Jak 16-latek zdobył dostęp do 17 bilionów rekordów Microsoftu?
Jak 16-latek zdobył dostęp do 17 bilionów rekordów Microsoftu?
Bezpieczeństwo danych stało się tematem numer jeden po tym, jak 16-letni badacz odkrył lukę w systemie Microsoftu. Udało mu się uzyskać dostęp do 17 bilionów rekordów z baz danych, co wzbudza alarm wśród ekspertów IT.
Wszystko zaczęło się od znalezienia usługi, która wymagała logowania. Badacz, korzystając z archiwalnych wersji strony, natrafił na funkcję API /v2/Query. Kluczowym problemem była metoda uwierzytelnienia, która polegała na użyciu tokena JWT.
Co się okazało? Wystarczyło usunąć podpis z tokena JWT, aby zapytanie HTTP zostało zaakceptowane. Dzięki temu badacz uzyskał dostęp do 17 333 335 124 315 wierszy, chociaż przyznał, że nie pobierał całości. W większości chodziło o dane analityczne, w tym informacje dotyczące wyszukiwarki Bing.
Wnioski z tego incydentu są jasne:
- Wymagana jest lepsza weryfikacja tokenów JWT.
- Firmy powinny regularnie audytować swoje systemy zabezpieczeń.
- Wzrost świadomości o zagrożeniach związanych z bezpieczeństwem danych.
Na podstawie: Źródła
