- Karl Voit geht davon aus, dass die Microsoft-Azure-Cloud faktisch gehackt wurde und wegen mangelnder Isolationsmaßnahmen nun Folgevorfälle öffentlich werden
- Als öffentlichen Fall verlinkt er einen Reuters-Bericht, dem zufolge aus 10 Konten des US-Außenministeriums 60.000 E-Mails entwendet wurden
- Die zentrale Sorge ist, dass Microsoft die Eindringlinge nicht entfernen konnte oder nicht entfernt, sodass sich Systeme, die auf Microsoft-Authentifizierung basieren, insgesamt kaum noch vertrauen lassen
- Der kontaminierte Bereich umfasst auch Windows-Authentifizierung; falls zwischen den gehackten Azure-Zertifikaten und GitHub eine interne Vertrauensbeziehung bei Microsoft besteht, sei auch GitHub betroffen
- Dies führt bis zu Unsicherheiten in Nutzungsumgebungen mit starker GitHub-Abhängigkeit wie NixOS und weitet sich auf das Problem aus, dass Nutzer in der Cloud ihre eigenen Daten nur schwer kontrollieren können
Azure-Hack und Sorge vor fehlender Isolierung
- Karl Voit beschreibt die gesamte Microsoft-Azure-Cloud als faktisch gehackt
- Die zugehörige Quellenliste habe er in seinem Beitrag You Can't Control Your Data in the Cloud zusammengestellt
- Der Kern des Problems liege weniger im Hack selbst als in der Einschätzung, dass danach keine ausreichenden Isolationsmaßnahmen erfolgt seien und deshalb nun Folgevorfälle öffentlich würden
Fall entwendeter E-Mails des US-Außenministeriums
- Als Beispiel für einen Folgevorfall nennt er einen Reuters-Bericht, wonach aus 10 Konten des US-Außenministeriums 60.000 E-Mails entwendet wurden
- Der verlinkte Reuters-Bericht handelt davon, dass chinesische Hacker über den Microsoft-Hack 60.000 E-Mails des US-Außenministeriums gestohlen haben
- Dieser Fall wird als Beleg dafür angeführt, dass nach dem Microsoft-Hack tatsächliche Schäden folgen
Misstrauen gegenüber Microsofts Authentifizierungssystem
- Voit geht davon aus, dass Microsoft die Eindringlinge nicht entfernen konnte oder nicht entfernt
- In der Folge bewertet er alles, was Microsoft authentifiziert hat, als tainted, also als kontaminiert
- Er stellt ausdrücklich klar, dass der kontaminierte Bereich auch Windows-Authentifizierung umfasst
Sorgen mit Blick auf GitHub und NixOS
- In einem Folgebeitrag schreibt er, dass GitHub ebenfalls als gehackt oder kontaminiert betrachtet werden müsse, falls zwischen den gehackten Azure-Zertifikaten und GitHub eine interne Microsoft-Vertrauensbeziehung besteht
- Auch nach der Migration einiger Hosts auf NixOS bleibe wegen der Probleme mit Microsoft und GitHub ein Unsicherheitsgefühl
- Die tiefe GitHub-Abhängigkeit, die er in seinem Erfahrungsbericht zu NixOS I Started With Nix, NixOS, Home Manager and Flakes erwähnt, habe sich als großer Nachteil dieses OS herausgestellt
Problem der Kontrolle über Cloud-Daten
- Der verlinkte Beitrag You Can't Control Your Data in the Cloud weitet die Azure- und Microsoft-Authentifizierungsprobleme auf die Frage der Kontrolle über Cloud-Daten aus
- Die Warnung im Mastodon-Beitrag zielt darauf, dass Systemen, die auf Microsoft-Authentifizierung und interne Vertrauensbeziehungen setzen, insgesamt schwer zu vertrauen ist
1 Kommentare
Meinungen auf Hacker News
Wenn man sich in Microsofts Blogbeitrag zum Vorfall die Abschnitte zu Eindämmung und Härtung ansieht, heißt es dort: Am 26. Juni habe OWA verhindert, dass Tokens, die von
GetAccessTokensForResourceausgestellt wurden, erneuert werden; am 27. Juni habe OWA die Verwendung von Tokens blockiert, die mit dem entwendeten MSA-Schlüssel signiert waren; und am 29. Juni seien der Schlüsseltausch und die Außerkraftsetzung der damals gültigen MSA-Signaturschlüssel abgeschlossen worden.Am 3. Juli sei die Nutzung dieses Schlüssels für alle betroffenen Consumer-Kunden blockiert worden, um den Missbrauch bereits ausgestellter Tokens zu verhindern.
