Поделиться
Microsoft вывалила в общий доступ 38 терабайт данных своих сотрудников, включая пароли и конфиденциальную информацию
Фирма Wiz обнаружила утечку огромного объёма внутренних данных Microsoft. Оказалось, её допустил один из работников в процессе обучения ИИ.
Слишком много разрешений
Компания Microsoft объявила об устранении массивной «утечки» конфиденциальных данных её сотрудников. В июне 2023 г. эту ситуацию обнаружила компания Wiz.io, специализирующаяся на вопросах информационной безопасности, и проинформировала о ней вендора.
Согласно пояснениям пресс-службы компании, некий работник Microsoft решил поспособствовать обучению открытой модели искусственного интеллекта, и по ошибке «выдал» URL-адрес к хранилищу BLOB-объектов в публичном репозитории GitHub.
Этот URL включал SAS-токен (Shared Access Signature, в русскоязычной номенклатуре Microsoft - подписанный URL-адрес) к внутреннему хранилищу.
По-видимому, этот токен был сгенерирован не по правилам, поскольку открывал избыточную степень доступа к данным.
Эксперты Wiz смогли воспользоваться этим токеном для получения доступа ко всему содержимому внутреннего хранилища, в котором содержались резервные копии данных с рабочих станцию двух бывших сотрудников Microsoft, а также их переписку с коллегами в Microsoft Teams.
Как уточняется в публикации Wiz.io, из-за произошедшего через открытый репозиторий в GitHub, относившийся к собственному ИИ-проекту Microsoft, стало возможным получить полный доступ к объёму данных размером 38 терабайт, содержащих конфиденциальную и составляющую коммерческую тайну информацию.
Помимо 30 тыс. сообщений из внутренней переписки, в которой участвовали 359 сотрудников Microsoft, в хранилище обнаружились приватные ключи, пароли и персональная информация.
«Важно отметить, что содержимое хранилища не было раскрыто всем желающим напрямую, на самом деле оно ставалось приватным», - отмечается в публикации Wiz. Как поясняется в дальнейшем, именно ссылка, содержащая токен открывает доступ к нему. Предполагается, что доступ будет предоставлен только к определённым файлам и папкам, но в данном случае оказалось, что доступно оказывалось всё содержимое хранилища разом.
Информация об инциденте была передана из Wiz в Microsoft 22 июня 2023 г. К 12 августа специалисты вендора установили корневую причину и устранили её.
Дообучали ИИ
Отдельный аспект, на который обращают внимание эксперты Wiz, что произошедший инцидент напрямую связан с обучением ИИ.
Как заявил журналистам сооснователь компании Ами Люттвак (Ami Luttwak), случившееся - пример тому, как важно соблюдать осторожность в процессе подготовки ИИ к развёртыванию.
«По мере того, как программисты и специалисты по информатие торопятся довести ИИ-решения до коммерческой реализации, огромные массивы данных, с которыми они работают, нуждаются в дополнительной проверки безопасности и защищённости», - заявил Люттвак. Подобных ситуаций, по его мнению, чем дальше тем сложнее будет избегать.
В Microsoft заверили, что приняли необходимые меры: в частности, система сканирвания GitHub теперь будет отлавливать SAS-токены с избыточными разрешениями и производит полное ресканирование всех публичных репозиториев в принадлежащих ей или аффилированных организациях.
Сканирование ранее выявило проблемный SAS URL в репозитории под названием robust-models-transfer («перенаправление надёжных моделей»), однако его по ошибке пометили как ложное срабатывание. Причина этому устранена, система работает исправно, - утверждают в Microsoft.
Этот репозиторий, как указывается в блоге Wiz, принадлежит именно подразделению Microsoft, занимающемуся разработками ИИ.
Wiz также упоминает, что Microsoft сама недавно признала использование SAS-токенов хакерами в качестве бэкдоров. Генерация таких токенов не документируется нигде, что делает практически невозможным их отслеживание. Плюс ко всему, таким токенам нередко назначается гигантский срок, в течение которого они остаются действительными. В описываемом случае действие токена заканчивалось в 2051 год.
В Wiz призвали никогда не использовать SAS-токены для предоставления внешнего доступа к данным.
«Кажется маловероятным, что Microsoft будет фундаментально пересматривать принципы работы SAS-механизма, но, справедливости ради, в недавней публикации компании пользователей призывают использовать принцип минимальных привилегий и ограничивать время действия одним часом, а не десятками лет, - говорит Никита Павлов, эксперт по информационной безопасности компании SEQ. - Как видим, однако, сами сотрудники Microsoft этих Best Practices придерживаются далеко не всегда. В любом случае, соблюдать нормы безопасности при работе с крупными массивами данных, кратно важнее, чем когда речь идёт о сравнительно небольшом объёме».
Короткая ссылка
