AMID: Sicherheitsprüfung für Amazon Machine Images
"Das Problem liegt klar auf Kundenseite und nicht bei den Amazon Web Services. Wir gehen davon aus, dass auch Kunden anderer Cloud-Anbieter sich und andere durch ihre Unwissenheit und Nachlässigkeit gefährden" , kommentiert Professor Ahmad-Reza Sadeghi vom Center for Advanced Security Research Darmstadt(öffnet im neuen Fenster) (CASED), die Ergebnisse von rund 1.100 untersuchten öffentlichen AMIs. Rund 30 Prozent davon waren so verwundbar, dass Angreifer teilweise Webservices oder virtuelle Infrastrukturen hätten manipulieren oder übernehmen können. Ursache sei der fahrlässige Umgang von Amazon-Kunden mit AMIs.
Zur Prüfung der Amazon Machine Images haben die Darmstädter Forscher des CASED den Schwachstellenscanner AMID(öffnet im neuen Fenster) entwickelt, der bei Github zu finden ist. Die betroffenen Kunden wurden in Abstimmung mit dem Sicherheitsteam von Amazon Web Services informiert.
In zu vielen Fällen folgten die Kunden dabei den Sicherheitsempfehlungen von Amazon nicht, so die Forscher. Das führe zu fehlerhaften Konfigurationen und freiem Zugriff auf sicherheitskritische Daten wie Passwörter, kryptographische Schlüssel und Zertifikate.