GitHub上で不適切に公開されている秘密鍵を使ってAWSに不正アクセスする事例が発生 12
ストーリー by hylom
心当たりがある人も少なくなさそうだが 部門より
心当たりがある人も少なくなさそうだが 部門より
insiderman 曰く、
以前、GitHubで多くのユーザーが秘密鍵を公開状態にしていたことが判明という話題があったが、誤ってGitHub上で公開状態にされているAmazon Web Services（AWS）の秘密鍵を使って、不正に仮想サーバーのインスタンスを立ち上げて大量の請求を行わせたり、またユーザーの環境を操作・破壊するという攻撃が発生していることが報告されている（ITnews、slashdot）。
AWSはAPIを使って外部プログラムやスクリプトから操作が可能だが、この際に秘密鍵を使った認証を行う。逆にいうと、この秘密鍵情報が分かればユーザー名やパスワードが分からなくてもAWS上のリソースの操作が可能になってしまう。
Amazon側はこれに対し、セキュリティガイドラインに従って認証情報は注意して管理してほしいと述べている。
まだ (スコア:0)
大量の請求くらいで済んでよかったですね。
そのうち秘密鍵が売買の対象になって、その情報が犯罪(児童ポルノ配信やフィッシング、遠隔操作のC&Cサーバ)に
使われたりするのも時間の問題な気がします。
Re:まだ (スコア:1)
8xlargeみたいな凄いインスタンスをボコボコ上げられて、ビットコインの採掘をさせるというのが多いみたい。
そういう不正利用では数日で数十万円もの請求に及ぶこともあるようだが、Amazonも対応が早くて請求をすぐに撤回してくれるらしい。
Amazonはイメージダウンを恐れてか、あまり注意喚起していないようだ。
Amazonが被害状況を何も発表しないのでどれだけの影響が出てるのかわからないが、ここも含めていくつかのルートから不正利用の話が聴こえてきたので、それなりにインシデントは発生しているのではないかと思ってしまう。
利用者は毎日チェックしておかないと、気が付いたらクレジットカードの限度額を超えた請求が行われてカード事故になるかもしれない。
あまりに急な高額料金が発生しているユーザには、Amazonが請求前に確認をすることをしている可能性もあるが、利用者でも被害者でもないのでわからない。
Re: (スコア:0)
仕事で数十のインスタンス使ってますが一度に5個くらい増やしたらAmazonから確認の電話きたことありますね
それ以外でも「なにか困ったことないですか？」みたいな電話もたまにくれます
あれーいつもの注意はー? (スコア:0)
・怪しいフィンガープリントのsshサーバーに接続しない
・秘密鍵を定期的に変更する
Re: (スコア:0)
誰に何を煽ってるのか
2年位前のこと (スコア:0)
とある IDE でプロジェクトディレクトリの配下に .ide 見たいなのが出来て、
その中に設定ファイルと一緒にライセンスがプレーンテキストで格納されるってのはあったな。
# で、気になって検索したらやっぱり公開しちゃってる人いたね。
# 登録したプロジェクト単位で無償で発行されるライセンスだったから雑な管理だったのかも知れないけど
AWSの秘密鍵ってどういうファイルなんだろ (スコア:0)
SSHとかで使う時は、秘密鍵ファイル自体もパスフレーズで保護しますよね？
AWSはどういう鍵ファイルなんでしょうかね、毎回パスフレーズは聞かれないような、
ユーザフレンドリー(？)なシステムなんでしょうか。
Re:AWSの秘密鍵ってどういうファイルなんだろ (スコア:2)
OpenSSHのssh-keygenで生成できるのと同じ普通の鍵ですよ。
AWSで生成した時点ではパスフレーズはついていませんが、それをダウンロードしてパスフレーズを設定しないのはユーザの責任です。
Re: (スコア:0)
パスフレーズはない。
仮にあったとしても、サーバーアプリケーションなんだからそれも含めてGitHubにアップロードしてるでしょ。
そういう人は。
Re: (スコア:0)
SOAPに使うpem？ それがユーザフォルダに置かれてる？
なんでそんなものが置かれ、かつ公開状態になるの？
あと秘密鍵だけでなく証明書も必要だったような（これは共通なの？）
RESTなら文字列2つだけどさすがにこれが置かれてることはないよなあ。
そう言えばニフティクラウドも同じ認証（パk(ry）だから、鍵が漏れれば当然同じだな。
Re: (スコア:0)
コードいじってgitでまるごとうｐるんだろ。GitHubは非公開リポジトリ有料だから基本全部公開だよ
はい (スコア:0)
わたしです
1日で偶然発見しましたが、c3.8xlargeのインスタンスが各リージョンに渡り作られていてびっくりしました・・・
親切にも？SPOTインスタンスで起動されてましたｗ 発見が遅れたかと思うと恐ろしいです。
MiningPool (ami-8d9be78c)というAMIなので、ビットコイン採掘だと思います。