Microsoft Azure ユーザーへの警告:侵害された Shared Key 認証がもたらす甚大な被害とは?

Microsoft Azure Users Warned of Potential Shared Key Authorization Abuse

2023/04/11 SecurityWeek — Azure Active Directory (Azure AD) の認証情報と同様に、Microsoft Azure Storage アカウントで利用できる認証方法には Shared Key があり、Azure のデフォルト・インフラの一部になっている。この Shared Key は、Azure AD と比較してセキュリティが劣るため、きめ細かいアクセスが必要な場合には、アクセスキーによるストレージ認証は非推奨とされている (組織がリスクにさらされる可能性があるため)。今回、Orca が発見した攻撃シナリオは、こうしたリスクを証明するものであり、Shared Key による認証を無効化する必要性を、セキュリティ・ベストプラクティスとして強調するものである。


Azure のデフォルトでは、新規作成されたアカウントに対して2つの 512 Bit ストレージ・アカウント・アクセスキーを生成される。これらのキーは、対象となるアカウントのルート・パスワードのようなものであり、それらのキーを所持する人々が Shared Key 認証を悪用すると、ストレージ・アカウントへのアクセスが許されてしまう。

Orca は、「このキーがあれば、攻撃者はストレージ・アカウントや重要なビジネス資産へのフルアクセスが可能になるだけではなく、環境内での横方向への移動や、リモートコード実行なども可能になる」と指摘する。

同社の調査によると、このアクセスキー認証は、Azure アカウントで定義されている、必要なデータへのアクセスのために付与される権限を超えて、その他のアクションの実行のために使用できることが判明した。

データ・オブジェクトの読み取り権限を持つ Azure Storage アカウントは、データの修正/削除も可能になり得ると、Orca は具体的に述べている。

さらに、侵害した Storage アカウントを悪用し、より高い特権を持つ ID を流出させることも可能だ。それを悪用した横移動や、特定の API コールを用いた仮想マシンへのリバースシェルの導入/実行も可能だとされる。

ここでの重要な問題は、Azure Storage アカウントを侵害した攻撃者が、そのアクセスキーを取得することで得られるアクセス・レベルにある。このような手口で環境内に侵入した攻撃者は検知されず、また、データへの不正アクセスや、悪意のアクションの実行が可能になるという事実と結びつくと、Orca は指摘している。

この Shared Key には、深刻な潜在的リスクが存在するが、システム設計に大きな変更を加えなければ、Azure から削除することはできないと、Orca は述べている。最小特権の原則を適用し、Azure の Shared Key 認可を完全に無効化すれば、この悪用シナリオに関連するリスクは軽減される。

Microsoft はベストプラクティスとして、Shared Key 認証から脱却するために、同社が取っている手順をブログで発表している。

この Shared Key に付与される権限が、過大だということなのでしょう。2023/04/11 の「脆弱性の 2%に対処すれば資産の 90%を保護できる」でも、「ユーザーとサービス・アカウントが持つ、権限の範囲を縮小することに集中すべきだ。ユーザーがアクセスできるシステムの範囲を絞ることで、それらの資格情報が攻撃の後半で悪用されるリスクを減らせる」と指摘されていました。それとは真逆の特性が、Shared Key にはあるのでしょう。よろしければ、以下の関連記事も、ご参照ください。

2023/03/29:クラウド環境の ID:権限の 1% だけが使用される
2023/03/22:AD におけるインサイダーの脅威:問題点を洗い出す
2023/03/10:MFA の限界を知ろう:AD との相性の悪さについて

%d bloggers like this: