Flagello · 29 luglio 2019

Il flagello della nuvola mal configurata

Cronaca

Il 29 luglio 2019 Capital One annunciò che un'ex ingegnera di AWS aveva sfruttato un web application firewall mal configurato per rubare i dati di circa 106 milioni di clienti e richiedenti negli Stati Uniti e in Canada. Il trucco era una SSRF: il firewall veniva convinto a interrogare il servizio di metadati del cloud e a consegnare credenziali temporanee. A far scattare l'allarme fu un utente di GitHub, che il 17 luglio scrisse alla banca dopo aver visto i dati pubblicati. L'autrice fu condannata nel 2022.

Lezione appresa

Fece conoscere a tutti il rischio delle SSRF verso i metadati del cloud, e spinse AWS a introdurre IMDSv2, che richiede un token di sessione.

Preghiera di riparazione

O 169.254.169.254, indirizzo segreto di ogni nuvola, rispondi solo a chi ha il token giusto e mai a un firewall convinto con l'inganno. Amen.

Come si ricorda

Si ricorda imponendo IMDSv2, dando ai ruoli cloud solo i permessi strettamente necessari e leggendo davvero le segnalazioni che arrivano da fuori.