Ich bin kein Sicherheitsexperte, aber mich würde interessieren, wo die Lücke in dieser Strategie liegt.
Wenn es unveränderliche, dauerhafte Audit-Logs gäbe, ließen sich alle Aktionen nachverfolgen, die mit Authentifizierungen durchgeführt wurden, die direkt oder indirekt mit dem geleakten Schlüssel signiert waren. Aber Audit-Logs zu bauen, die selbst Personen mit höchsten Rechten nicht manipulieren können, ist weder einfach noch billig.
Im schlimmsten Fall enthalten die Audit-Logs nur die authentifizierte Identität, aber nicht die Authentifizierungsmethode, sodass potenziell kompromittierte Zugriffe nicht leicht zu erkennen sind.
Letztlich besteht die Lücke dieser Strategie darin, dass sie persistente Backdoors nicht berücksichtigt, die während der Zeit hinzugefügt wurden, in der der geleakte Schlüssel Zugriff ermöglichte. Sie verhindert weiteren Missbrauch, aber angesichts der Art, wie der Schlüssel entwendet wurde, ist es nahezu unmöglich festzustellen, wie viele sekundäre Zugriffswege ein sehr raffinierter Angreifer eingerichtet hat.
Dieses Problem scheint auf Azure und Microsoft beschränkt zu sein; AWS und GCP halte ich für in Ordnung.
Microsoft hat mit die schlimmsten Sicherheitslücken und -praktiken, die ich je gesehen habe. Ich kann überhaupt nicht nachvollziehen, wie Führungskräfte von Fortune-500-Unternehmen Workloads nach Azure verlagern können.
In manchen Bereichen ist Azures einziges Verkaufsargument, dass Amazon ein Wettbewerber ist. Ich wünschte, Amazon würde AWS einfach unabhängig machen.
Ich hoffe, dass Microsoft seine Sicherheit verbessert, aber an diesem Punkt wirkt das fast aussichtslos.
Sobald Unternehmen im Azure-Dashboard gelandet sind, ist die Struktur so, dass sie auch die dort angebotenen, gut aussehenden Dienste einmal ausprobieren.
Das wirkt alles wie Blendwerk, aber es funktioniert.
Wenn eine Organisation AWS also nicht ohnehin schon als Anbieter registriert hat, ist es meist einfacher, den bestehenden Anbieter durchzusetzen.
Ich selbst betrieb einen Windows-2000-Pro-Webserver und wechselte wegen mangelnder Sicherheit zu Linux.
Microsoft mag beliebt sein, aber in Sachen Sicherheit hat es große Löcher – und das war schon immer so.
Dienste werden häufig kompromittiert, egal ob in der Cloud oder kundenseitig verwaltet. Microsoft hat ein reifes, professionelles und effektives Sicherheitsteam.
Die Kompromittierung geschah wegen Implementierungsfehlern und, meiner persönlichen Vermutung nach, wegen eines oder mehrerer korrupter Insider.
Die meisten Organisationen hätten wahrscheinlich gar nicht gewusst, was überhaupt passiert ist, und hätten die veröffentlichten Details wohl auch nicht erkannt.
Im Nachhinein sieht immer alles einfach aus.
