Google hat sein Programm für Belohnungen von Cloud-Sicherheitslücken (Cloud VRP) durch die Einführung einer neuen Höchstprämienkategorie von bis zu 250.000 US-Dollar erweitert, die für architektonische Schwachstellen bestimmt ist, welche zu einer umfassenden administrativen Kontrolle über seine Cloud-Umgebungen und zur Umgehung der Kundentrennung führen können.
Bedingungen für den Erhalt der Höchstprämie
Google erklärte, dass sich die Prämie an fortschrittliche architektonische Sicherheitsforschung richtet, die die Fähigkeit nachweist, Projekt- und Cloud-Unternehmensverwaltungsrechte ('roles/owner') zu entziehen oder eine vollständige Kontrolle über das Identitäts- und Zugriffsmanagement (IAM) über jede Organisation oder jedes Projekt innerhalb von Google Cloud ohne vorherige Zugriffsbedingungen zu erzwingen. Um sich für diese Prämie zu qualifizieren, verlangt das Unternehmen, dass der Ausnutzungspfad weder auf gestohlenen Konten noch auf vorherigem Zugriff oder Methoden des Social Engineering und der menschlichen Interaktion beruht.
Die Bewertungskriterien umfassen auch Schwachstellen, die die Remote-Code-Ausführung (RCE) im System Borg, der grundlegenden Produktionsinfrastruktur des Google-Ökosystems, ermöglichen oder den Erhalt von Root-Rechten in der Produktion (Root-in-production) zur Folge haben.
Strengere Einsatzregeln zur Vermeidung von Dienstunterbrechungen
Da die Ausführung von unbefugtem Code innerhalb des Borg-Systems die Stabilität der Dienste und die Datensicherheit von Mandanten (Multi-Tenant) gefährdet, betonte Chris Betz, Chief Information Security Officer bei Google Cloud, die Notwendigkeit, die Tests sofort nach dem Nachweis der anfänglichen Code-Ausführung komplett einzustellen. Er betonte, dass jegliche Versuche zur Privilegieneskalation, zum Extrahieren von Produktionsanmeldeinformationen oder zur Seitwärtsbewegung im Netzwerk sofort zum Ausschluss des Forschers und zum Verfall der Prämie führen.
Um die Konten tatsächlicher Kunden vor betrieblichen Risiken während von Penetrationstests zu schützen, wies Michael Coates, Leiter des Programms für Cloud-Schwachstellenprämien bei Google, auf die Entwicklung eines deterministischen Verifizierungsmechanismus hin, der als Nachweis der Kontrolle (Proof-of-root) bekannt ist und auf einem dedizierten Dienstkonto basiert. Dies ermöglicht es Forschern, einen kryptografischen Nachweis ihres unbefugten Zugriffs gegenüber dieser Identität zu erbringen, ohne die Daten der Nutzer zu beeinträchtigen.
Auswirkungen der künstlichen Intelligenz auf die Sicherheitsforschung
Coates erklärte, dass die Entdeckung solcher architektonischen Mängel und die Umgehung der Mandantentrennung heute menschliche Intuition mit KI-gestützten Tools und Agentensystemen (Agentic systems) verbindet. Die Daten von Google zeigen, dass neue Forscher, die ihre persönliche Intuition mit Agentensystemen kombinieren, nun in der Lage sind, komplexere Schwachstellen im Vergleich zu den Vorjahren zu entdecken, was das Unternehmen dazu veranlasst hat, die finanziellen Anreize zu erhöhen, um mit dieser Entwicklung bei den Fähigkeiten zur strukturellen Prüfung und Analyse Schritt zu halten.