Mehr als 9.300 Zugriffsschlüssel für Amazon Web Services (AWS), die zwischen August 2022 und August 2026 öffentlich zugänglich wurden, waren laut einer vierjährigen Untersuchung von Truffle Security weiterhin aktiv und zur Authentifizierung fähig. Von den offengelegten Schlüsseln waren 817 mit Unternehmen verbunden, darunter 526 Root-Schlüssel (root keys), die innerhalb eines AWS-Kontos die höchstmögliche Berechtigungsstufe gewähren.
Die Forscher erklärten, dass weitere 242 Schlüssel mit Nutzern des Dienstes Identity and Access Management (IAM) verbunden waren, denen die Richtlinie AdministratorAccess zugewiesen war. Diese Richtlinie ermöglicht nahezu das Erstellen, Ändern, Löschen und Anzeigen der meisten AWS-Dienste und -Ressourcen. Sie wiesen außerdem darauf hin, dass jeder der 768 aktiven Schlüssel in zwei untersuchten Gruppen „vollständige Kontrolle über ein AWS-Konto eines Unternehmens“ gewährte.
Umfang der Offenlegung und Quellen der Schlüssel
Truffle Security fand 431.875 mit AWS verbundene Geheimnisse in Code-Repositorien, Git-Verläufen, Datensätzen, Docker-Images, Container-Logs sowie Logs der kontinuierlichen Integration und Bereitstellung (CI). Nach der Entfernung von Duplikaten sank die Zahl auf 64.024 einzigartige Schlüssel, die zu 50.654 AWS-Konten gehörten.
Die Gruppe, für die vollständige Zugangsdaten zur erneuten Überprüfung vorlagen, umfasste 10.616 Schlüssel. Davon waren bis zum 10. August noch 88 % zur Authentifizierung fähig. Die Plattform Hugging Face, über die Entwickler Modelle der künstlichen Intelligenz, Datensätze und Anwendungen teilen, war mit 8.482 einzigartigen Offenlegungen die größte Einzelquelle der durchgesickerten Schlüssel. Root-Schlüssel machten 17,9 % dieser Fälle aus.
Was ändert sich praktisch?
Ein gültiger Schlüssel ermöglicht einem Angreifer je nach damit verbundener Berechtigungsstufe den Zugriff auf in der Cloud gehostete Daten, deren Extraktion oder Löschung, die Kontrolle über Server und Anwendungen sowie das Anlegen versteckter Administratorkonten zur Aufrechterhaltung des Zugriffs. Die Konten könnten außerdem zum Bereitstellen von Tools für das Schürfen von Kryptowährungen genutzt werden, was zu hohen Rechnungen für das Unternehmen führen kann. Von 2.754 Konten, deren Daten gelesen werden konnten, verfügten nur 262 über eine Budgetwarnung.
Das Alter der Schlüssel offenbart ein zusätzliches Problem beim Berechtigungsmanagement: Bei 2.903 Schlüsseln, für die Erstellungsdaten vorlagen, betrug das mediane Alter 1.831 Tage, also etwa fünf Jahre, während der älteste Schlüssel 17,4 Jahre alt war. Nur in 398 Fällen beziehungsweise 13,7 % war ein neuerer Zugriffsschlüssel mit demselben Nutzer verknüpft, was darauf hindeutet, dass die meisten Schlüssel nicht rotiert wurden.
Maßnahmen zur Risikominderung
Truffle Security empfiehlt, alle Root-Schlüssel zu löschen, IAM-Zugangsdaten anhand ihres Alters zu überprüfen, offengelegte Schlüssel zu rotieren oder zu widerrufen und zusätzlich Budgetwarnungen zu aktivieren. Alle Zugangsdaten, die in einer öffentlichen Quelle veröffentlicht werden, sollten außerdem als kompromittiert behandelt werden, selbst wenn keine tatsächliche Nutzung festgestellt wurde.
Das Unternehmen erklärte, seine Tests hätten sich ausschließlich auf das Lesen von Metadaten beschränkt und es habe alle identifizierbaren Besitzer der Zugangsdaten benachrichtigt. Die Bedeutung der Ergebnisse liegt darin, dass ein Schlüssel, der nach seinem öffentlichen Auftauchen aktiv bleibt, ein altes Leck in einem Repository oder Build-Log in einen direkten Zugang zur Cloud-Infrastruktur verwandeln kann.