Das ist viel zu übertrieben formuliert. Es war sicherlich ein schlimmer Einbruch, und möglicherweise ist das Ausmaß noch nicht vollständig verstanden. Aber der Kern bei „sie hätten überall Backdoors und selbst erstellte Schlüssel platzieren können“ ist hätten können, also „soweit ich weiß, ist es theoretisch möglich“ – nicht, dass sie es tatsächlich getan haben.
Auch die Schlussfolgerung „Alles von Microsoft wurde gehackt, und sie können oder wollen die Eindringlinge nicht entfernen. Alles, was Microsoft zertifiziert hat, ist kontaminiert, sogar Windows-Zertifizierungen“ ist drastisch.
Microsofts Reaktion scheint klar zu sagen, dass die Schlüssel ausgetauscht und in einen sichereren Speicher verschoben wurden. Sie sagen nicht, dass sie den Angreifer entfernt haben, aber sie sagen auch nicht, dass der Angriff noch läuft. Es bedeutet auch nicht, dass jede Authentifizierung für immer kaputt ist.
Die gezogene Schlussfolgerung wirkt extrem.
https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
Und trotzdem soll man glauben, dass er bei prominenten Zielen keine persistenten Backdoors hinterlassen hat?
Die hier gezogene Schlussfolgerung ist völlig stichhaltig. Für gewöhnliche Public-Cloud-Kunden mag diese Behauptung vielleicht noch plausibel sein, weil Backdoors nach dem Gießkannenprinzip nur das Entdeckungsrisiko erhöhen.
Aber Großunternehmen und Regierungsnutzer müssen von einer Kompromittierung ausgehen; alles andere wäre kaum glaubhaft naiv.
Hinweis:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
Microsoft schreibt selbst, dass Storm-0558 über ein hohes Maß an technischen Operationsfähigkeiten und operativer Sicherheit verfügt und die Zielumgebungen, Logging-Richtlinien, Authentifizierungsanforderungen sowie Policies und Verfahren gut kennt.
Wenn man eine Zero-Day-Schwachstelle findet, ignoriert man den Patch ja auch nicht mit der Begründung „wahrscheinlich hat sie sonst niemand“.
Dieser Vorfall wurde viel zu wenig berichtet, und die möglichen Auswirkungen könnten enorm sein. Mein Ärger über Microsoft ist folgender: Der Schlüssel ist 2021 abgeflossen und signierte 2023 immer noch Authentifizierungs-Token, während es unter den Azure-Diensten praktisch keinen gibt, bei dem Nutzer Zugangsdaten mit zwei Jahren Laufzeit hinterlegen können.
Ein klassischer Fall von „Tu, was ich sage, nicht was ich tue“.
app registration secretserstellen, die bis zu zwei Jahre gültig sind. Bis vor Kurzem konnte man sogar faktisch unbefristete Secrets erstellen.Das wirkt übertrieben und alarmistisch. Ich glaube nicht, dass die Quellen das im Text behauptete Ausmaß der Kompromittierung belegen, also „ganz Microsoft“
Eher sieht es nach einem vorübergehenden Key-Leak aus, der anschließend behoben wurde
Dazu gibt es auch Folgendes:
https://infosec.exchange/@briankrebs/110820474957163710
Falls das stimmt, wäre es ziemlich verheerend
[1]: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
[2]: https://www.wiz.io/blog/storm-0558-compromised-microsoft-key...
