S3 Compatibility Doesn't Guarantee S3-Level Security

Nghiên cứu của Wiz đã kiểm tra dịch vụ lưu trữ đối tượng tương thích S3 trên sáu nền tảng neocloud phổ biến. Họ phát hiện rằng nhiều dịch vụ này thiếu các cơ chế bảo mật chuẩn của Amazon S3 như chính sách bucket granulariy, mã hoá mặc định và kiểm soát truy cập dựa trên IAM. Do đó, các bucket có thể bị cấu hình sai hoặc để công khai, dẫn đến rủi ro rò rỉ dữ liệu nhạy cảm. Các cuộc tấn công được minh họa trong báo cáo cho thấy kẻ tấn công có thể lấy được đối tượng mà không cần xác thực khi các dịch vụ không áp dụng đúng các hạn chế truy cập. Bài học chính là việc tương thích S3 chỉ đảm bảo giao diện API, không bảo bảo mức độ bảo mật, vì vậy đội ngũ bảo mật cần đánh giá từng dịch vụ riêng biệt và không dựa vào giả định mức độ bảo mật của Amazon S3.