक, केवल अगर आप एक उदाहरण में हैं।
   
2. AWS CLI का उपयोग करें ...
   
   यदि AWS कमांड लाइन इंटरफ़ेस स्थापित है, तो इसे IAM भूमिकाओं से क्रेडेंशियल्स के साथ लोड किया जाता है, यदि कोई हो। यह केवल उदाहरण के माध्यम से काम करने के लिए बनी हुई है। बेशक, अगर उनकी ट्रस्ट पॉलिसी खुली होती, तो पेज सीधे कर सकता था।

इस प्रकार, IAM भूमिकाओं का सार यह है कि वे एक संसाधन को अन्य नामों पर अपने नाम से कार्य करने की अनुमति देते हैं।

अब जब आप IAM की भूमिकाओं को समझते हैं, तो हम इस बारे में बात कर सकते हैं कि पेज थॉम्पसन ने क्या किया है:

1. उसने फ़ायरवॉल के एक छेद के माध्यम से सर्वर (EC2 उदाहरण) तक पहुंच प्राप्त की
   
   चाहे वह सुरक्षा समूह / एसीएल हो या उनके स्वयं के वेब एप्लिकेशन फायरवॉल हों, आधिकारिक रिकॉर्ड्स में कहा गया है कि छेद को बंद करना काफी आसान था।
   
2. एक बार सर्वर पर, वह "एक्ट" करने में सक्षम थी जैसे कि वह सर्वर था
   
3. चूंकि IAM सर्वर भूमिका ने S3 को इन 700+ बाल्टी तक पहुंचने की अनुमति दी थी, इसलिए वह उन्हें एक्सेस करने में सक्षम थी

अब से, वह केवल List Buckets कमांड चला सकती है, और फिर AWS CLI से Sync कमांड ...

---

कैपिटल वन बैंक 100 से 150 मिलियन डॉलर की राशि में हैकिंग से नुकसान का अनुमान लगाता है । इस तरह के नुकसान को रोकने के लिए कंपनियां क्लाउड इंफ्रास्ट्रक्चर, देवओप्स और सुरक्षा विशेषज्ञों की सुरक्षा में इतना निवेश करती हैं। और बादल के लिए कितना मूल्यवान और लागत प्रभावी है? इतना अधिक कि अधिक से अधिक साइबर सुरक्षा के मुद्दों के बावजूद, 2019 की पहली तिमाही में समग्र सार्वजनिक क्लाउड बाजार में 42% की वृद्धि हुई !

इस कहानी का नैतिक: अपनी सुरक्षा की जाँच करें; नियमित ऑडिट करें; सुरक्षा नीतियों के लिए कम से कम विशेषाधिकार के सिद्धांत का सम्मान करें।

(आप पूरी कानूनी रिपोर्ट यहां देख सकते हैं)।