https://karl-voit.at/cloud/
In der langen Liste steht auch, dass es im August 2023 bei Azure ein Problem mit „unbefugtem Zugriff auf mandantenübergreifende Anwendungen und sensible Daten, einschließlich Authentifizierungsgeheimnissen“ gab, dass Microsoft es über Monate nicht beheben konnte und dass es am 03.08.2023 weiterhin eine öffentliche Schwachstelle in Azure war
Beim Vorfall im Juli 2023 konnten Kunden Eindringlinge mit den Standard-Logs demnach nicht einmal erkennen; für den Zugriff auf die entsprechenden Logdateien hätten sie zusätzlich bezahlen müssen
Microsoft habe nicht mitgeteilt, welche Dienste betroffen waren und welche nicht, und die Zusammenfassung lautet sinngemäß, dass man davon ausgehen müsse, dass alle Microsoft-Cloud-Dienste potenziell kompromittiert waren
Außerdem heißt es dort, dass Sicherheitsexperten wie Mike Kuketz der Ansicht seien, alle Microsoft-Systeme, die Cloud-Authentifizierung verwenden, bis hin zu Windows-Hosts, müssten als kompromittiert betrachtet werden
Der Microsoft-Beitrag im selben Link sagt ebenfalls:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
„Aktivitäten nach der Kompromittierung: Unsere Telemetrie und Untersuchung zeigen, dass sich die Aktivitäten nach der Kompromittierung auf den Zugriff auf E-Mails und deren Exfiltration bei den Zielnutzern beschränkten“
Also eben nicht „ganz Microsoft“. Das ist ein typischer Clickbait-Titel, nur dass diesmal ein Mastodon-Beitrag Aufmerksamkeit erzeugt hat
Diese Plattform ist auch nicht viel anders als Twitter
In ein paar Jahren werden On-Premises-Hardware und schlichtes Server-Hosting vermutlich wieder in Mode kommen
Als alles lokal und privat war, war die Sicherheit zwar oft schwach, aber Angreifer konnten nur auf bestimmte Geräte oder Netzwerke zugreifen
Heute ist die Beute bei einem Angriff auf eine zentrale Organisation so groß, dass es sich für Angreifer lohnt, deutlich mehr Ressourcen einzusetzen
Alle ein bis zwei Monate musste man auf irgendeine neue, idiotische Environment-Version migrieren, DNS-Einträge anfassen, weil die App keine E-Mails versenden konnte, das miserable IAM eines Cloud-Anbieters konfigurieren, das man gar nicht brauchte, und die App für den Datenbankzugriff registrieren
Heute gibt es Apps, die 15 Minuten Wartung pro Jahr sowie 5 Minuten für Installation und Konfiguration benötigen
Manche Cloud-Anbieter haben beeindruckende Funktionen, aber alles fühlt sich zunehmend aufgebläht an, und für meinen Use Case brauche ich keinen ganzen Cluster
Ich habe auch von mehreren Projekten gehört, die mehr europäische Cloud-Dienste aufbauen wollen
Falls es passiert, dann wahrscheinlich in Form von Containern oder einem Kata-Containers-Orchestrator auf On-Premises-Hardware
Außerdem brauchen große Organisationen auch bei On-Premises bereitgestellter Software weiterhin Single Sign-on und können für diese Art von Angriffen weiterhin anfällig bleiben
Das ist wirklich gravierend. Dank dieses Beitrags lese ich mich jetzt erst richtig ein, und ich verstehe nicht, wie das so sehr unter dem Radar bleiben konnte
Auch die Firma, in der ich arbeite, hat kürzlich die Authentifizierung für interne Apps und Dienste komplett über Azure vereinheitlicht. Rückblickend wirkt das wie ein Fehler, aber vielleicht reagiere ich auch zu empfindlich
Kurz vor diesem Vorfall gab es auch schon einen „Zwischenfall“, bei dem jeder bestimmte Bing-Suchergebnisse verändern konnte, vermutlich auch andere Dienste
Dadurch war Zugriff auf alle Daten möglich, die der Browser mit Bing teilt, einschließlich aller Zugriffsschlüssel für MS-Konten der Nutzer, die Bing für diese bestimmte Suche verwendeten
Die Auswirkungen sind unbekannt, weil Microsoft sie nicht offengelegt hat. Warum, kann sich jeder selbst ausmalen
Der Beitrag ist hervorragend und beängstigend, und er scheint nur wahre und überprüfbare Informationen zu enthalten, aber ich weiß nicht so recht, was man erwarten soll.
