شرکت Chainstack جزئیات فنی بیشتری را در مورد حادثه امنیتی که در تاریخ ۳ نوامبر افشا کرد، ارائه کرده است. گزارش به‌روز شده این شرکت که بخشی فنی آن به تاریخ ۱۰ نوامبر برمی‌گردد، به رخنه امنیتی در ماه اکتبر اشاره دارد که ناشی از شکست در پیکربندی و کنترل دسترسی بوده است. این شرکت اعلام کرده است که هیچ مدرکی دال بر سوءاستفاده از یک آسیب‌پذیری نرم‌افزاری کشف نشده است.
**نحوه شکست کنترل‌های دسترسی**
طبق گزارش Chainstack، مهاجم از طریق یک نمونه توسعه Grafana با اعتبارنامه‌های پیش‌فرض مدیر که تغییر نیافته بودند، وارد سیستم شده است. یک سرور ابزار بدون احراز هویت با مجوزهای گسترده Kubernetes نیز بخشی از مسیر دسترسی بوده است. اعتبارنامه‌های ماشین نیز محیط‌های توسعه و تولید را به هم متصل می‌کردند.
درس عملیاتی مهم در اینجا، میزان دسترسی یک حساب کاربری پس از اولین ورود است. یک سرویس آزمایشی کم‌اهمیت می‌تواند در صورت توانایی ارتباط با سیستم‌های حساس یا داشتن امتیازاتی فراتر از وظیفه فوری خود، پیامدهای جدی به بار آورد.
**اطلاعات در معرض خطر و توصیه‌ها به مشتریان**
گزارش، نام حساب‌ها، جزئیات سازمان، آدرس‌های ایمیل و هش‌های رمز عبور را به عنوان داده‌های بالقوه در معرض خطر شناسایی کرده است. با وجود عدم کشف مدرکی مبنی بر خوانده شدن اعتبارنامه‌های نود (Node)، این اعتبارنامه‌ها نیز در معرض خطر تلقی شده‌اند. از مشتریان خواسته شده است تا رمزهای عبور خود را تغییر دهند، اعتبارنامه‌های نود را چرخش دهند و کلیدهای API پلتفرم را در صورت استفاده مجدداً تولید کنند.
هش رمز عبور و یک توکن دسترسی فعال، مشکلات متفاوتی ایجاد می‌کنند. هش‌ها نمایشگر رمزهای عبور هستند، در حالی که یک توکن فعال می‌تواند مستقیماً درخواست‌ها را مجاز کند. بنابراین، جایگزینی رمز عبور ورود به معنی باطل شدن تمام اعتبارنامه‌های دیگر مرتبط با یک برنامه کاربردی نیست.
به همین دلیل، راهنمایی‌های مربوط به حوادث باید انواع اعتبارنامه‌های تحت تأثیر را به وضوح مشخص کنند. یک دستور ساده برای تغییر رمز عبور می‌تواند توسعه‌دهندگان را در مورد نقاط پایانی برنامه، کارهای خودکار و ادغام خدمات نامطمئن بگذارد.
**تکمیل فرآیند چرخش اعتبارنامه‌ها**
مستندات مدیریت نود Chainstack یک فرآیند چرخش مرحله‌ای را شرح می‌دهد. اعتبارنامه‌های جدید همزمان با فعال ماندن اعتبارنامه‌های موجود تولید می‌شوند. سپس برنامه‌های کاربردی می‌توانند قبل از غیرفعال شدن اعتبارنامه‌های قدیمی، به موارد جایگزین منتقل شوند.
این مستندات بیان می‌کند که هر دو مجموعه تا مرحله نهایی به کار خود ادامه می‌دهند و هیچ محدودیت زمانی خودکاری وجود ندارد. تکمیل چرخش، درخواست‌های استفاده از اعتبارنامه‌های قبلی را به طور دائمی رد می‌کند. همچنین گفته شده است که چرخش نود، توکن احراز هویت چند زنجیره‌ای (Multichain Authentication Token) را تغییر نمی‌دهد.
برای یک اپراتور، این همپوشانی خطر قطع سرویس در حال کار را هنگام به‌روزرسانی برنامه‌ها کاهش می‌دهد. مسئولیت متناظر، تکمیل مهاجرت است. تولید یک جایگزین به تنهایی، روش دسترسی قبلی را همچنان در دسترس نگه می‌دارد.
بنابراین، یک رکورد تکمیل مفید باید ردیابی کند که کدام برنامه‌ها منتقل شده‌اند و اعتبارنامه‌های قدیمی چه زمانی غیرفعال شده‌اند. این یک کنترل عملی است که یک تیم می‌تواند پس از شرایط اضطراری اولیه، آن را تأیید کند.
**مشکل طراحی اساسی آشناست**
راهنمایی‌های امنیتی Grafana هشدار می‌دهند که سرویس‌های موجود در شبکه محلی آن ممکن است از طریق پروکسی منبع داده آن قابل دسترسی باشند. این راهنمایی‌ها کنترل‌هایی مانند محدود کردن مقاصد مجاز و استفاده از قوانین فایروال برای محدود کردن دسترسی به سرویس‌های داخلی حساس را شرح می‌دهند.
این اقدامات احتیاطی، آنچه را که یک ابزار می‌تواند به آن دسترسی پیدا کند و همچنین چه کسی می‌تواند وارد آن شود را بررسی می‌کنند. احراز هویت و مرزهای شبکه وظایف متفاوتی را انجام می‌دهند؛ محدودیت‌های مجوز لایه دیگری را در صورت شکست هر یک از این مرزها فراهم می‌کنند.
گزارش NewsBTC در مورد بازیابی خدمات غربالگری Chainalysis نشان می‌دهد که چرا بازیابی عملیاتی و تحلیل افشای داده‌ها می‌توانند دارای زمان‌بندی‌های متفاوتی باشند.
گزارش گسترده Chainstack جزئیات بیشتری را برای ارزیابی در اختیار مشتریان قرار می‌دهد. آزمون باقی‌مانده این است که آیا تغییرات دسترسی تکمیل شده‌اند و آیا کنترل‌های اصلاح‌شده می‌توانند از دسترسی یک سرویس در معرض خطر به فراتر از نقش مورد نظر آن جلوگیری کنند.
