Noll
Finska telefonen säljaren Nokia nekas i dag en säkerhet som bolaget hävdat att det utsätts en guldgruva av interna referenser, kryptering och API nycklar i en server som oavsiktligt lämnas synliga och lätt tillgängliga över Internet.
Frågan är i fråga om att en etcd server upptäcktes av HackenProof forskaren Bob Diachenko.
Etcd är en databas-server som används oftast i företag och miljöer cloud computing. De är en standard del av CoreOS, ett operativsystem som utvecklades för cloud hosting miljöer, där de används som en del av OS’ kluster system. CoreOS använder en etcd server som en central lagring miljö för lösenord och åtkomsttokens för applikationer som distribuerats via dess kluster/container-system.
Diachenko berättade ZDNet i förra veckan att han kom över en sådan etcd server förra veckan, den 13 December. Han säger att han upptäckte den servern med hjälp av Shodan sökmotor för internet-anslutna enheter. Diachenko sa att det var omedelbart klart att servern tillhörde Nokia.
I ett blogginlägg i dag, forskaren slutligen detaljerad förra veckans fynd, efter Nokia hade säkrat den utsätts server tidigare i veckan. Enligt Diachenko, servern ingår autentiseringsuppgifter för applikationer såsom Heketi, Åt, och Väva, men också Kubernetes hemliga krypteringsnycklar, en Gluster användarens privata nyckel, SSH och privata RSA-nycklar, kluster nycklar, AWS S3 hemliga nycklar “och ett par andra.”
Bild: HackenProof
Den HackenProof forskare sade att samma server var också igång en loggning service som fanns kvar utsatt utan autentisering, så att vem som helst tillgång till det via internet.
Kontaktade av ZDNet på måndag, en Nokia talesperson nekade servern innehöll någon känslig information.
“Detta särskilt AWS server skapades för en tid sedan av en av våra utvecklare för teständamål,” Nokia talesperson berättade ZDNet. “Servern innehåller ingen känslig information eller interna referenser. Som sagt, vi kommer att använda denna episod för egen utbildning för Nokia fou-anställda.”
Men HackenProof forskare inte anser att bolagets förklaring. “Det såg inte ut som testmiljö för mig,” Diachenko sagt. “I motsats, [det var] en skattkammare.”
Ändå, kan forskaren inte motsäger Nokia bedömning utöver ett uttalande. White-hat säkerhet forskare som Diachenko använd inte utsätts inloggningar för att komma åt företagets interna nätverk, eftersom denna utgör en obehörig inloggning, ett brott i alla länder.
“I slutet av dagen, vi kan inte vara 100% säker på att detta var ett test data, med tanke på karaktären av den observerade miljön och antalet exponerade lösenord,” sade han.
Nokia är verkligen inte det enda företaget som har detta problem. Tidigare i år, en säkerhetsforskare först tog upp frågan om att utsatta etcd servrar när han påpekade att det var över 2 200 etcd databaser och är lätt åtkomligt via Shodan, och de flesta var att lagra en stor kvantitet av lösenord och API nycklar.
I dag, att antalet är över 2 600, enligt samma Shodan sökning, vilket innebär att servern ägarna har inte gav akt på hans första varning.
Mer dataintrång täckning:
Google+ som drabbats av andra API bugg som påverkar 52.5 miljoner användare
NASA offentliggör uppgifter breachQuora avslöjar mega brott som påverkar 100 miljoner usersTwitter avslöjar misstänks statligt sponsrade attackFacebook bugg exponeras privata bilder på 6,8 miljoner användare
Rhode Island stämmer Google efter senaste Google+ API leakMarriott avslöjar dataintrång påverkar 500 miljoner hotellgäster TechRepublicFirefox varnar om den webbplats du besöker drabbats av ett dataintrång CNET
Relaterade Ämnen:
Rörlighet
Säkerhet-TV
Hantering Av Data
CXO
Datacenter
0