Microsoftovi istraživači umjetne inteligencije slučajno su otkrili terabajte osjetljivih internih podataka, uključujući privatne ključeve i lozinke, dok su objavljivali repozitorij podataka za obuku otvorenog koda na GitHubu.
Nehotično otkrivanje ovih informacija moglo je omogućiti bilo kome s pristupom URL-u da manipulira, briše ili ubrizgava zlonamjerni sadržaj u izložene podatke.
Strašna sigurnosna mana u Microsoftu otkriva osjetljive informacije
U istrazi, startup za sigurnost u oblaku Wiz izjavio je da je otkrio GitHub repozitorij koji pripada Microsoftovom odjelu za istraživanje umjetne inteligencije kao dio svog tekućeg rada na slučajnom izlaganju podataka hostanih u oblaku.
Čitatelji GitHub repozitorija, koji je pružao otvoreni kod i AI modele za prepoznavanje slika, dobili su upute da preuzmu modele s URL-a Azure pohrane. Međutim, Wiz je otkrio da je taj URL konfiguriran za dodjelu dozvola na cijelom računu pohrane , nenamjerno otkrivajući dodatne privatne podatke.
Što se nalazilo u otkrivenim Microsoftovim podacima?
Ove informacije uključivale su 38 terabajta osjetljivih podataka , s osobnim sigurnosnim kopijama s osobnih računala dvaju zaposlenika Microsofta. Podaci su također sadržavali druge povjerljive osobne podatke , kao što su lozinke za Microsoftove usluge, tajni ključevi i više od 30 000 internih poruka Microsoft Teamsa od stotina zaposlenika Microsofta.
URL, koji je otkrivao ove podatke od 2020. godine, također je bio pogrešno konfiguriran kako bi omogućio "potpunu kontrolu" umjesto dozvola samo za čitanje, prema Wizu, što znači da bi svatko tko je znao gdje tražiti mogao potencijalno izbrisati, zamijeniti i ubrizgati zlonamjerni sadržaj u njih.
Wiz napominje da račun za pohranu nije bio izravno izložen. Umjesto toga, Microsoftovi AI programeri uključili su previše dopustiv token Shared Access Signing (SAS) u URL . SAS tokeni su mehanizam koji koristi Azure, a koji korisnicima omogućuje stvaranje djeljivih poveznica koje daju pristup podacima na Azure računu za pohranu.
Zaključak
Incident s istraživačima umjetne inteligencije u Microsoftu naglašava potrebu za primjenom rigoroznijih sigurnosnih mjera pri rukovanju velikim količinama podataka.
Korisnici bi također trebali biti svjesni rizika povezanih sa slučajnim izlaganjem podataka i poduzeti korake za zaštitu svojih osobnih podataka.
S druge strane, ovaj incident također naglašava potencijalnu štetu koja može nastati kada osjetljivim podacima pristupe neovlaštene osobe. Važno je da tvrtke i programeri implementiraju odgovarajuće sigurnosne kontrole kako bi spriječili izlaganje povjerljivih podataka.
