Tvær öryggisábendingar og viðbrögð okkar

Atlas tekur þátt í Defend Iceland, innlendri villuveiðigátt (e. bug bounty platform) þar sem öryggisrannsakendur leita skipulega að veikleikum í kerfum þátttakenda. Í gegnum gáttina bárust tvær ábendingar um aðgangsstýringu í Atlas Cloud. Báðar reyndust réttar. Hér er gerð grein fyrir þeim og hvernig var brugðist við.

Fyrri ábendingin: lesaðgangur sem gat breytt og eytt

Þrjár rullur (e. Role) stýra aðgangi að stjórnborði Atlas Cloud: Atlas ReadOnly, Atlas User og Atlas Admin. Rannsakandi sýndi fram á að ReadOnly, sem á aðeins að veita lesaðgang, gat bæði breytt og eytt stillingum. Rullan reyndist því ekki jafn áreiðanleg og lagt var upp með.

Þetta löguðum við með því að sjá til þess að öllum aðgerðum sem ekki var búið að leyfa beint væri hafnað (þar á meðal hættulegum aðgerðum). Að lokum staðfestum við útkomuna með prófunum á öllum rullunum þremur. Rullurnar standa nú undir nafni: ReadOnly les eingöngu, User býr til og breytir en eyðir engu, og Admin fer með full umráð yfir eigin umhverfi.

Seinni ábendingin: lyklarnir að hlutageymslunni

Kallið sem listar gagnafötur (e. buckets) í hlutageymslunni (e. object store) skilar aðgangslyklum reikningsins með í svarinu. Lyklarnir sem ReadOnly og User rullurnar fengu fyrir fötur gilda fyrir reikninginn í heild, svo hver sá sem gat listað fötur hafði í reynd fullan les-, skrif- og eyðingaraðgang að öllum gögnum reikningsins í geymslunni.

Við brugðumst við með því að færa allar fötuaðgerðir yfir á Admin-rulluna. ReadOnly og User sjá ekki gagnafötur og geta ekki sýslað með þær, og lyklarnir fylgja þar með eingöngu Admin-aðgangi, sem fer hvort eð er með full umráð yfir reikningnum.

Hvað þýðir þetta fyrir viðskiptavini

• Atlas ReadOnly les auðlindir en breytir engu.
• Atlas User býr til og breytir auðlindum en eyðir engu og sér ekki gagnafötur.
• Atlas Admin fer með full umráð yfir eigin umhverfi, þar á meðal gagnafötur og eyðingar.

Þeir sem nota hlutageymsluna sýsla með fötur og sækja lykla með Admin-aðgangi. Nánar er fjallað um rullurnar og hlutageymsluna í skjölum Atlas.

Þakkir

Við þökkum rannsakandanum og Defend Iceland fyrir vandaðar ábendingar með skýrum dæmum sem stóðust skoðun. Óháð leit að veikleikum er hluti af öryggisstarfi Atlas og ábendingar sem þessar gera þjónustuna öruggari fyrir alla. Við fögnum því að heimur heiðarlegra hakkara hafi fundið villu, eins og tilgangur hans er.

Ef þú telur þig hafa fundið veikleika biðjum við þig um að tilkynna öryggisgalla eða að senda okkur línu á security@atlascloud.is.