Amazon EC2 के लिए उबंटू इमेज में बैकडोर, इसे देखें!

नवंबर में, अच्छा करहोस आदमी करहोस ने हमारे साथ अमेज़ॅन क्लाउड (अमेज़ॅन फ्री वीपीएन ) पर एक मुफ्त व्यक्तिगत वीपीएन के आयोजन के लिए एक उत्कृष्ट नुस्खा साझा किया। संक्षेप में, जो लोग चूक गए, उनके लिए उबंटू सर्वर 10.04 से माइक्रो-छवि को लॉन्च करने और लगातार उन्नत करने के लिए ओपनवीपीएन कॉन्फ़िगर किया गया है और अमेज़ॅन के मुफ्त कोटा में फिट बैठता है (यह केवल एक वर्ष के लिए दिया जाता है, लेकिन अभी भी)। कई लोगों ने इस अवसर का लाभ उठाया, जिसमें स्वयं भी शामिल थे।

आज मुझे अमेज़ॅन से एक पत्र मिला जिसमें शीर्षक "आपके कार्यों की आवश्यकता है।" पत्र का सारांश:

नमस्कार।

हमने हाल ही में देखा कि सार्वजनिक रूप से उपलब्ध एएमआई छवि में एक सार्वजनिक एसएसएच कुंजी शामिल है, जिससे छवि के लेखक को रूट के रूप में लॉग इन करने की अनुमति मिलती है। इसके अलावा, हमारे लॉग के अनुसार, आपके पास इस एएमआई से लॉन्च (या) उदाहरण हैं।

समझौता एएमआई: एमि-सी 2 ए 255एबी
आपका खाता आईडी: xxxxxxx
इंस्टेंस आईडी (s): xxxxxxx

ब्ला ब्ला ब्ला, तात्कालिक रूप से अन्य उदाहरणों के लिए सब कुछ स्थानांतरित करें, इस एएमआई उदाहरण से किसी भी अधिक शुरू न करें। इस कुंजी के साथ अपने इंस्टेंस तक पहुंच को भी ब्लॉक करें। ऐसा करने के लिए, निम्नलिखित सामग्री के साथ '/root/.ssh/authorized_keys' फ़ाइल और '/home/ubuntu/.ssh/authorized_keys' में लाइन ढूंढें और हटाएं:

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCU8QRvONa / Rv4mXSDMVFX7EnIiJd2nuQ0mUHPTGNUCq0PjyNemjXTLztxfbA9q8 + S9T7q1UJG3dp49EzE1Gq8KAQm6vmSn80pPrm3hTHAmiBboIZzoqv6PSedkUvZyqqBn1NK0VZxGH7JvsagW95R2AfTdEwdXRjorxtPzi / MpYdoOzM41yzysyjmIZYdeOcZLliLfv9B31lTaFY2RfxpJ4TWlKh1Fo4 / IyUyd3uyih17ucbKiSdJ2G5iYS01wL18o9Ett8cyjtrYXDewEsGtrL0taQMuPpiD66 + HE37k4GWwNho6vsMSO1qbeTY431EQSaIrr / SKn8ToqnnLBy6On गुरु

ब्ला ब्ला ब्ला, असुविधा के लिए खेद है,
अमेज़न EC2 सुरक्षा टीम।

ami-c2a255ab एक बहुत ही छवि है जिसे कैरहोस ने अपने विषय में संदर्भित किया है। Google ने मदद करते हुए कहा कि न केवल मुझे इस तरह का पत्र मिला है, किसी तरह के व्यक्ति ने पहले ही इसे पेस्टबिन पर पोस्ट कर दिया था । (अजीब बात है, पेस्टबिन ट्विटर के साथ प्रतिस्पर्धा करना शुरू कर रहा है :)

