Code Spaces, uma prova que falta maturidade quando o assunto é adoção de Cloud Computing
Anchises publicou em seu blog o artigo [Segurança] Quando sua nuvem evapora…, que trata a respeito sobre tudo o que culminou no fim do Code Spaces.
Sou usuário de cloud computing desde do seu início, quero dizer, desde a sua comercialização, e ainda fico me perguntando como tem uma porrada de profissional se auto-proclamando especialista em algo que ainda assusta e dá uns loops na cabeça de muitos marmanjos de ti por aí.
O hacker, na verdade o cracker, não foi tão engenhoso assim como dizem por aí. Ele simplesmente tirou a atenção de emails e das mensagens de erro quanto a tentativa de logins mal sucedidos do pessoal da Code Spaces.
O problema que vejo e que já comentei diversas vezes com o pessoal da amazon, pelo menos aqui no Brasil, é que um simples login dá acesso à console administrativa do seu ambiente cloud by amazon, e com isso, a capacidade de criar e destruir tudo aquilo que está ali armazenado, suportado. Como um amigo disse outro dia desses "descubra o meu email e minha senha da amazon e vc será um Deus perante o meu mundo."
Vejam, acredito que o cracker, no caso do Code Spaces, descobriu o email cadastrado no aws.amazon.com e iniciou o processo de quebra de senha dele, para a partir daí, ter acesso a conta, da aws, e solicitar um reset de senha do serviço utilizado pela empresa.
Ataque bem sucedido, vamos a segunda parte que é money…
A extorsão começou e é claro, o pessoal da Code Spaces não caiu nela. Percebendo as movimentações do time de suporte em tentar recuperar o acesso a console aws deles, o cracker foi lá e fez o que todo moleque birrento ou profissional do crime faria, deletou tudo, sem deixar um volume no ebs ou uma única ec2 para contar história.
Até aí, nada é novidade. Mas o que me chamou a atenção foram os comentários e a falta de planejamento quanto a construção de um ambiente tão crítico como o da Code spaces nos fóruns especializados sobre o assunto.
Caso vc seja consultor, um especialista em cloud, no mínimo, este tipo de situação deveria ter passado em sua mente, não é mesmo ?!
O que venho dizendo em palestras e cursos que ministro é que falta consultoria, análise, planejamento, implementação e a realização de testes antes de sair colocando um ambiente, suportado by cloud, em produção.
É aquela velha história, o povo só tira os ovos de um único cesto quando todas as galinhas são estupradas e mortas, restando ao dono a conta quanto a limpeza do estrago feito pela raposa.
Precisa disso, sério??? Depois de tantos anos suportando e lendo sobre as cagadas alheias, não era de se esperar que um dia isso aconteceria e viria à tona.. ???
Todos os ambientes com que trabalho são replicados e salvaguardados em soluções de provedores de cloud como RackSpace, google cloud e entre outros. E sabem por quê ? Vai que a amazon dá a louca e derruba tudo, de uma única vez… ???
O erro da Code Spaces e de tantas outras empresas e profissionais de TI é confiar toda a sua infraestrutura em uma única empresa, em uma única solução, acreditando que a solidez de um nome é suficiente para assegurar o seu negócio.
Agora, ao meu ver a amazon não saiu isenta deste incidente, pois para mim ela tem meia culpa em tudo isso que aconteceu com a Code Spaces.
Primeiro porque amazon, do tamanho que ela é dos clientes que suporta, possui capacidade suficiente em implementar, em sua console administrativa, alguns passos, produtos ou verificações capazes de assegurar que ambientes como estes não sejam destruídos em um piscar de olhos.
Colocar nas mãos dos seus clientes e usuários toda a responsabilidade quanto ao gerenciamento de ambientes e produtos suportados por ela, amazon, é simples. Agora, em incidentes como este que ocorreu com a Code Spaces, uma série de questionamentos quanto ao suporte, e até mesmo ,quanto a segurança são postos em voga, restando a amazon, para mim, a seguinte pergunta "o que vocês farão para que este tipo de problema não ocorra mais ?"
Anchises e o The hackers news, o blog que publicou inicialmente o ocorrido, informaram que 2 empresas, além da Code Spaces, sofreram com este tipo de ação cracker, a de extorsão. Desculpe senhores, mas isso ocorreu com mais empresas que vcs possam imaginar, e infelizmente ainda ocorre.
Só no Brasil, eu vos lhe informo que foram 4, só de meu conhecimento.
E o processo foi bem simples, igual ao ocorrido junto a Code Spaces.
Um cracker foi lá e descobriu o email cadastrado para o aws amazon da empresa X. Depois, ele iniciou o processo de quebra de senha do mesmo, que em um caso foi nomedaempresa!@# — fantástico, não é mesmo.
Com o acesso ao aws amazon da vítima, a brincadeira começou.
Agora, para aqueles que trabalham com ambientes suportados via AWS Amazon, como é mesmo que executo o "simples" processo de regeneração dos arquivos .perm das minhas máquinas que já estão no ar e em produção ???
Resta aí um recado à todos – um bom backup é aquele que fica armazenado em um lugar diferente do utilizado pela sua produção e que funciona.
Tags: Cloud Computing, code spaces, Segurança, Segurança da informação
Daniel Checchia 24 jun 2014
A AWS possui recursos para evitar que isto aconteça (Multi-factor Auth – http://aws.amazon.com/mfa/); Possui ainda o recurso de IAM, onde vc cria usuários com direitos restritos.
O Grande problema é a falta de conhecimento tanto de arquitetura/infra e o básico de segurança de ambientes WEB.
Gustavo Lima 24 jun 2014
Daniel, fato é que como vc, eu já havia verificado este novo serviço provido pela amazon, o qual merece um post.. Agora, amazon deveria colocar este recurso como requerido para ambientes acima de 10 máquinas ec2 ou recursos, não achas ?
Batman 26 jun 2014
Não é bem culpa da Amazon se a pessoa que está cuidando do ambiente é um idiota/incompetente.
Mas o que você falou sobre confiar totalmente em uma empresa apenas não tem como discordar de maneira alguma. Chega aser assustador ver estruturar ENORMES todas sustentadas em apenas uma empresa e uma cadeia de serviços.