Wrażliwe pliki Pentagonu na Amazonie

Okazało się że około 28 GB danych zawierało co najmniej sześć niezaszyfrowanych haseł należących do wykonawców rządowych. Ujawnione poświadczenia mogą potencjalnie przyznać dalszy dostęp do repozytoriów zawierających dane dotyczące działań rządowych.

Niezliczone odniesienia są zawarte w przeciekach od amerykańskiej agencji National Geospatial-Intelligence Agency (NGA), która w marcu otrzymała od Booz Allen kontrakt na ochronę w wysokości 86 milionów dolarów. NGA oficjalnie zajmuje się analizą obrazów i filmów, jakie nagrały drony latające na terenie Bliskiego Wschodu. Z siedzibą znacznie większą niż CIA, NGA poszerzając swoją działalność, zakończyła budowę w zeszłym roku budynku w St. Louis wartego 1,75 mld dolarów. Obecnie nie do końca wiadomo, czym się ona zajmuje pomimo bardzo dużego finansowania ze strony państwa. Agencja NGA wspierająca walkę ze szpiegostwem przemysłowym prowadzonym za pomocą satelitów szpiegowskich i statków bezzałogowych współpracuje z Centralną Agencją Wywiadowczą, National Reconnaissance Office i Agencją Wywiadowczą Departamentu Obrony.

Agencja NGA potwierdziła serwisowi Gizmodo wyciek danych, podkreślając, że nie ujawniono żadnych informacji niejawnych. NGA twierdzi też, że poufne, ale niesklasyfikowane informacje natychmiastowo wycofano z sieci. Serwer Amazona, z którego wyciekły dane, według rzecznika agencji NGA nie jest bezpośrednio związany z sieciami klasyfikowanymi.

Czytaj też: Jak chronić przed hakerami dane w chmurze?

Analityk ds. ryzyka w serwisie UpGuard Chris Vickery odkrył serwer Booz Allen w zeszłym tygodniu, podczas gdy w domu Santa Rosa prowadził skanowanie w poszukiwaniu publicznie dostępnych wiaderek s3 (co Amazon nazywa urządzeniami pamięci masowej w chmurze). Początkowo nie było powodu przypuszczać, że zawiera ona wrażliwe dane militarne. Zazwyczaj serwery administracji rządowej w USA prowadzone przez Amazon są segregowane na tzw. GovCloud - "gated community" chronioną przez zaawansowaną kryptografię. Zamiast tego tzw. wiadro Booz Allen zostało znalezione w regionie "US-Wschód-1", głównie z danymi publicznymi i komercyjnymi. Pliki te – jak pisze Gizmodo - miały jednak pewne cechy projektu rządowego. Po pierwsze, Vickery dostrzegł publiczne i prywatne klucze SSH pracownika Booz Allen, zidentyfikowanego przez stronę LinkedIn jako starszy inżynier w Wirginii. Ujawnienie prywatnego klucza należącego do inżyniera IT Booz Allen jest potencjalnie katastrofalne w przypadku intruzów mających złe zamiary – powiedział analityk UpGuard.

Klucze SSH wykorzystują tzw. kryptografię kluczy publicznych i uwierzytelnianie typu challenge-response. Zasadniczo Booz Allen przechowuje poufne dane w chmurze i zanim inżynier ma do niego dostęp, jego klucz prywatny musi pomyślnie sparować się z kluczem publicznym na serwerze Booz Allen. Ten protokół działa naprawdę tylko wtedy, gdy klucz prywatny pracownika pozostaje tajemnicą.

- Booz Allen potępia podejrzenie naruszenia danych i szybko rozpoczął badanie dotyczące dostępności niektórych kluczy bezpieczeństwa w środowisku chmurowym - powiedział rzecznik tej firmy serwisowi Gizmodo. - Zabezpieczono te klucze i kontynuujemy szczegółowe dochodzenie sądowe. Na razie nie znaleźliśmy żadnych dowodów, że w wyniku tej sprawy jakiekolwiek informacje niejawne zostały naruszone.