TL;DR : Le rapport d’incident étendu de Chainstack se concentre sur les échecs de contrôle d’accès. Ses conseils de récupération font de la rotation des diplômes une priorité.
Chainstack a ajouté des détails techniques à l'incident de sécurité qu'il a divulgué pour la première fois le 3 novembre. rapport mis à jour, avec une section technique datée du 10 novembre, décrit une intrusion d'octobre construite autour d'échecs de configuration et de contrôle d'accès. La société affirme n’avoir trouvé aucune preuve qu’une vulnérabilité logicielle ait été exploitée.
Comment les contrôles d'accès ont échoué
Selon Chainstack, l'attaquant est entré via une instance de développement Grafana avec des informations d'identification d'administrateur par défaut inchangées. Un serveur d’outils non authentifié doté de larges autorisations Kubernetes faisait alors partie du chemin d’accès. Les informations d’identification des machines connectaient également les environnements de développement et de production.
La leçon opérationnelle concerne l'accès à un compte après la première connexion. Un service de test discret peut avoir des conséquences s'il peut contacter des systèmes sensibles ou s'il détient des privilèges qui s'étendent au-delà de son travail immédiat.
La couverture de NewsBTC sur le Incident d’infrastructure NEAR AI a exploré une frontière connexe entre une application et les services qui la prennent en charge. Les mécanismes diffèrent, mais tous deux rendent l'infrastructure environnante pertinente pour la sécurité d'une plateforme cryptographique.
Ce que les clients sont invités à aborder
Le rapport identifie les noms de comptes, les détails de l'organisation, les adresses e-mail et les hachages de mots de passe comme potentiellement exposés. Il traite les informations d'identification des nœuds comme exposées même s'il n'a trouvé aucune preuve qu'elles ont été lues, et demande aux clients de modifier les mots de passe, de faire pivoter les informations d'identification des nœuds et de régénérer les clés API de la plate-forme lorsqu'elles sont utilisées.
Un hachage de mot de passe et un jeton d'accès fonctionnel créent différents problèmes. Les hachages sont des représentations de mots de passe, tandis qu'un jeton actif peut autoriser directement les requêtes. Le remplacement d'un mot de passe de connexion ne peut donc pas être considéré comme invalidant tous les autres informations d'identification associées à une application.
C'est pourquoi les conseils en cas d'incident doivent identifier clairement les types d'informations d'identification concernés. Une seule instruction pour modifier un mot de passe peut laisser les développeurs incertains quant aux points de terminaison des applications, aux tâches automatisées et aux intégrations de services.
La rotation des diplômes comporte une étape d'achèvement
Pile de chaîne documentation sur la gestion des nœuds décrit un processus de rotation par étapes. De nouvelles informations d'identification sont générées tandis que celles existantes restent actives. Les applications peuvent ensuite passer aux remplacements avant que les anciennes informations d'identification ne soient désactivées.
La documentation indique que les deux ensembles continuent de fonctionner jusqu'à cette étape finale, sans limite de temps automatique. La fin de la rotation rejette définitivement les demandes utilisant les informations d’identification précédentes. Il indique également qu'une rotation de nœud ne modifie pas un jeton d'authentification multichaîne.
Pour un opérateur, le chevauchement réduit le risque d'interrompre un service en fonctionnement lors de la mise à jour des applications. La responsabilité correspondante est de terminer la migration. La seule génération d’un remplacement laisse disponible le moyen d’accès précédent.
Un enregistrement d'achèvement utile permettrait donc de suivre quelles applications ont été déplacées et quand les anciennes informations d'identification ont été désactivées. Il s’agit d’un contrôle pratique qu’une équipe peut vérifier après la première urgence.
Le problème de conception sous-jacent est familier
de Grafana conseils de sécurité avertit que les services de son réseau local peuvent être accessibles via son proxy de source de données. Il décrit des contrôles tels que la limitation des destinations autorisées et l'utilisation de règles de pare-feu pour restreindre l'accès aux services internes sensibles.
Ces précautions concernent ce qu'un outil peut atteindre, ainsi que qui peut s'y connecter. L'authentification et les limites du réseau effectuent des tâches différentes ; les limites d'autorisation fournissent une autre couche si l'une ou l'autre des limites échoue.
Rapport de NewsBTC sur Chainalysis rétablissant les services de dépistage montre pourquoi la reprise opérationnelle et l’analyse de l’exposition des données peuvent suivre des délais différents.
Le compte étendu de Chainstack donne aux clients plus de détails à évaluer. Le test restant consiste à savoir si les modifications d'accès sont terminées et si les contrôles révisés peuvent empêcher un service compromis d'aller bien au-delà de son rôle prévu.
écrit par le News Desk et édité par Samuel Rae.
