Symantec, організація з кібербезпеки, б’є тривогу через те, як легко отримати доступ до приватної інформації мільйонів людей через кілька програм, в основному під керуванням iOS.
Проблема виникне саме через повторне використання дійсних токенів Amazon Web Services (AWS), що дозволить отримати доступ до великої кількості інформації.
Повторне використання жорстко закодованих токенів Amazon Web Services було визначено як серйозну вразливість безпеки в 1859 програмах, 98% з яких базуються на iOS. Насправді ми виявили повторне використання тих самих облікових даних AWS у 53% програм, протестованих Symantec. У десятки разів збільшується небезпека цих даних. Для Symantec проблема виникає в ланцюжку постачання, особливо під час розробки додатків за допомогою комплектів розробки програмного забезпечення (SDK).
Програми для Android та iOS створюють ризик витоку даних
За словами компанії, вразливість обмежена, якщо код AWS дозволяє отримати доступ лише до одного файлу, наявного в Amazon Simple Storage Service (S3), однак у цьому випадку це не так. Одним із прикладів є SDK компанії B2B. Що надає клієнтам доступ до всіх ключів хмарної інфраструктури компанії на додаток до її платформи. Там перераховано понад 15 000 великих і середніх підприємств. І Symantec стверджує, що інформація як про клієнтів, так і про персонал, а також фінансові записи можуть випадково стати предметом витоку.
Згідно з Symantec, «щоб отримати доступ до служби перекладу AWS, компанія жорстко закодувала маркер доступу AWS. Проте будь-хто, хто мав жорстко закодований маркер доступу, мав повний необмежений доступ до всіх хмарних служб AWS підприємства B2B, а не лише до хмарної служби перекладу».
Повторне використання цих маркерів, які надають повний доступ до даних у різних програмах, значно підвищує небезпеку витоку. Навіть якщо це може бути насамперед ненавмисно з боку розробників. Згідно з дослідженням Symantec, 47% оцінених додатків містять маркери AWS. Вони не лише надають доступ до файлів, необхідних для кодування, наприклад, до файлів у приватній хмарі. Але також до мільйонів файлів, які зберігає Amazon (S3).
