Держите окна закрытыми
Некий разработчик под ником GrayhatWarfare создал сервис buckets.grayhatwarfare.com,позволяющий всем желающим искать незащищенные ресурсы (buckets) внутриоблачного сервиса Amazon S3 и просматривать их содержимое. Напомним, Amazon S3 являетсячастью платформы Amazon Web Systems; им пользуются Twitter, Netflix, Dropbox,Airbnb и др.
Появившийся сервис — не первый в своем роде. Существует,например аналогичный поисковик по устройствам интернета вещей — Shodan. Однако,как отметил GrayhatWarfare, ограничения, установленные авторами другихпоисковиков, делают их использование малопрактичным — в одних слишкомограниченная выборка, другие слишком медленно работают.
Сервис buckets.grayhatwarfare.com на данный момент выдает доодного миллиона файлов на каждый «бакет». В общей сложности проиндексированы 70тыс. «бакетов» и 180 млн файлов, проходящих по критерию «интересности».Пользователь поисковика может увидеть их все. Поиск производится по ключевымсловам, процесс практически полностью автоматизирован.
Сервис buckets.grayhatwarfare.com бесплатный, но есть односущественное ограничение: файлы с расширениями jpg, png, git, tiff, jpeg, ico,css, scss и svg не будут выводиться в результатах поиска: они, с точки зренияразработчика, «не интересны».
Демонстрация возможностей
«Хотя я считаю себя разработчиком ПО, меня всегда занималвопрос безопасности, — написал автор сервиса, поясняя, зачем он создалпоисковик по S3. — Я неоднократно создавал инструменты для массовогосканирования уязвимостей, просто чтобы посмотреть, насколько это работает.Впрочем, я никогда не публиковал ничего из этих разработок, считая, что этобудет простой тратой времени. [Мой ресурс] grayhatwarfare.com — это попыткапоказать часть своей работы, пусть и анонимным порядком».
«На протяжении последних нескольких лет незащищенные ресурсыAmazon S3 неоднократно становились источником грандиозных утечек данных —отмечает Роман Гинятуллин, экспертпо информационной безопасности компании SEC Consult Services. — В большинствеслучаев такие ресурсы остаются открытыми исключительно из-за недосмотрасистемных администраторов. Этот поисковик, как и Shodan, например, повышаетриски новых утечек, но, по крайней мере, может заставить администраторов внимательнееотноситься к вопросу защиты своих ресурсов».