Amazon lekt door fout informatie over 31.000 GoDaddy-servers
Een medewerker van Amazon heeft door een fout informatie over 31.000 servers van hostingbedrijf GoDaddy gelekt, alsmede allerlei financiële en bedrijfsgegevens. De gegevens werden door een onderzoeker van securitybedrijf UpGuard gevonden op een onbeveiligde Amazon S3-bucket.
Dit is de cloudopslagdienst van Amazon waar organisaties allerlei gegevens kunnen opslaan. De S3-bucket bleek allerlei informatie over GoDaddy-servers te bevatten, zoals hostnames, besturingssysteem, doel, geheugen, processor en meer. Ook werden er spreadsheets aangetroffen met prijzen en kortingen die het bedrijf van Amazon had gekregen. UpGuard waarschuwde GoDaddy over datalek, maar het duurde meer dan vijf weken voordat de data beveiligd was.
Standaard staan S3-buckets zo ingesteld dat ze niet voor onbevoegden toegankelijk zijn. "Echter, door misverstanden of misconfiguraties worden deze instellingen veranderd zodat publieke toegang wordt toegestaan. Dit houdt in dat iedereen die de url van de opslagbucket bezoekt anoniem de inhoud kan bekijken, zonder dat er een wachtwoord is vereist", aldus het securitybedrijf. Amazon laat in een reactie tegenover Engadget weten dat een Amazon-verkoopmedewerker de S3-bucket had aangemaakt en bij deze bucket niet de best practices had gevolgd.
Zouden ze dan nu eindelijk eens wat doen aan deze onveilige optie waar andere bedrijven ook al data mee hebben gelekt?
Zeker gezien alle problemen met s3 buckets die er de afgelopen jaren zijn geweest zou dit zeker geen overbodige luxe zijn.
Zeker gezien alle problemen met s3 buckets die er de afgelopen jaren zijn geweest zou dit zeker geen overbodige luxe zijn.
Het wordt tijd dat ook gratis software boys eens flink worden aangepakt.
Of dat je er een bulk static data in kan gooien en die via cloudfront (CDN) wereldwijd "lokaal" (en dus snel) kan aanbieden,
Prima legitieme functies dus.
En die banner krijg je inderdaad te zien als je het via de webinterface doet.
Maar via de API kan je een simpele flag meegeven die altijd ja antwoord op de vragen die langskomen.
(anders gaan alle scripts stuk)
Dus even nadenken voordat je schreeuwt hoe dom het is dat iets werkt zoals het bedoeld is, en dat het ook nog eens doet wat jij denkt dat het niet doet...
Mensen doen de meest simpele dingen verkeerd als ze op het verkeerde moment afgeleid worden, denk maar aan al die e-mails waar Cc in plaats van Bcc is gebruikt. Het probleem daarbij is niet dat mensen laks zijn of niet doorhebben wat de juiste optie is, het probleem is dat mensen hun eigen en elkaars kunnen beoordelen vanuit de gedachte dat ze ongestoord iets kunnen doen en bijzonder slecht in de gaten hebben hoe makkelijk de meest onbenullige dingen mis gaan als die concentratie op het verkeerde moment wordt verstoord.
Als best practices, maar ook bijvoorbeeld user interfaces, daar geen rekening mee houden dan kan je er gif op innemen dat het ook bij goede mensen af en toe misgaat. Dat gebeurt dan ook volop. Ik weet niet of dat hier ook het probleem is, maar het kan heel goed.
https://en.wikipedia.org/wiki/Ping_of_death
en zoals je dan kunt lezen was ICMP slechts het vehicle en kon je net zo hard die machines nog steeds over de zeik krijgen met een ander protocol, maar ja best practices en ping foei nou toch zeg!
https://web.archive.org/web/19981206105844/http://www.sophist.demon.co.uk/ping/
(btw ik denk dat het destijds vooral voor windows een probleem 'bleef' ivm update dingetjes enzo en dat daarom die beheerder maar vast bleef houden aan die best practices)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
