CISA-in GitHub curenje: šest mjeseci s ključevima AWS-a

Šest mjeseci. To je vrijeme koje je trebalo američkoj Agenciji za kibernetičku sigurnost i infrastrukturu da otkrije da su desetine internih vjerodajnica, uključujući ključeve za AWS GovCloud, javno dostupne na GitHubu. Ne u dark webu, ne u nekoj egzotičnoj ruskoj grupi, nego na javnom repozitoriju koji je svatko mogao vidjeti. Šest mjeseci je dugo. Dovoljno dugo da se ispeče dijete, izgradi kuća, ili da netko s malo zlonamjernih namjera i puno vremena preuzme kontrolu nad vladinom infrastrukturom.

Ovo nije priča o sofisticiranom napadu s nula-day exploita i tajnim operacijama. Ovo je priča o tome kako se najveća prijetnja kibernetičkoj sigurnosti često krije u običnom nemaru, u ljudskoj gluposti koja je toliko banalna da je gotovo umjetnička. Netko je objavio vjerodajnice na GitHub. Možda iz nepažnje, možda iz neznanja, možda zato što je mislio da je privatni repozitorij isto što i javni — što je otprilike razina tehničkog razumijevanja osobe koja drži vrata stana otvorena jer "ionako nitko ne želi ući".

Postmortem koji je CISA objavila nakon što ih je novinar kontaktirao je fascinantan dokument, ne zbog tehničkih detalja, nego zbog onoga što govori o tome kako funkcioniraju institucije koje bi nas trebale štititi. Ključni propust nije bio u tome što je izvođač objavio vjerodajnice — to se događa, ljudi griješe. Pravi problem je što šest mjeseci nijedan sustav, nijedan alat za skeniranje, nijedna revizija nije to primijetila. Imate agenciju čiji je posao otkrivanje prijetnji, a ona ne može otkriti vlastitu ranjivost koja je javno izložena pola godine. To je kao da vatrogasac ne primijeti da mu gori vlastita kuća jer je previše zauzet gledanjem u tuđe dimnjake.

Najljepši dio ove priče je naivno pitanje koje se nameće samo od sebe: ako agencija zadužena za kibernetičku sigurnost ne može zaštititi vlastite ključeve, koji kurac mogu očekivati obični ljudi? Mali poduzetnik u Rijeci koji vodi firmu s dva zaposlenika i serverom u podrumu, on bi trebao biti sigurniji od CISA-e? Jer on nema tim za sigurnost, nema budget, nema mandate. On ima samo strah i Google. A ispada da je možda bolje opremljen, jer barem ne objavljuje svoje lozinke na GitHubu.

Analiza postmortema otkriva nešto dublje od tehničkih propusta. Otkriva kulturu u kojoj se sigurnost tretira kao checkbox, kao nešto što se odradi na godišnjoj razini, a ne kao kontinuirani proces. Kao da netko misli da je sigurnost poput cijepljenja — jednom kad si zaštićen, zaštićen si zauvijek. Samo što u kibernetičkom svijetu virusi ne miruju. Oni se razvijaju, prilagođavaju, i čekaju. A ti čekaš s vjerodajnicama na javnom repozitoriju.

Cijela stvar ima i komičan sloj koji je teško ignorirati. CISA je agencija koja bi trebala biti uzor, primjer kako se radi sigurnost. Ona izdaje preporuke, vodi treninge, dijeli najbolje prakse s javnim i privatnim sektorom. A onda se ispostavi da je njezina vlastita praksa — objavljivanje ključeva na javnoj platformi — upravo ona stvar protiv koje upozorava druge. To je kao kad ti profesor tjelesnog s pivskim trbuhom objašnjava važnost zdrave prehrane. Teoretski je u pravu, praktički je živi dokaz suprotnog.

Ono što je možda najvažnija lekcija iz ovog incidenta nije tehnička, nego organizacijska. Jer tehnički problemi se rješavaju alatima, automatizacijom, skriptama koje skeniraju GitHub za curenje ključeva. Ali organizacijski problemi — oni se rješavaju kulturom, odgovornošću i sviješću da sigurnost nije projekt nego proces. I tu CISA, kao i većina institucija, kaska. Jer nije problem u tome što je izvođač napravio grešku. Problem je što sustav nije imao mehanizam koji bi tu grešku uhvatio. A sustav koji ne može uhvatiti vlastite greške je sustav koji samo čeka da netko drugi iskoristi te greške.

U svijetu u kojem smo se navikli na vijesti o velikim napadima, o ransomwareu koji paralizira bolnice, o krađama podataka koje pogađaju milijune ljudi, ovakva priča može djelovati kao sitnica. Što je par ključeva prema milijun ukradenih kartica? Ali upravo u toj banalnosti leži opasnost. Veliki napadi počinju s malim propustima. Neki izvođač koji objavi krivu stvar, neki sustav koji ne provjeri, neki period od šest mjeseci u kojem svi gledaju u drugu stranu. I onda se jednog dana probudiš i shvatiš da netko s druge strane svijeta ima pristup stvarima koje nisu trebale biti dostupne nikome.

Najgore od svega je što ovo nije izoliran incident. Ovo je simptom sistemskog problema koji pogađa sve — vlade, korporacije, male firme. Ljudi su najslabija karika, to znamo otkad postoji IT. Ali institucije i dalje rade kao da je dovoljno zaposliti par stručnjaka i kupiti skupi softver, pa će sve biti u redu. A onda izvođač objavi ključeve na GitHubu i sve se sruši. Ne zbog softvera, nego zbog ljudi. I to je ono što je teško automatizirati, teško kontrolirati, teško uopće zamisliti u svijetu gdje je brzina važnija od preciznosti.

Ako postoji išta što bi svaka organizacija, od američke vladine agencije do kvartovskog ugostiteljskog objekta, trebala naučiti iz ovoga, onda je to da sigurnost nije jednokratna investicija. Nije firewall koji instaliraš i zaboraviš. Nije edukacija koju odradiš jednom godišnje. Sigurnost je svakodnevna navika, kao pranje ruku ili provjera jesu li vrata zaključana. I ako to zaboraviš, ako misliš da je dovoljno što si "jednom riješio stvar", čeka te taj scenarij kao CISA-u — šest mjeseci tišine, pa onda poziv novinara koji ti kaže da su ti svi ključevi na javnom mjestu.

A najbolja šala? Oni koji su trebali biti primjer, koji su trebali predvoditi, pokazali su da su jednako ranjivi kao i svi drugi. I to nije razlog za očaj. To je razlog da shvatiš da nijedna organizacija, nijedna tehnologija, nijedan sustav nije imun na ljudsku glupost. Jedina obrana je svijest, stalna i neumorna. Sve ostalo je čekanje da se dogodi ono što se dogodilo CISA-i — samo što ti možda nećeš imati sreće da te netko upozori prije nego što bude prekasno.

Sigurnost je kao higijena — ako je zanemariš, nećeš odmah primijetiti posljedice. Ali one dolaze. Uvijek dođu.

Izvor: krebsonsecurity.com