Ερευνητές τεχνητής νοημοσύνης της Microsoft αποκάλυψαν κατά λάθος terabytes ευαίσθητων εσωτερικών δεδομένων, συμπεριλαμβανομένων ιδιωτικών κλειδιών και κωδικών πρόσβασης, ενώ δημοσίευαν ένα αποθετήριο δεδομένων εκπαίδευσης ανοιχτού κώδικα στο GitHub.
Η ακούσια έκθεση αυτών των πληροφοριών θα μπορούσε να επιτρέψει σε οποιονδήποτε είχε πρόσβαση στη διεύθυνση URL να χειραγωγήσει, να διαγράψει ή να εισάγει κακόβουλο περιεχόμενο στα εκτεθειμένα δεδομένα.
Τρομερό σφάλμα ασφαλείας της Microsoft αποκαλύπτει ευαίσθητες πληροφορίες
Σε μια έρευνα, η νεοσύστατη εταιρεία ασφάλειας cloud, Wiz, δήλωσε ότι ανακάλυψε ένα αποθετήριο GitHub που ανήκει στο τμήμα έρευνας τεχνητής νοημοσύνης της Microsoft, στο πλαίσιο των συνεχιζόμενων εργασιών της σχετικά με την τυχαία έκθεση δεδομένων που φιλοξενούνται στο cloud.
Οι αναγνώστες του αποθετηρίου GitHub, το οποίο παρείχε κώδικα ανοιχτού κώδικα και μοντέλα τεχνητής νοημοσύνης για την αναγνώριση εικόνων, έλαβαν οδηγίες να κατεβάσουν τα μοντέλα από μια διεύθυνση URL αποθήκευσης Azure. Ωστόσο, ο Wiz ανακάλυψε ότι αυτή η διεύθυνση URL είχε διαμορφωθεί για να εκχωρεί δικαιώματα σε ολόκληρο τον λογαριασμό αποθήκευσης , εκθέτοντας ακούσια πρόσθετα ιδιωτικά δεδομένα.
Τι περιείχαν τα εκτεθειμένα δεδομένα της Microsoft;
Αυτές οι πληροφορίες περιελάμβαναν 38 terabyte ευαίσθητων δεδομένων , με προσωπικά αντίγραφα ασφαλείας από τους προσωπικούς υπολογιστές δύο υπαλλήλων της Microsoft. Τα δεδομένα περιείχαν επίσης άλλες εμπιστευτικές προσωπικές πληροφορίες , όπως κωδικούς πρόσβασης υπηρεσίας της Microsoft, μυστικά κλειδιά και περισσότερα από 30,000 εσωτερικά μηνύματα του Microsoft Teams από εκατοντάδες υπαλλήλους της Microsoft.
Η διεύθυνση URL, η οποία είχε εκθέσει αυτά τα δεδομένα από το 2020, είχε επίσης διαμορφωθεί λανθασμένα ώστε να επιτρέπει τον «πλήρη έλεγχο» αντί για δικαιώματα μόνο για ανάγνωση, σύμφωνα με τον Wiz, πράγμα που σημαίνει ότι όποιος ήξερε πού να ψάξει θα μπορούσε ενδεχομένως να διαγράψει, να αντικαταστήσει και να εισάγει κακόβουλο περιεχόμενο σε αυτά.
Ο Wiz σημειώνει ότι ο λογαριασμός αποθήκευσης δεν εκτέθηκε άμεσα. Αντ' αυτού, οι προγραμματιστές τεχνητής νοημοσύνης της Microsoft συμπεριέλαβαν ένα υπερβολικά επιτρεπτικό διακριτικό Shared Access Signing (SAS) στη διεύθυνση URL . Τα διακριτικά SAS είναι ένας μηχανισμός που χρησιμοποιείται από το Azure και επιτρέπει στους χρήστες να δημιουργούν συνδέσμους με δυνατότητα κοινής χρήσης που παρέχουν πρόσβαση σε δεδομένα σε έναν λογαριασμό αποθήκευσης Azure.
Συμπέρασμα
Το περιστατικό με τους ερευνητές τεχνητής νοημοσύνης της Microsoft υπογραμμίζει την ανάγκη εφαρμογής αυστηρότερων μέτρων ασφαλείας κατά τον χειρισμό μεγάλων όγκων δεδομένων.
Οι χρήστες θα πρέπει επίσης να γνωρίζουν τους κινδύνους που σχετίζονται με την τυχαία έκθεση δεδομένων και να λαμβάνουν μέτρα για την προστασία των προσωπικών τους πληροφοριών.
Από την άλλη πλευρά, αυτό το περιστατικό υπογραμμίζει επίσης την πιθανή βλάβη που μπορεί να προκύψει όταν μη εξουσιοδοτημένα άτομα έχουν πρόσβαση σε ευαίσθητα δεδομένα. Είναι σημαντικό οι εταιρείες και οι προγραμματιστές να εφαρμόσουν κατάλληλα μέτρα ασφαλείας για να αποτρέψουν την έκθεση εμπιστευτικών δεδομένων.
