La faille de sécurité de BMW a exposé des informations sensibles de l'entreprise

BMW's February 2024 cloud-storage exposure is a secret-management and public-bucket control incident, not a customer-data breach. TechCrunch and SOCRadar describe a Microsoft Azure-hosted storage bucket in BMW's development environment that was publicly accessible and contained private keys, Azure container access details, cloud-service information and development/production database credentials. BMW confirmed the affected development-environment bucket to TechCrunch, said no customer or personal data was impacted, and said the issue had been fixed at the beginning of 2024. The intelligence signal is the gap between taking a bucket private and proving that exposed credentials, keys and downstream cloud access were rotated, scoped and monitored.

La divulgation de BMW doit être lue à travers le plan de contrôle cloud derrière les opérations logicielles automobiles. Le dossier public se concentre sur un compartiment de stockage hébergé sur Microsoft Azure dans l'environnement de développement de BMW, qui était configuré pour un accès public. SOCRadar a indiqué que son chercheur Can Yoleri a découvert le compartiment lors d'une analyse le 18 décembre 2023, et TechCrunch a rapporté l'histoire le 14 février 2024. Voir aussi: La condamnation de Sam Bankman-Fried clôt un chapitre majeur de la fraude FTX.

Les éléments exposés n'ont pas été décrits comme des dossiers clients. TechCrunch a signalé des clés privées pour les services cloud de BMW en Chine, en Europe et aux États-Unis, ainsi que des identifiants de connexion pour les bases de données de production et de développement de BMW. SOCRadar a décrit des informations d'accès aux conteneurs Azure, des clés secrètes pour les adresses de compartiments privés et d'autres détails sur les services cloud. BMW a déclaré à TechCrunch qu'aucune donnée client ou personnelle n'avait été affectée et a indiqué que le problème avait été résolu au début de 2024. Voir aussi: La flotte de robotaxis Tesla opère sans supervision à Austin.

Cette limite est importante car le risque est opérationnel plutôt que dicté par la notification aux consommateurs. Un compartiment de développement public peut toujours exposer des secrets qui relient les environnements, les régions ou les services cloud. La surface de contrôle comprend la politique d'accès public, le stockage des secrets, la rotation des identifiants, la séparation développement/production, l'inventaire cloud, la surveillance de l'exposition et la preuve que les clés découvertes ne peuvent pas être réutilisées après le confinement. Voir aussi: Perturbation du cloud AWS de Bahreïn après une activité de drones.

Les questions non résolues font également partie du signal. Les sources publiques n'établissent pas combien de temps le compartiment est resté accessible, quelle quantité de données était accessible, si une partie a utilisé les éléments exposés, si chaque identifiant a été révoqué, ou si BMW a modifié les contrôles environnants. Ces questions doivent être suivies par le biais de rapports ultérieurs de l'entreprise, du chercheur ou de sources de sécurité de haute qualité, plutôt que d'être comblées à partir du titre. Voir aussi: Serve Robotics transforme les robots de livraison en test de financement public.