Amazon успокоила клиентов своих "облачных" сервисов

Amazon успокоила клиентов своих "облачных" сервисов

Причина для беспокойства у пользователей Amazon Web Services появилась на прошлой неделе, когда команда исследователей из Рурского университета объявила о наличии уязвимостей в системах защиты этой платформы. В ответном слове Amazon проясняет ситуацию и подчеркивает, что изъяны являлись не слишком опасными.


Согласно исследованиям немецких специалистов, теоретически внутренние механизмы "облачной" платформы Amazon и программной среды с открытым кодом Eucalyptus (которая также используется для построения закрытых систем распределенных вычислений) позволяли потенциальным взломщикам посылать ложные команды от имени администратора - например, останавливать работу виртуальных машин или манипулировать объектами файловой системы. В случае с Amazon проблема была вызвана тем, что интерфейс SOAP раздельно выполнял операции по верификации подписей приложений и по интерпретации XML. Кроме того, ученые обнаружили возможность межсайтового исполнения сценариев при взаимодействии интерфейса AWS с магазином Amazon, злонамеренное использование которой могло привести к запуску вредоносного кода.

Команда исследователей опубликовала данные об уязвимостях после того, как Amazon и Eucalyptus внесли требуемые корректировки и закрыли потенциальные изъяны. Через некоторое время Amazon выпустила свой комментарий по поводу инцидента, разъяснив некоторые неоднозначные моменты и уверив пользователей в том, что ошибки безопасности не представляли сколь-либо существенной угрозы. По словам представителей компании, никто из ее клиентов не успел пострадать от эксплуатации этих уязвимостей, а главное - на пути практической реализации их вредоносного потенциала стояли другие защитные механизмы.

В бюллетене Amazon, в частности, говорится, что потенциальный изъян в AWS был актуален лишь для небольшого количества API-вызовов, при обработке которых не используется шифрование, и не являлся широко распространенной уязвимостью, как предполагалось изначально; кроме того, те пользователи, которые в полном объеме задействовали арсенал защитных методов и приемов AWS, вообще могли не опасаться этой ошибки безопасности. Компания также подчеркнула, что активно и регулярно сотрудничает со специалистами по защите данных, и рассматриваемый случай не был исключением - так что уязвимости были исправлены со всей возможной оперативностью, и теперь пользователям ничто не угрожает.

The Register

Письмо автору

Глава СПЧ уточнил: VPN для дела нужен, но к иноагентам отношение прежнее

Глава СПЧ Валерий Фадеев уточнил своё отношение к VPN после резонанса вокруг его слов о пользователях, которые ищут, что говорит враг. По его словам, эту фразу вырвали из контекста.

На марафоне «Знание. Первые» Фадеев заявил, что VPN является частью большого интернета и полностью отключать такие технологии нельзя.

Через VPN-каналы работают банки, бизнес и связь с зарубежными партнёрами, поэтому резкие ограничения могут привести к экономическим проблемам.

При этом глава СПЧ разделяет использование VPN для дела и доступ к заблокированным СМИ. Своё отношение к «Медузе» и «Дождю», которые в России признаны иноагентами и нежелательными организациями, он не изменил: по словам Фадеева, это пропаганда и точка зрения врага.

Фадеев также прокомментировал реакцию СМИ на свои слова. Он заявил, что журналисты часто стараются упаковать сложную мысль в одно наглое и дерзкое предложение, которое затем расходится по Сети.

Заявление прозвучало на фоне обсуждения возможной платы за зарубежный VPN-трафик в мобильных сетях. Такая инициатива, по данным СМИ, сейчас прорабатывается Минцифры. При этом интерес к VPN растёт: в марте российские пользователи Google Play скачали VPN-приложения 9,2 млн раз, что в 14 раз больше, чем годом ранее.

RSS: Новости на портале Anti-Malware.ru