Kelemahan pengebilan yang ketara dalam perkhidmatan storan Amazon Web Services ( AWS ) S3 telah diselesaikan selepas ia membenarkan pelaku berniat jahat atau sistem yang salah konfigurasi meningkatkan bil awan secara mendadak untuk pemilik baldi yang tidak bersalah. Isu ini, yang menjejaskan pengguna sepanjang tahun 2024, telah mencetuskan perbincangan penting mengenai amalan pengebilan awan dan keselamatan.
Garis Masa Peristiwa:
- April 2024: Kelemahan dilaporkan secara terbuka
- Mei 2024: AWS mengumumkan perubahan dasar untuk menghentikan pengenaan caj bagi permintaan tidak dibenarkan
- Ogos 2024: Dasar pengebilan baharu dilaksanakan sepenuhnya
Penemuan Yang Mahal
Kelemahan ini terbongkar apabila seorang pembangun yang bekerja pada sistem pengindeksan dokumen mendapati bil AWS mereka telah meningkat kepada lebih daripada 1,300 dolar Amerika Syarikat dalam masa hanya dua hari selepas mencipta apa yang sepatutnya menjadi baldi S3 peribadi yang mudah. Bil yang mengejutkan itu mendedahkan hampir 100 juta permintaan S3 PUT yang dilaksanakan dalam satu hari - semuanya daripada sumber luaran yang cuba mengakses baldi tanpa kebenaran.
Punca utama dapat dikesan kepada alat sumber terbuka yang popular yang menggunakan nama baldi yang sama sebagai pemegang tempat lalai dalam konfigurasinya. Setiap penggunaan alat ini dengan tetapan lalai cuba menyimpan sandaran dalam baldi peribadi pembangun, menghasilkan volum permintaan yang besar dan caj yang sepadan.
Contoh Impak Kos:
- Bil asal: Melebihi $1,300 USD dalam 2 hari
- Jumlah permintaan: Hampir 100 juta permintaan S3 PUT dalam 24 jam
- Kadar pengumpulan data: 10GB dikumpul dalam masa kurang daripada 30 saat apabila baldi dibuka untuk ujian
Dasar Pengebilan Kontroversi AWS
Apa yang menjadikan situasi ini amat bermasalah ialah dasar AWS untuk mengenakan caj kepada pemilik baldi bagi semua permintaan masuk, termasuk yang tidak dibenarkan yang mengakibatkan ralat akses ditolak. Ini bermakna sesiapa sahaja yang mengetahui nama baldi boleh dengan sengaja atau tidak sengaja meningkatkan kos pengguna lain tanpa perlu mempunyai akaun AWS sendiri.
Dasar ini melangkaui caj permintaan mudah. Apabila permintaan S3 tidak menyatakan wilayah, ia akan lalai kepada wilayah ap-east-1 dan dialihkan mengikut keperluan, dengan pemilik baldi membayar yuran tambahan untuk permintaan yang dialihkan ini.
Implikasi Keselamatan Melangkaui Pengebilan
Kelemahan ini mendedahkan lebih daripada sekadar kebimbangan pengebilan. Apabila pembangun yang terjejas membuka baldi mereka untuk penulisan awam buat sementara waktu untuk menyiasat isu tersebut, mereka mengumpul lebih daripada 10 gigabait data sensitif dalam masa 30 saat daripada pelbagai sistem yang salah konfigurasi yang cuba menyimpan sandaran. Ini menyerlahkan bagaimana kesilapan konfigurasi boleh membawa kepada kebocoran data yang serius, dengan syarikat tanpa sedar menghantar maklumat sulit kepada baldi S3 rawak.
Langkah Pencegahan yang Disyorkan oleh Komuniti:
- Gunakan rentetan rawak untuk nama baldi
- Tambahkan akhiran rawak pada nama baldi yang boleh dibaca manusia
- Aktifkan AWS CloudTrail atau S3 Server Access Logging untuk pemantauan
- Pertimbangkan alternatif pengebilan berasaskan penggunaan untuk kebolehramalan kos
AWS Bertindak Balas dan Perubahan Dasar
Berikutan tekanan komuniti dan laporan penyalahgunaan pengebilan ini, AWS mengumumkan pada bulan Mei 2024 bahawa ia akan berhenti mengenakan caj kepada pemilik akaun untuk permintaan buruk atau tidak dibenarkan kepada baldi S3 . Perubahan dasar ini, yang dilaksanakan menjelang bulan Ogos 2024, menangani kelemahan teras yang membenarkan pihak luar memanipulasi pengebilan melalui permintaan yang tidak diingini.
Komuniti teknologi telah bertindak balas dengan reaksi bercampur-campur. Walaupun ramai yang menghargai pembetulan ini, sesetengah pembangun kini menyokong penggunaan rentetan rawak dalam nama baldi atau menambah akhiran rawak untuk mencegah isu serupa. Yang lain telah menggunakan insiden ini untuk berhujah supaya beralih daripada model pengebilan awan berasaskan penggunaan sepenuhnya, mencadangkan bahawa pengurusan pelayan tradisional atau perkhidmatan kolokasi menawarkan kos yang lebih boleh diramal.
Penyelesaian kelemahan ini mewakili langkah penting dalam keselamatan awan dan keadilan pengebilan, tetapi ia juga berfungsi sebagai peringatan tentang cara yang tidak dijangka perkhidmatan awan boleh mendedahkan pengguna kepada risiko kewangan dan keselamatan.
Rujukan: How an empty S3 bucket can make your AWS bill explode