„Normale“ Menschen lesen das weder, noch verstehen sie es, noch können sie die Auswirkungen einschätzen. Es ist zu komplex geworden. Gesellschaftlich kann man die genannten Dienste auch nicht einfach nicht mehr nutzen.
Vielleicht wäre es sinnvoller, stattdessen Folgendes zu vermitteln: Es gibt keine Privatsphäre, sie kann nicht garantiert werden und niemand hat einen Anreiz, sie irgendjemandem zu garantieren; es gibt keine Sicherheit, und jede Sicherheit wurde bereits kompromittiert, ist darauf ausgelegt, kompromittiert zu werden, oder wird künftig kompromittiert werden; alle digitalen Informationen sind bereits öffentlich oder werden eines Tages öffentlich sein.
Man braucht keine zehn Jahre IT-Erfahrung, um zu verstehen, dass „Microsoft seinen Kunden ermöglicht hat, mit dem eigenen Hausschlüssel die Bürosafes aller anderen zu öffnen, das zwei Jahre lang verheimlicht hat und immer noch keinen Plan hat, es zu beheben“.
McNeally lag schlicht falsch. Aber Verzweiflung ist einfacher als Reparieren, deshalb haben sich viele für Verzweiflung entschieden, und die Beliebtheit von Cloud und SaaS ist das Ergebnis davon.
Das ist kein vorbestimmtes Schicksal; man muss Menschen, denen man tatsächlich nicht vertraut, einfach nicht vertrauen.
Selbst wenn man dafür den gefürchteten Regulierungshammer einsetzen muss.
Menschen können weiterhin garantierte Privatsphäre haben. Zum Beispiel, wenn man ohne Geräte in den Wald geht.
Der Anreiz, die Privatsphäre anderer zu garantieren, kann in rechtlichen Mechanismen bestehen, die bei Versagen Strafen vorsehen.
Absolute Sicherheit gibt es nicht, aber Sicherheit gegenüber einem bestimmten Bedrohungsmodell schon.
Warum Daten, die auf einem nicht mit dem Netzwerk verbundenen Gerät gespeichert sind, zwangsläufig öffentlich werden müssen, ist ebenfalls schwer nachvollziehbar.
Abgesehen von der Formulierung „normale“ Menschen sehe ich keinen Grund, warum man ohne nicht einmal konkret genannte Dienste nicht auskommen oder nicht auf datenschutzfreundlichere Alternativen wechseln könnte.
Die sinnvollere Lehre wäre, dass Privatsphäre für eine funktionierende Gesellschaft und Wirtschaft wesentlich ist. Wer etwas anderes sagt, glaubt, kurzfristig Geld verdienen zu können, indem er die Informationsasymmetrie zwischen Ihnen und sich selbst ausnutzt.
Ich respektiere Scott, aber diese Aussage war kein guter Moment. Wenn man denselben Satz in „Es gibt kein Eigentum, es kann nicht garantiert werden, und niemand hat einen Anreiz, es zu garantieren“ umformuliert, kann er ebenfalls völlig wahr klingen; tatsächlich haben wir aber Wege geschaffen, Eigentum zu garantieren, nämlich Recht und einen Staat, der es durchsetzt. Dieses bewährte Konzept lässt sich auch auf Privatsphäre anwenden.
Jedes Schloss kann geöffnet werden, aber nicht jeder kann Schlösser knacken, deshalb schließen wir unsere Türen weiterhin ab.
Ich bezweifle auch, dass die führenden Beratungsfirmen davon ausgehen, dass alle digitalen Informationen öffentlich werden. Solche Firmen, wie sie in Mazzucato und Collingtons „The Big Con“ vorkommen, mögen diese Prämisse verkaufen, aber sie arbeiten nicht tatsächlich so.
Wenn McKinsey zum Beispiel gewusst hätte, dass seine Beratung für Purdue Pharma öffentlich werden würde, hätten sie nicht so viel verloren.
