Hunderte geleakte AWS-Schlüssel ermöglichen vollständige Kontrolle über Unternehmenskonten

Tausende geleakte AWS-Schlüssel sind noch Jahre nach ihrer Veröffentlichung in öffentlich zugänglichen Quellen aktiv, wie neue Untersuchungen von Truffle Security zeigen. Hunderte dieser Zugangsdaten sollen vollständige administrative Kontrolle über die Amazon-Web-Services-Konten von Unternehmen ermöglichen.

Die Forscher verfolgten offengelegte Cloud-Zugangsdaten zwischen August 2022 und August 2026. Sie stellten fest, dass sich mehr als 9.300 öffentlich zugängliche Schlüssel am 10. August noch immer zur Authentifizierung verwenden ließen.

Hunderte Zugangsdaten ermöglichen weitreichenden Kontozugriff

Truffle Security identifizierte 817 geleakte AWS-Schlüssel, die mit Unternehmenskonten verknüpft waren. Davon waren 526 Root-Schlüssel, die zur Identität mit den höchsten Berechtigungen in einer AWS-Umgebung gehören.

Die Untersuchung fand außerdem 242 Schlüssel, die mit IAM-Benutzern mit der AdministratorAccess-Richtlinie verknüpft waren. Diese Berechtigungen können es einem Benutzer ermöglichen, nahezu alle AWS-Dienste und Ressourcen eines Kontos zu erstellen, zu ändern, zu löschen und einzusehen.

Den Forschern zufolge könnten 768 der aktiven Zugangsdaten in den beiden Gruppen mit dem höchsten Risiko vollständige Kontrolle über das AWS-Konto eines Unternehmens ermöglichen.

Ein Angreifer mit einem solchen Zugriff könnte in der Cloud gespeicherte Daten stehlen oder löschen, Anwendungen und Server übernehmen oder neue Administratorkonten erstellen, um den Zugriff aufrechtzuerhalten.

Öffentliche Quellen legen weiterhin Cloud-Zugangsdaten offen

Die Forscher fanden 431.875 AWS-Geheimnisse in Code-Repositories, Git-Verläufen, Datensätzen, Docker-Images, Registries und Protokollen aus der kontinuierlichen Integration.

Nach dem Entfernen von Duplikaten identifizierte das Team 64.024 eindeutige AWS-Schlüssel, die mit 50.654 AWS-Konten verknüpft waren. 10.616 dieser Schlüssel konnten vollständig erneut überprüft werden, da die Forscher über die vollständigen Zugangsdaten verfügten, die für die Tests erforderlich waren.

Von dieser kleineren Gruppe konnten 88 Prozent im August weiterhin zur Authentifizierung verwendet werden.

Hugging Face war mit 8.482 eindeutigen Offenlegungen die größte einzelne Quelle für exponierte AWS-Schlüssel in der Untersuchung. Den Forschern zufolge waren 17,9 Prozent dieser Zugangsdaten Root-Schlüssel.

Alte Zugangsdaten schaffen ein langfristiges Risiko

Viele der offengelegten Schlüssel existierten bereits seit Jahren. Unter den 2.903 Zugangsdaten mit verfügbaren Erstellungsdaten lag das mittlere Alter bei 1.831 Tagen, also ungefähr fünf Jahren.

Der älteste Schlüssel im Datensatz war mehr als 17 Jahre alt.

Nur 398 dieser Einträge verfügten über einen neueren Zugriffsschlüssel, der mit demselben Benutzer verknüpft war. Das deutet darauf hin, dass viele Organisationen ihre Zugangsdaten nach deren Erstellung nicht rotiert hatten.

Eine unzureichende Rotation von Zugangsdaten kann einen versehentlichen öffentlichen Upload zu einem langfristigen Sicherheitsproblem machen. Sobald Angreifer einen aktiven Schlüssel finden, können sie ihn nutzen, um auf Cloud-Ressourcen zuzugreifen oder durch den Einsatz von Kryptominern Kosten zu verursachen.

Truffle Security stellte fest, dass nur 262 von 2.754 lesbaren Konten Budgetwarnungen eingerichtet hatten.

AWS fordert Kunden auf, exponierte Schlüssel zu widerrufen

AWS erklärte, dass das Unternehmen betroffene Kunden benachrichtigt, sobald es von offengelegten Zugangsdaten erfährt. Das Unternehmen sagte außerdem, dass es Meldungen untersucht und Quarantänerichtlinien anwenden kann, um Risiken zu reduzieren, ohne die Umgebungen der Kunden zu beeinträchtigen.

Organisationen sollten alle Zugangsdaten, die in einer öffentlichen Quelle veröffentlicht wurden, als kompromittiert betrachten. Sicherheitsteams sollten geleakte AWS-Schlüssel unverzüglich widerrufen oder rotieren, Root-Zugriffsschlüssel entfernen, ältere IAM-Zugangsdaten überprüfen und Budgetwarnungen aktivieren.

Truffle Security erklärte, dass die Tests auf schreibgeschützte Metadaten beschränkt wurden und identifizierbare Eigentümer über die offengelegten Zugangsdaten informiert wurden.