Buonanotte al secchio. Nel senso di bucket Amazon scrivibili da chiunque



[ZEUS News - www.zeusnews.it - 04-05-2018]

friendly warning

Avete presente quando si dice che la parola "cloud" andrebbe sostituita mentalmente con "il computer di qualcun altro"? Da oggi bisognerebbe forse usare un'altra frase: "il computer di qualcun altro, aperto a tutti e pure scrivibile da chiunque, sul quale qualcuno lascia messaggi per avvisarti del disastro imminente".

È quello che stanno scoprendo amaramente le tante aziende e organizzazioni governative che usano i servizi cloud di Amazon, i cosiddetti Amazon Web Services, per mettervi i propri dati. È un sistema potente e flessibile, ma bisogna saperlo usare.

A quanto pare molti responsabili informatici non hanno studiato come si usa, perché hanno impostato questi servizi, denominati in gergo bucket (secchio), in modo che possano essere letti da chiunque. E in alcuni casi anche scritti dal primo che passa.

Non è colpa di Amazon, ma dei suoi clienti incompetenti. Clienti con nomi come Uber, Dow Jones, FedEx e persino il Pentagono, che hanno lasciato bene in vista i propri dati in questo modo, come raccontano WeLiveSecurity e la BBC. Secondo i dati della società di sicurezza francese HTTPCS, 1 bucket su 50 non è protetto contro la scrittura. L'articolo continua qui sotto.

Sondaggio
Quali di questi dati ti spiacerebbe perdere di più?
Dati finanziari e di pagamento
Documenti relativi al lavoro
Email personali
Email di lavoro
Messaggi personali (SMS, Whatsapp ecc.)
Foto dei miei bambini
Foto dei viaggi
Foto private o particolari o sensibili di me stesso
Foto private o particolari o sensibili del mio partner
Altre foto (non sensibili)
Note e documenti personali
Password
Rubrica degli indirizzi o dei contatti telefonici
Scansioni di passaporti, patenti, assicurazioni e altri documenti personali

Mostra i risultati (1654 voti)
Leggi i commenti (30)
Mi è stato segnalato, per esempio, un noto canale satellitare europeo che ha la guida TV su Amazon Web Services scrivibile da chiunque. Far comparire qualcos'altro al posto delle immagini di Peppa Pig sarebbe un gioco da ragazzi.
peppa3

Gli hacker buoni hanno fatto il possibile, lasciando messaggi di avvertimento nei bucket vulnerabili, ma in molti casi sono rimasti inascoltati. Alcuni esperti di sicurezza hanno contattato le organizzazioni maldestre per avvisarle, ma non sempre sono stati capiti e in alcuni casi rischiano anche ritorsioni legali (che è come rischiare una denuncia perché hai guardato in casa di qualcuno attraverso la finestra, hai visto che c'era un incendio e hai avvisato il proprietario).

Altri hanno preferito creare siti Web come Buckhacker (attualmente offline), che è una sorta di Google per i bucket aperti, in modo da portare il problema all'attenzione dei media.

Il guaio di queste vulnerabilità è che i dati messi a disposizione di chiunque sono spesso i nostri e sono un bersaglio ghiotto e facile per qualunque criminale. Immaginate qualcuno che cancella tutti i dati di un'azienda o di un'agenzia governativa, oppure li blocca con una password che verrà fornita solo in cambio di un riscatto.

Se la vostra organizzazione usa gli Amazon Web Services, date un'occhiata alle impostazioni. Amazon ha allestito uno strumento apposito che facilita questo controllo.

Fonte aggiuntiva: Bitdefender.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
 

Paolo Attivissimo

(C) by Paolo Attivissimo - www.attivissimo.net.
Distribuzione libera, purché sia inclusa la presente dicitura.

Commenti all'articolo (4)

Mai usato AWS neppure io ma, se così fosse, sarebbe decisamente una cosa grave e poco comprensibile dal momento che si vengono a determinare problemi di sicurezza decisamente importanti.
5-5-2018 15:16

Magari mi sbaglio, ma se anche aziende importanti si sono ritrovate senza protezioni, forse qualche responsabilita' ce l'ha pure AWS. Nel senso che, probabilmente, i servizi vengono attivati di default in modalita' "tutti possono scrivere" e i diritti sono poco comprensibili. Si tratta solo di supposizioni. Mai usato AWS
4-5-2018 17:54

{rimbaudo}
Hai detto bene che il cloud è il computer di qualcun'altro, ma da quello che vedo e sento, questo non importa molto alla gente: tutti sono incollati ai vantaggi immediati e individuali, per riuscire a cogliere gli svantaggi sociali a medio e lungo termine. Per quanto riguarda i clienti incapaci, direi che forse, trattandosi... Leggi tutto
3-5-2018 16:33

To cloud or not to cloud? La seconda che hai detto.
3-5-2018 11:44

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Quale di queste professioni obsolete secondo te ha ancora un futuro?
Agente di viaggio. C'è ancora qualcuno che prenota le vacanze in agenzia? (Parrebbe di sì)
Cassiera di supermercato. Sostituita dalle casse automatiche e dalla spesa online. (Ma i clienti rimangono affezionati al vecchio sistema)
Centralinista. Sostituito dai centralini digitali. (Eppure resiste in molte aziende)
Data entry. Mai sentito parlare di scanner e OCR? (Invece c'è chi inserisce ancora tutto a mano)
Dattilografo. I dirigenti moderni gestiscono il proprio blog, non dettano più gli appunti a una segretaria; al massimo usano il riconoscimento vocale. (Ma esistono davvero dirigenti... moderni?)
Impiegato di banca allo sportello. Con i conti online è una figura sempre meno utile. (Però in banca tutti lo cercano)
Giornalista. Con Google News, Facebook, Twitter e i blog, c'è ancora bisogno di loro? (Almeno dei migliori, evidentemente sì)
Postino. Con la posta elettronica, la posta tradizionale va diminuendo sempre più. (Ma ci vuole sempre qualcuno che la consegni)

Mostra i risultati (2650 voti)
Settembre 2022
La strana storia dell'utente HME2 di Arpanet
LibreOffice diventa a pagamento
2022, fuga dall'open source
Dati a spasso nel cloud
Di chi sono i tuoi dati quando muori?
Smartphone, l'UE vuole pezzi di ricambio disponibili per almeno 5 anni
Ex designer di Microsoft demolisce il menu Start di Windows 11
Auto Hyundai “hackerata”
Agosto 2022
Genitori indagati dopo aver mandato foto dei figli ai medici
DuckDuckGo, la protezione delle email è per tutti
Il computer portatile economico che fa a meno del monitor
Microsoft avvisa: attenzione all'aggiornamento KB501270
WhatsApp, arriva il blocco degli screenshot
Le chiavi dell'auto? Al sicuro nel microonde
Intel, 5 miliardi per costruire uno stabilimento in Italia
Tutti gli Arretrati
Accadde oggi - 27 settembre


web metrics