{"id":239973,"date":"2020-12-27T00:11:00","date_gmt":"2020-12-26T23:11:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=239973"},"modified":"2020-12-23T10:59:27","modified_gmt":"2020-12-23T09:59:27","slug":"ungeschtztes-azure-blob-legt-500-000-vertrauliche-dokumente-offen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/12\/27\/ungeschtztes-azure-blob-legt-500-000-vertrauliche-dokumente-offen\/","title":{"rendered":"Ungeschütztes Azure Blob legt 500.000 vertrauliche Dokumente offen"},"content":{"rendered":"

[English<\/a>]Einem britischen App-Entwickler ist ein folgenreicher Fehler unterlaufen, weil er eine Microsoft Azure Blob ungesch\u00fctzt in der Cloud betrieb. In Folge konnte \u00f6ffentlich und ohne jegliche Zugangskontrolle auf \u00fcber 500.000 vertrauliche Dokumente, teilweise mit medizinischen Daten, zugegriffen werden.<\/p>\n

<\/p>\n

Was ist Azure Blob?<\/h2>\n

\"\"Azure Blob Storage ist die Objektspeicherl\u00f6sung von Microsoft f\u00fcr die Cloud. Blobspeicher ist f\u00fcr die Speicherung gro\u00dfer Mengen unstrukturierter Daten optimiert. Unstrukturierte Daten sind Daten, die keinem bestimmten Datenmodell und keiner bestimmten Definition entsprechen (also beispielsweise Text- oder Bin\u00e4rdaten). Mehr Details lassen sich in der Beschreibung Einf\u00fchrung in Azure Blob Storage<\/a> nachlesen.<\/p>\n

Der Datenschutzvorfall<\/h2>\n

Ich bin bereits vor Tagen auf diesen Datenschutzvorfall gesto\u00dfen, der sich in Gro\u00dfbritannien ereignete und von The Register hier dokumentiert<\/a> wurde. Der in Surrey ans\u00e4ssige Entwickler von Business-Apps, Probase, hatte eine Microsoft Azure-Blob zum Speichern der ben\u00f6tigten Daten verwendet. Der Blob geh\u00f6rte zu einem CRM-Produkt des Entwicklers und enthielt 587.000 Dateien, von gesicherten E-Mails bis hin zu Briefen, Tabellenkalkulationen, Screenshots und mehr.<\/p>\n

Fakt ist, dass diese Microsoft Azure-Blob aus der Cloud vollst\u00e4ndig ungesichert per Internet erreichbar war. Jeder, der die ben\u00f6tigten URLs kannte, konnte auf die gespeicherten Informationen zugreifen. Es gab keine Sicherheitskontrollen f\u00fcr den Azure-Blob, d.h. die Daten konnten ohne Authentifizierung abgerufen werden. W\u00e4ren es nur Testdaten gewesen, h\u00e4tte man das achselzuckend zur Kenntnis nehmen k\u00f6nnen. Aber der Entwickler verwendete echte Daten aus speziellen Vorg\u00e4ngen. Der ungesicherte Microsoft Azure-Blob enthielt mehr als eine halbe Million vertraulicher und sensibler Dokumente von Kunden, die damit frei im Internet abrufbar waren.<\/p>\n

Laut The Register geh\u00f6rten zu den im Azure Blob enthaltenen Informationen arbeitsmedizinische Gutachten, Dokumente zu Versicherungsanspr\u00fcchen von US-Firmen, die von Lloyds of London gezeichnet wurden, und private Meinungen von \u00e4lteren Anw\u00e4lten \u00fcber j\u00fcngere Kollegen, die sich um eine Bef\u00f6rderung bewarben.<\/p>\n

Der Blob enthielt auch Sicherheitsdokumente von FedEx-Sendungen, interne Beschwerden der Lebensmittelfirma Huel, einer Investment-Management-Firma und unz\u00e4hligen anderen – und in mindestens einem Beispiel, das The Register laut eigener Aussage gesehen hat, einen Reisepass-Scan.<\/p>\n

Die Adresse des ungesicherten Microsoft Azure Blob wurde von Oliver Hough, einem Infosec-Forscher, entdeckt. Dieser sorgt sich zunehmend um die Sicherheit der in Blobs (Azure, AWS etc.) gespeicherten Daten. gab dann die Informationen an The Register weiter, in der Hoffnung, dass der Zugang gesperrt wird, sobald der Besitzer des Azure Blob identifiziert sei. The Register zitiert den Sicherheitsforscher mit:<\/p>\n

\"Einen solchen Storage-Bucket zu finden, bei dem ein Anbieter alle Dateien seiner Kunden in einen einzigen Bucket gepackt hat, anstatt f\u00fcr jeden Kunden einen separaten Speicher zu erstellen, zeigt, dass auch im Jahr 2020 die Grundlagen eines sicheren Designs noch immer nicht befolgt werden.\"<\/p><\/blockquote>\n

In einer Erkl\u00e4rung des Probase-Direktor Paul Brown gegen\u00fcber The Register gab dieser an, dass man mit der Datenschutzaufsicht (Information Commissioner) zusammen arbeite, aber jeglichen Kommentar dar\u00fcber verweigerte, seit wann der Azure Blob \u00f6ffentlich verf\u00fcgbar gewesen sei. Weitere Details, auch zu betroffenen britischen Kunden, lassen sich hier abrufen<\/a>.\u00a0 Der Fall zeigt wieder einmal, wie lax h\u00e4ufig mit h\u00f6chst brisanten Informationen umgegangen wird und wie wenig Sicherheitsdenken bei Entwicklern vorhanden ist.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Einem britischen App-Entwickler ist ein folgenreicher Fehler unterlaufen, weil er eine Microsoft Azure Blob ungesch\u00fctzt in der Cloud betrieb. In Folge konnte \u00f6ffentlich und ohne jegliche Zugangskontrolle auf \u00fcber 500.000 vertrauliche Dokumente, teilweise mit medizinischen Daten, zugegriffen werden.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-239973","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/239973","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=239973"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/239973\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=239973"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=239973"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=239973"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}