मैं अपने आरामदायक वीपीवी-चिक पर गया, जाँच की। यह पता चला कि ubuntu के लिए मैंने पहले इस कुंजी को हटा दिया था, लेकिन रूट के लिए यह नहीं है। उन्होंने याद करना शुरू किया और याद किया कि उदाहरण स्थापित करते समय उन्होंने इन चाबियों को देखा था, उनकी उपस्थिति पर आश्चर्यचकित थे, लेकिन सोचा कि अमेज़ॅन को खुद उनकी आवश्यकता हो सकती है। यह पहली बार था जब मुझे अमेज़ॅन ईसी 2 के साथ सौदा करना पड़ा, या सर्वर उबंटा की स्थापना के साथ। सामान्य तौर पर, मैंने इसे इस डर से छोड़ दिया कि मैं सर्वर पर नहीं जा सकता।

मैंने बाहरी प्रवेश द्वारों के लॉग नहीं देखे। रोटेशन के लिए डिफ़ॉल्ट सेटिंग्स के साथ, लॉग मेरे लिए लगभग एक महीने तक सहेजे गए थे। यदि यह SSH पोर्ट के लिए कुछ बॉट्स के निरंतर स्वोटिंग के लिए नहीं होता, तो शायद अधिक जीवित होता।

जाँच करने के लिए आदेश:

  ubuntu के लिए # कुंजी
 सुडो कैट / हॉम / जुबांट / एसश / अनधिकृत_की
 # जड़ की कुंजी
 sudo cat /root/.ssh/authorized_keys
 # एसएसएच लॉगिन
 grep स्वीकार करें / अनवर / बंद करें / शेयर करें। क्लिक करें
 zcat /var/log/auth.log.?.gz | grep स्वीकार करें 

अधिकृत_की में केवल एक कुंजी होनी चाहिए जो अमेज़ॅन ने आपको उदाहरण बनाते समय दी थी। यदि अन्य कुंजी (आपकी नहीं) हैं, तो उन्हें हटा दें।

मुझे नहीं पता कि क्या इसे पूर्ण अर्थों में पिछले दरवाजे कहा जा सकता है, क्योंकि प्रवेश की संभावना नहीं है। सबसे अधिक संभावना है, कुंजी केवल इस छवि के लेखक से बनी रही, जिसका कोई बुरा इरादा नहीं था। एक और दिलचस्प सवाल, अमेज़ॅन गार्ड ने वास्तव में क्या प्रतिक्रिया दी? संभवत: एक ग्राहक की शिकायत पर कि वे उसमें चढ़ गए। (हालांकि पत्र स्पष्ट रूप से यह नहीं बताता है।) लेकिन केवल गुप्त कुंजी का धारक ही ऐसा कर सकता है, अर्थात, फिर से, छवि का लेखक।

किसी भी मामले में, ग्राहकों के लिए उनकी चिंता (और उनकी प्रतिष्ठा) का सम्मान किया जाता है। हमारे क्लाउड सेवाओं के लिए एक अच्छा उदाहरण है।

युपीडी।
जैसा कि साइलेंसएंडी सुझाव देता है, उबंटू में एएमआई पृष्ठ हैं जिन्हें आप बिना किसी डर के उपयोग कर सकते हैं: 8.04 , 9.10 , 10.04 , 10.10 , 11.04 b1

UPD2
इस छवि के लेखक, पाउलो फ़िश (गुरु), अपने ब्लॉग पर सदस्यता समाप्त कर चुके हैं:

Ami-c2a255ab छवि को हटा दिया जाएगा, क्योंकि मैंने मूर्खतापूर्वक अपनी सार्वजनिक SSH कुंजी वहां छोड़ दी है, जो मुझे इस AMI से चलने वाले किसी भी उदाहरण में लॉग इन करने की अनुमति देगा।
मैं असुविधा के लिए माफी मांगता हूं, और मैं आपको विश्वास दिलाता हूं कि यह केवल अनुभवहीनता से हुआ, और द्वेष से नहीं।
वास्तव में, टिप्पणियों में उन्होंने इस ओर इशारा किया, लेकिन तब मैंने सभी परिणामों की सराहना नहीं की। मेरी गलती है!