世界

研究者が 1,000 万の Web サイトをスキャンし、クラウド システムや重要なインフラストラクチャへのアクセスを密かに許可する数千の公開された API キーを発見

何千もの公開された API キーが重要なシステムへのアクセスを密かに許可します公開 Web ページには、クラウドおよび支払いサービスのロックを解除する認証情報が含まれています開発者は知らずにライブ Web サイトに機密 API トークンを埋め込んだままにしてしまうスタンフォード大学、カリフォルニア大学デービス校、デルフト工科大学のセキュリティ研究者らは、機密性の高い API 認証情報が何千もの公開 Web ページに公然と存在し、ほとんど保護されていないと述べています。によると arXiv に関する研究のプレプリント版研究者らは 1,000 万の Web ページを分析し、約 10,000 ページにわたって公開されている 1,748 の有効な資格情報を特定しました。これらの資格情報は、運用環境で使用されるクラウド プラットフォーム、支払いサービス、開発者ツールをカバーします。記事は下に続きます あなたは好きかもしれません 日常の Web サイト全体に広く露出この問題は、金融機関やインフラ関連サービスに関連した事件を含め、あまり知られていないサイトと知名度の高い組織の両方に及んでいます。スタンフォード大学の博士課程候補者であるヌルラ・デミール氏は、「私たちが発見したのは、公開 Web ページに公開されたままになっている非常に機密性の高い API 認証情報でした」と述べ、単独のミスではなく、制御が弱いことを示唆するパターンについて説明しました。これらの資格情報は、アプリケーションが外部システムと直接対話できるようにするアクセス トークンとして機能します。API 認証情報は、多くの場合、追加の検証層を必要とせずに、サービスへの自動化された継続的アクセスを可能にするため、標準のログイン詳細とは異なります。TechRadar Pro ニュースレターにサインアップして、ビジネスの成功に必要なトップ ニュース、意見、機能、ガイダンスをすべて入手してください。Demir 氏は、各キーに付与された権限に応じて、そのようなアクセスがデータベース、ストレージ…