Kurz gesagt: Wer sagt, Privatsphäre sei nicht wichtig, sagt in Wahrheit, dass Ihre Privatsphäre nicht wichtig sei, und überschätzt die eigene Fähigkeit, im Informationsasymmetrie-Spiel vorn zu bleiben und selbst privat zu bleiben. Dass Google in einem öffentlichen Kartellverfahren darum bemüht ist, eigene Informationen geheim zu halten, zeigt das auf ironische Weise.
Online gibt es keine Privatsphäre, und Anbieter haben einen Anreiz, ihre Nutzer zu verkaufen. Deshalb sollte man sich schützen, indem man nur eine oberflächliche Online-Präsenz pflegt.
Als normaler Nutzer sollte man vor allem in sozialen Medien so wenig Informationen wie möglich posten. Wenn eine Online-Präsenz nötig ist, sollte man die Risiken bewerten und Zeit und Geld in ihre Minderung investieren. Wenn sich bei diesen Minderungsmaßnahmen kein positiver Return on Investment zeigt, ist die Wahrscheinlichkeit groß, dass einem nur eingeredet wurde, man brauche eine Online-Präsenz.
Absolute Sicherheit gibt es nicht. Jede Abwehrmaßnahme kann umgangen werden, aber sie wird nicht zwangsläufig umgangen. Man sollte so viele Risiken wie möglich bewerten und nur die mindern, bei denen ein positiver Return on Investment zu erwarten ist. Risiken, die man nicht mindert, akzeptiert man; Risiken, die man nicht tragen kann, sollte man gar nicht erst übernehmen, indem man die Nutzung des Systems ablehnt.
Selbst wenn man keinerlei Risikomanagement betreibt, gibt es ein Grundniveau an Sicherheit, weil ein Teil der kriminell veranlagten Bevölkerung Kosten und Nutzen abwägt. Je öfter zynische Insider sagen, es gebe keine Sicherheit, desto näher rückt diese Basislinie an null, und desto verwundbarer wird die Allgemeinheit.
Je niedriger die Basislinie wird, desto mehr Zeit und Geld muss der Einzelne selbst investieren, um ein erträgliches Sicherheitsniveau zu erreichen. Zynismus kostet uns etwas; es geht also darum, nicht in das Mühlrad des Dorfes zu pinkeln oder zu scheißen, nur weil es cool wirkt.
Derzeit sind digitale Informationen bereits öffentlich oder können eines Tages öffentlich werden. Aber man kann Technologien wählen, die diesen Zeitpunkt weiter in die Zukunft verschieben, und bei Informationen, die noch nicht digitalisiert sind, bewusst entscheiden, ob der Komfort das Risiko wert ist.
„Sicherheitsexperten wie Mike Kuketz sind der Ansicht, dass alle Microsoft-Systeme, die Cloud-Authentifizierung nutzen, sogar Windows-Hosts, als kompromittiert betrachtet werden müssen“ ist eine enorme Behauptung.
Es scheint theoretisch möglich, dass ein gestohlener Signaturschlüssel als Teil eines größeren Angriffs genutzt wurde, um auf Kerndienste wie Windows Update oder die Azure-Steuerungsebene zuzugreifen.
Aber wenn es eine solche systematische Kompromittierung gegeben hätte, hätte das doch wohl jemand bemerkt.
Microsofts eigene Erklärung zeigt das deutlich besser als der Artikel und der Blog: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
Außerdem hat Microsoft das Problem, entgegen der hier aufgestellten Behauptung, nach Bekanntwerden behoben: https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
Und diese Leute hatten bereits Engineering-Konten gehackt. Die Wahrscheinlichkeit, dass sie nur ein einziges Engineering-Konto gehackt und dabei zufällig diesen Schlüssel gefunden haben, ist sehr gering; daher ist es plausibel anzunehmen, dass bereits mehrere Microsoft-Engineering-Konten kompromittiert waren.
Im Grunde sind MS-Konten nicht sicher