Lessons learned: Using a cybersecurity vendor to check for malicious links

Dropbox · 2023 · 3. Quy mô lớn · Độ khó: Cơ bản — bài gốc

Bài ngắn, dạng công bố sự cố; không có chi tiết kỹ thuật về lỗi tích hợp.

Bối cảnh

Dropbox dùng nhà cung cấp bảo mật bên thứ ba để kiểm virus, malware, phishing; một vendor kiểm các URL nhúng trong tài liệu chia sẻ qua Dropbox và tải lên DocSend.

Sự cố: 2023-02-28, qua một báo cáo bug bounty, Dropbox biết URL từ Dropbox và DocSend có mặt trong cơ sở dữ liệu mà khách trả phí và đối tác khác của vendor dùng để kiểm malware. Theo Dropbox, đó là lỗi tích hợp phía Dropbox; chỉ URL được gửi, không có tài liệu hay nội dung khác; kiểm soát truy cập trên URL (mật khẩu, xác thực) vẫn còn.
Phản ứng: dừng gửi URL ngay, điều tra, làm việc với vendor để xoá URL khỏi cơ sở dữ liệu của họ. Ảnh hưởng: 0,5% người dùng Dropbox đã đăng ký và 10% người dùng DocSend; không thấy bằng chứng bị khai thác.
Hướng mới: dựa nhiều hơn vào tín hiệu hành vi của kẻ xấu và giới hạn lạm dụng API, thay vì gửi dữ liệu người dùng ra ngoài để kiểm.

Dữ liệu gửi cho một dịch vụ bảo mật của bên thứ ba có thể trở thành dữ liệu của mạng lưới khách hàng của chính dịch vụ đó; người gửi phải biết vendor dùng dữ liệu thế nào, không chỉ vendor trả kết quả gì.

Mỗi tích hợp gửi dữ liệu người dùng ra ngoài là một đường rò; xét chế độ chia sẻ/lưu trữ của API vendor như xét quyền truy cập.
URL chia sẻ là dữ liệu nhạy cảm (thường tự nó là quyền truy cập).
Kênh bug bounty bắt được cả lỗi nằm ở hệ của bên thứ ba.