数百个泄露的 AWS 密钥赋予对企业账户的完全控制权

安全公司Truffle Security发现，在2022年8月至2026年8月期间公开暴露的超过9,300个Amazon Web Services（AWS）访问密钥仍然处于活跃且有效状态。

该公司追踪此类暴露已有四年，称其中有817个暴露密钥关联企业，其中526个为AWS根密钥。

研究人员指出，有242个密钥关联的是具有AdministratorAccess策略的Identity and Access Management（IAM）用户。该角色拥有在账户内创建、修改、删除和查看几乎所有AWS服务和资源的完全权限。

他们表示，两组数据中的768个存活密钥中，每一个都能“完全控制企业的AWS账户”。

Truffle Security在代码仓库、Git历史、数据集、Docker镜像、注册表和CI日志中总共发现431,875个AWS机密，去重后提取出64,024个唯一AWS密钥，对应50,654个AWS账户。

在研究人员拥有完整凭据可重新验证的子集中，共10,616个密钥，其中截至8月10日仍有88%能够成功认证。

AWS是亚马逊的云计算平台，企业用于托管网站和应用、存储数据、运行数据库和服务器、管理域名以及运营在线基础设施。

完全控制企业AWS账户可能使攻击者访问、外泄或清除云端数据，接管服务器和应用，并创建恶意管理员账户以实现持久访问。

威胁行为者还可利用其访问权限部署加密货币矿工，为企业产生巨额费用。Truffle Security表示，在2,754个可读账户中，仅262个设置了预算警报。

Hugging Face——一个开发者共享AI模型、数据集和应用的流行在线平台——是最大的单一AWS密钥泄露来源，占8,482次唯一密钥暴露。

其中17.9%的密钥为根密钥，即最高权限身份，不受IAM权限限制。

在有创建日期的2,903个密钥中，中位年龄为1,831天（约5年），最古老的已存在17.4年。

这些密钥中仅398个（13.7%）关联同一用户的较新访问密钥，表明大多数从未轮换。

为防止潜在滥用，研究人员建议删除所有根访问密钥，按存续时间审查IAM凭据，轮换或撤销已泄露密钥，并配置预算警报。

同时，任何提交至公共来源的凭据均应视为已泄露。

Truffle Security表示其测试仅限于只读元数据，并已通知所有可识别的凭证所有者。

亚马逊回应：亚马逊发言人向BleepingComputer提供了以下声明：

“AWS一旦获知密钥泄露，便会通知受影响的客户。我们还会彻底调查所有关于密钥泄露的报告，并迅速采取必要措施，例如应用隔离策略以最大限度降低客户风险，同时不中断其IT环境。如需向AWS报告任何安全问题（包括客户凭据泄露），请发送邮件至 aws-security@amazon.com（PGP密钥）。”

“AWS通过责任共担模式帮助客户保护其云资源。我们鼓励所有客户遵循安全、身份和合规最佳实践。若客户怀疑其凭据可能已泄露，可先按照此博文中的步骤操作。客户可随时联系AWS支持以获取有关账户安全的任何问题或疑虑。”