Microsoft-ը սահմանափակել է Titan-ի API-ի հասանելիությունը՝ մուտքի ստուգման խոցելիության մասին հաղորդումից հետո

Ըստ The Register-ի սեպտեմբերի 30-ի հրապարակման՝ Microsoft-ը սահմանափակել է իր ներքին Titan վերլուծական ծառայության API-ի հասանելիությունն այն բանից հետո, երբ հետազոտողը հայտնել է, որ առանց վավեր մուտքային տվյալների ստացել է ադմինիստրատորի իրավունքներ և տվյալների բազաներին հարցումներ կատարել։ Խոցելիությունը կարող էր հասանելի դարձնել աշխատակիցների տեղեկատուի տվյալներն ու միացված վերլուծական տվյալները։

Titan-ի վեբ միջերեսից կարող են օգտվել միայն Microsoft-ի աշխատակիցները։ Սակայն հետազոտող Faav-ի խոսքով՝ նա Azure Cloud Services-ի հոսթի միջոցով հասանելիություն է ստացել ծառայության կիրառական ծրագրավորման միջերեսին՝ API-ին։ Դա այն միջերեսն է, որով ծրագրերը հաղորդակցվում են ծառայության հետ։

Ինքնության բացակայող ստուգումը

Ըստ Faav-ի՝ Titan-ը ստուգում էր JSON Web Token-ի՝ JWT-ի ներսում եղած ինքնության և հավելվածի տվյալները, բայց չէր ստուգում դրա թվային ստորագրությունը։ Մուտքի թոքենը պարունակում է պնդումներ օգտատիրոջ ինքնության մասին։ Ստորագրության ստուգմամբ պարզվում է՝ արդյոք այդ պնդումները ստացվել են վստահելի թողարկողից և չեն փոփոխվել։ Միայն բովանդակության ստուգումն այդ վստահելիությունը չի հաստատում։

Faav-ի խոսքով՝ Titan-ն ընդունել է անստորագիր թոքենը, դրանում նշված ինքնությունը համապատասխանեցրել ադմինիստրատորի դեր ունեցող տեղային հաշվին և թույլ տվել նրան SQL հարցումներ կատարել։ Դրանք հրամաններ են, որոնցով տվյալների բազայից տեղեկություններ են ստանում կամ աշխատում դրանց հետ։ Այդպիսով նա հասանելիություն է ստացել Titan հարթակի մետատվյալների բազային, որը նկարագրում է ծառայության հաշիվները, տվյալների հավաքածուներն ու տվյալների բազաների կապերը, և կարողացել է անմիջապես հարցումներ կատարել հավելվածների աղյուսակներին։

Ինչին է նա հասանելիություն ստացել, և ինչ է նշանակում հսկայական գնահատականը

Հաղորդման համաձայն՝ մետատվյալները ներառում էին աշխատակիցների էլեկտրոնային հասցեների 17 990 գրառում և աշխատակիցների կազմակերպական տվյալների 15 001 գրառում։ Titan-ի տեղեկատուն նաև հասանելի էր դարձնում պաշտոնները, ստորաբաժանումներն ու ղեկավարության հիերարխիան։ Faav-ն ասել է, որ այս տեղեկությունները կարող էին օգնել սոցիալական ինժեներիայի հարձակումներին, որոնց դեպքում մարդկանց մանիպուլացնելու համար խաբեություն են կիրառում։ Սակայն նա հստակ նշել է, որ այդպիսի կիրառություն չի փորձարկել կամ ցուցադրել։

Նրա հաղորդած փորձարկումները ներառել են Bing-ի վերլուծական տվյալների նմուշի երկու տող, որոնք պարունակում էին որոնման տեղեկություններ, նույնացուցիչներ և երկրի կամ նահանգի մակարդակով տեղադրության տվյալներ։ Faav-ի խոսքով՝ տեղադրության այդ արժեքները չէին բացահայտում օգտատերերի ճշգրիտ տեղադրությունները։

Շատ ավելի մեծ թիվը՝ մոտ 17,3 տրիլիոն տողը, մետատվյալներից հաշվարկված՝ պահվող տվյալների ծավալի գնահատական էր։ Faav-ը հայտնել է, որ հայտնաբերել է կապեր 17 վերլուծական տվյալների բազաների հետ, որոնք ընդհանուր առմամբ ընդգրկում էին 9 863 եզակի աղյուսակի անուն։ Նրա խոսքով՝ գնահատված ընդհանուր ծավալը հավանաբար ներառում էր պատմական, կրկնվող և ածանցյալ տվյալներ։ Դա գողացված կամ առանձին հարցումներով ստացված գրառումների թիվը չէր։

Microsoft-ի արձագանքը

The Register-ի հաղորդմամբ՝ սեպտեմբերի 6-ից 8-ն ընկած ժամանակահատվածում Microsoft-ը Faav-ին խնդրել է դադարեցնել փորձարկումները, ապա սահմանափակել է API-ի հասանելիության կետը։ Microsoft-ը նրան հայտնել է, որ իր հաղորդումը հանգեցրել է «անհապաղ ուսումնասիրության և շտկման աշխատանքների՝ դեռևս հասանելի մնացած տվյալների պաշտպանությունն ապահովելու համար»։ Սեպտեմբերի 17-ին ընկերությունը նրան 5 000 դոլարի պարգևավճար է շնորհել խոցելիությունը հայտնաբերելու համար։

Faav-ի բլոգի համար տրամադրված հայտարարության մեջ Microsoft-ն արժևորել է նրա ներկայացրած հաղորդումն ու խոցելիության համաձայնեցված բացահայտումը՝ նշելով, որ դրանք օգնել են ընկերությանն ամրապնդել իր ծառայությունների պաշտպանությունը։ Հաղորդված պաշտպանական քայլը API-ի այն հասանելիության կետի սահմանափակումն էր, որի միջոցով նա մուտք էր ստացել։