Öffentliche Speicher-Buckets

Was ist Öffentliche Speicher-Buckets?

Objektspeicher-Buckets haben Namen, die sich finden oder erraten lassen. Scanner suchen laufend nach solchen Namen. Ein Bucket, der anonymes Lesen erlaubt, ist praktisch eine öffentlich zugängliche Website. Sie finden einen Bucket-Namen auf einer öffentlichen Support-Seite, listen seine Inhalte auf und laden ohne Anmeldung einen nächtlichen Kundenexport herunter. Danach aktivieren Sie „Block Public Access“ für den Bucket und ersetzen die Richtlinie mit Platzhalter durch eine Richtlinie, die ausdrücklich festlegt, wer lesen darf. Das Schließen des Buckets macht bereits erfolgte Downloads nicht rückgängig.

Was Sie lernen in Öffentliche Speicher-Buckets

• Bucket-Namen lassen sich erraten und werden fortlaufend automatisiert gesucht. Ein unbekannter Name ist keine Zugriffskontrolle.
• Anonymer Lesezugriff auf einen Bucket mit einem Export bedeutet eine vollständige Datenschutzverletzung mit einer einzigen Anfrage – ohne ein Rate Limit, das den Abruf verlangsamt.
• Aktivieren Sie „Block Public Access“ für den betroffenen Bucket und anschließend für das gesamte Konto, damit auch der nächste Bucket abgedeckt ist.
• Stellen Sie dieselbe anonyme Anfrage erneut und prüfen Sie, ob der Zugriff verweigert wird.

Öffentliche Speicher-Buckets — Trainingsschritte

1. Ein Host auf einer Support-Seite

   Bob hat es auf Orbrandt abgesehen. Die Software des Unternehmens verwaltet Termine und Kundendaten mehrerer hundert Tierarztpraxen. Bob hat weder Zugangsdaten noch einen ersten Zugang zum System – und sucht vorerst auch keinen. Er beginnt bei den öffentlich zugänglichen Bereichen des Unternehmens.

2. Diesen Host auf die Zulassungsliste setzen

   Die Seite enthält genau das, was sie verspricht: Einwilligungsformulare zum Ausdrucken und Importvorlagen für Praxen. Diese Dateien sind bewusst öffentlich zugänglich. Ein Supporthinweis auf der Seite ist für Bob interessanter als die Formulare.

3. Die Dateiliste anfordern

   Ein Bucket, der Dateien ausliefert, ist das eine. Wenn er auch Fremden seine gesamte Dateiliste zeigt, ist das eine weitere Berechtigung. Beide werden häufig versehentlich zusammen erteilt. Bob ruft die Dateiliste ohne Zugangsdaten ab.

4. Was liegt unter exports/?

   Das Präfix forms/ enthält die Dateien, die das Unternehmen veröffentlichen wollte. Bob wendet sich direkt dem anderen Präfix zu.

5. Eine Website, die niemand veröffentlicht hat

   Bob nutzt gewöhnlich die Befehlszeile, doch hier braucht er sie nicht. Dieselbe Berechtigung gilt auch für Anfragen aus einem normalen Browser. So kann jemand auf die Exposition stoßen, ohne gezielt danach zu suchen.

6. Kein Login, kein Schlüssel, nur eine URL

   Es wurden keine Zugangsdaten übermittelt und auch keine angefordert. Der Bucket lieferte seine Dateiliste trotzdem an einen anonymen Browser aus.

7. Eine Kopie erstellen

   Die Auflistung verrät dem Angreifer, welche Dateien vorhanden sind. Um sie zu lesen, braucht er eine weitere Berechtigung. Auch diese hat Orbrandt anonymen Nutzern gewährt.

8. Was war drin?

   Bisher kennt Bob nur Dateinamen und Dateigrößen. Er liest die ersten Zeilen, um zu sehen, welche Daten er kopiert hat. Bob klappt den Laptop zu, mit einer Kopie aller Kundendatensätze, die Orbrandt führt.

9. Warum es funktioniert hat

10. Jemand anderes hat es auch gefunden

    Am selben Nachmittag hat bei Orbrandt noch niemand etwas bemerkt, denn über einen anonymen Lesezugriff geht keine Benachrichtigung ein. Dann entdeckt ein Sicherheitsforscher denselben Bucket und meldet den Fund verantwortungsvoll.