云安全之浅谈密钥泄露

前言

如今越来越多公司选择使用云平台，诸如:阿里云、腾讯云、AWS、Azure。使用云平台大大降低了企业的资源成本，另一方面随着公用云的普及，也存在着一些风险。现代应用程序需要与其他外部应用程序通信，并且它们需要内部服务到服务的通信。 这意味着访问任何服务、应用程序和数据都需要大量凭证或密钥。而密钥泄漏、配置不当等问题正引起的越来越安全问题。

常见的密钥

1. 用户凭据

这些通常是用户名和密码组合，用于验证物理用户以及授予对受保护数据、服务或端点的访问权限。 它们绑定到特定用户。

2.数据库连接字符串

连接字符串将应用程序连接到数据库服务器。 因此它将包含建立与目标数据库或文件的连接所需的所有凭据（秘密）。

3. 密钥

这些可确保通过风险介质进行安全通信，并有助于身份验证和用户身份验证。 秘密包含加密和解密密钥。

4.云服务访问凭证(AK)

访问云服务提供商提供的数据、资源和服务器所需的秘密。 它们包含确认访问云资源的用户身份验证所需的凭据。

5. 应用程序编程接口 (API) 密钥

识别 API 请求来源所需的秘密。

6. 访问令牌

发出 API 请求以支持用户所需的秘密。

 

云服务访问凭证(AccessKey)

虽然有很多密钥类型都需要我们关注，今天我们主要讨论的就是云服务的访问凭证。

AccessKey（即访问密钥）是云平台用户在通过API访问云资源时用来确认用户身份的凭证，以确保访问者具有相关权限。AccessKey由云平台提供商（如亚马逊AWS、阿里云等）颁发给云主机的所有者，一般由AccessKeyID（访问密钥ID）和Secret Access Key（私有访问密钥）构成。

主要的泄露方式

1. 硬编码产生泄露

例如将AK/SK硬编码到程序代码/配置文件中，攻击者只需要对小程序包进行反编译即可获取AK/SK，例如下面的代码配置文件中，直接包含了AK/SK的信息，如果攻击者获取了相关内容就可以直接拿到，并进行后续动作。

同时，由于github等代码托管仓库的风靡，是越来越的项目得到开放和传播，但是如果在开发时不慎将AK/SK泄露，产生的影响也会随之而扩大。

常见的信息获取方式如搜索github，FOFA等

2. 云存储泄露

随着越来越多数据到云端，我们可能会看到更多配置错误导致意外的数据泄露。如果存储桶因意外或故意原因让任何人都可以访问，那么，如果这些文件的权限被设置为公开，则存储桶中所有数据都可能被泄露。即使数据不是机密数据，这些数据也可能被用于进一步攻击，也许通过分析文件中的元数据。常见的配置错误如：

• Bucket允许任意文件上传和读取
• bucket允许匿名访问
• bucket允许列出文件
• bucket允许盲上传
• bucket允许任意读取/写入对象
• bucket显示ACP/ACL

而这些问题大部分的产生是由于客户配置错误，凭证管理不当泄漏，而不是云提供商方面的漏洞。

3. 网络请求泄露AK/SK

通过后端API将AK/SK返回到前端，攻击者只需要对程序进行网络抓包，即可获取后端返回的AK/SK，举例如下，可以清楚看到该API的返回内容泄露了多个公有云厂商的AK/SK

一些优化建议

优化开发并配合检测工具

针对硬编码带来的安全问题，首先需要解决额就是问题的源头，所以我们需要提升开发者的安全意识和安全习惯，这样可以最大程度的避免问题的发生。

当然问题不会那么理想，很多时候由于人员水平和管理水平的局限性，无法要求所有的开发人员都能做到完全的自我安全管理，那这个时候我们就要配合必要的安全检测工具，在代码提交到仓库前，发现其中潜在的AK/SK泄露问题。将两者结合可以更好的优化和解决问题。

监控和审计

要配合适当的监控和审计能力，监控是为了实时的去发现问题的出现，而审计则更加关注问题出现后的处理和追溯。配合适当的工具和能力，这样一旦发生了泄露事件，我们可以根据监控和审计情况，快速定位问题的影响范围，并锁定攻击者，快速处理和修复。

这部分能力，大多数的云供应商都有提供相关工具，当然基于云中的责任共担模型，使用工具和管理上层安全是需要用户去负责的，所以最关键的问题还是在用户层面。

建立持续性云上安全检测机制

最后也是最重要，针对云上层出不穷的安全问题，错误配置是最常见的原因，“1%的错误配置会让99%的安全防护工作失去意义”。对已经上云的资源，建立持续性的机制，主要通过预防、检测、响应和主动识别云基础设施风险，持续管理云安全状况，以及企业的安全策略，主动与被动结合，发现评估云服务的安全配置风险，一旦发现问题，可以提供自动或者人工的补救措施。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

• 2023届全国高校毕业生预计达到1158万人，就业形势严峻；
• 国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

 “没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。 

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

 2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

 行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

 1.学习路线图 

 攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

  （都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。 

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。 

 还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

 最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取