微軟日前終於承認，兩年前錯誤地泄露了公司員工的38TB私人數據，包括密碼、私鑰和Teams消息。這一網絡安全事件發生在2020年7月，直到今年早些時候才被發現。

SAS令牌是數據泄露元兇

微軟表示，那次泄漏事件的原因是該公司的Azure雲平台上共享了一個配置錯誤的Blob存儲桶，同時將开源人工智能學習模型分享給了公共GitHub存儲庫。

微軟認爲，大量泄露的數據與使用了一種共享訪問籤名(SAS)令牌有關，該令牌允許對泄露的文件進行完全訪問和控制。

微軟創建SAS令牌是爲了將存儲帳戶內的適當數據訪問級別分配給公司中的不同員工。這些令牌可以精確地分配訪問權限，直至指定客戶端可以與之交互的資源、他們可以訪問的內容、他們對這些資源的權限以及可以持續訪問多長時間。

安全服務商Wiz的研究人員發現了這一漏洞，並將此類令牌的使用描述爲“難以監控和撤銷”。

Wiz警告說，“對這些令牌的監控措施似乎是不夠的。由於缺乏監控和治理，SAS令牌構成了安全風險，它們的使用應該盡可能受到限制。這些令牌很難追蹤，因爲微軟沒有提供在Azure門戶中管理它們的集中方式。”

Wiz研究團隊表示，“這些令牌可以配置爲永久有效，沒有到期時間。因此，使用countSAS令牌進行外部共享是不安全的，應該完全避免。”

微軟泄露了哪些數據?

據報道，微軟泄露的數據包括來自359名員工的3萬多條MicrosoftTeam內部信息，以及MicrosoftServices的密碼和密鑰。

在被告知泄露的兩天後，該公司在6月24日撤銷了SAS令牌，阻止了對Azure存儲帳戶的所有外部訪問。

不過微軟當時堅稱，此次泄露事件沒有泄露客戶的任何數據，也沒有其他內部服務由於此次泄露而面臨危險，並表示已於8月16日完成了對此次泄露事件對該公司影響的調查。

爲了降低再次發生類似事件的風險，微軟在2022年12月擴展了其祕密掃描服務，以包括任何可能過期或特權時間過長的SAS令牌。

該公司安全團隊聲稱：“該服務運行微軟提供的SAS檢測，標記指向VHD和私鑰等敏感內容的AzureStorageSASURL。我們擴展了這種檢測的規模，以包括任何可能具有過度許可的過期或特權的SAS令牌。”

---

標題：SAS令牌安全事件發生兩年後，微軟終於承認泄露了38TB數據

地址：https://www.utechfun.com/post/267278.html