摘要
- Storm-0558 并非攻破某个联邦机构的密码控制。它利用 Microsoft 的消费者签名密钥制造表面上有效的身份令牌，随后又利用了 Microsoft 的一个验证缺陷，使这些消费者签名令牌能够访问企业 Exchange Online 邮件。
- 密钥获取途径仍未确定。Microsoft 在 2023 年 9 月提出的崩溃转储解释后来被缩小为一项主要假设，因为公司承认未找到包含该密钥的崩溃转储或能够证明密钥外泄的日志。密钥陈旧、跨边界验证缺陷、令牌异常检测薄弱以及取证保留有限，都是更具证据支持的故障发现。
- 问责取决于控制能力。只有 Microsoft 能够轮换平台密钥、修复服务端验证器、在其云端检测不可能的令牌组合、保留相关的内部证据并关闭攻击途径。客户可以改进监控和响应，但在 2023 年，关键的 MailItemsAccessed 遥测功能与更高价格的 E5/G5 许可证绑定。
一次身份控制故障，而非传统邮箱入侵
Storm-0558 入侵很容易被概括为一句熟悉的话：中国黑客窃取了一个 Microsoft 密钥并阅读了政府电子邮件。这句话在方向上是正确的，但在分析上却不够充分。它将攻击者的行为、Microsoft 未解决的加密材料丢失、一个独立的软件验证缺陷、一个陈旧的密钥生命周期决策、客户端的检测成功以及服务提供商的响应合并为单一事件。一旦将这些机制分开，责任分配就清晰得多了。
入侵的主要原因并非政府雇员交出密码、机构未能部署多因素认证，或者某部委有一台未打补丁的服务器。Storm-0558 拥有在 2016 年创建的 Microsoft 账户（即 MSA）消费者签名密钥的私钥。拥有私密签名密钥的一方可以生成签名能被对应公钥验证的令牌。因此，攻击者无需获取受害者密码即可声明身份。第二个 Microsoft 缺陷使得原本用于消费者账户的密钥能够对企业 Exchange Online 的请求进行身份验证。这导致了一种平台级别的冒充能力，跨越了 Microsoft 消费者和组织身份系统之间的边界。
Microsoft 的2023 年 7 月技术分析解释了基本机制：攻击者利用获得的消费者密钥伪造 Azure Active Directory 令牌，使用合法的 Outlook Web Access 流程，通过 GetAccessTokenForResource 接口获取 Exchange Online 令牌，并通过 OWA API 检索邮件。Microsoft 表示，一个设计缺陷还允许攻击者通过出示该接口先前颁发的一个令牌来获取新的访问令牌。这不仅仅是简单的失窃凭证重放。这是对 Microsoft 服务视为有效的凭证的未经授权的制造和续期。
这种区别对于云问责至关重要。客户通常仍需对其身份、设备卫生、权限、应用配置和事件响应负责。但客户无法检查或轮换云提供商的根签名材料，无法修补提供商的生产令牌验证器，也无法在提供商的身份颁发平面内部署检测器。当故障源于仅提供商可控制的环节时，将该事件描述为共同责任问题而不指明谁控制着哪个安全措施，会掩盖而非解释问题。
同样重要的是，不要将此次事件误归类为服务中断。公开记录并未显示 Exchange Online 对受影响机构不可用。损害在于保密性和可信通信的丧失，以及随之而来的巨大调查负担。公共部门的连续性不仅包括维持服务可访问。外交、经济、立法和国家安全工作依赖于官员能够使用一个不被对手暗中读取的通信系统。云服务可能在技术上保持“在线”，但其支持的公共功能可能变得不那么可信。
已确认、推断和未知的事实
应区分三类证据。
第一，公开记录明确确认：Storm-0558 使用 Microsoft 创建的 2016 年 MSA 消费者签名密钥伪造令牌；一个 Microsoft 验证缺陷允许这些令牌访问企业 Exchange Online 账户；美国国务院通过增强的邮箱访问日志发现可疑活动；Microsoft 通过一系列服务端更改缓解了已知技术。Microsoft 的披露、CISA 的响应咨询、受影响机构的声明以及网络空间安全审查委员会（CSRB）的重建均支持这些观点。
第二，CSRB 就可预防性、控制设计、安全文化、披露和行业实践做出了多项发现。其2023 年夏季入侵完整审查报告总结称，该事件本可预防，本不应发生。委员会采访了 20 个组织，获得了 Microsoft 的合作，对比了其他主要云服务提供商的控制措施，发现了一系列本可避免的失败。这些是独立的审查发现，并非司法裁决，但其分量远胜于仅基于 Microsoft 早期博客的评论。
第三，Storm-0558 获取 2016 年私钥的实际途径在公开记录中仍然未知。这一不确定性至关重要。Microsoft 于 2023 年 9 月发布了一个详细的崩溃转储叙述，随后在 2024 年 3 月更正称，未找到包含受影响密钥材料的崩溃转储。CSRB 报告称，Microsoft 探索了 46 种密钥盗窃假设，但仍未知道攻击者如何或何时获取了密钥。任何将崩溃转储视为已证实根本原因的说法都夸大了证据。
记录也未确立最终的法律损失分配。国会审查、调查要求以及 Microsoft 对 CSRB 发现的接受，均与问责相关。但它们不能替代法院判决、机构执法决定、合同解释或量化的损害赔偿分析。更恰当的结论是：Microsoft 控制着多个失效的安全措施，并为 CSRB 指出的问题承担责任；现有资料并不确立最终的民事、刑事或监管责任。
取证时间线
2016-2021 年：长期存在的密钥和延迟的迁移
Microsoft 于 2016 年创建了消费者签名密钥。密钥的年龄本身并非不安全的证据，但当组织无法自信地展示持续保管，且轮换会限制失窃材料的可用寿命时，密钥年龄就变得重要。CSRB 发现，Microsoft 的消费者 MSA 系统依赖手动轮换，而其企业身份系统已向自动化迈进。公司计划将消费者系统迁移至自动化技术，但在入侵前未完成该工作。
据 CSRB 所述，2021 年一次与手动流程相关的重大云中断后，Microsoft 停止了消费者签名密钥的手动轮换。但它并未部署自动化轮换替代方案，也未设置提醒负责团队存在老化活动密钥的警报。因此，该 2016 年密钥在 2023 年仍被接受。这是一个典型的可用性与安全性权衡，隐藏的延迟成本是：暂停一项风险手动程序可能降低即时中断风险，但遗留的自动化补偿未完成则使安全暴露无限期延续。
委员会的这一发现远比仅仅说“过期”密钥仍有效更有用。密钥的接受与否取决于服务的实时信任配置。关键故障在于，一个本应退役的密钥仍保留在信任集中。Microsoft 当前关于签名密钥轮换的指南指出，应用程序应以编程方式处理定期和紧急轮换，并推荐使用标准库以避免细微缺陷。该指南描述的是面向客户的验证行为，但其基本更广泛的原则是：密钥替换必须是一项工程化能力，而非一个因过于冒险而无法执行的脆弱仪式。
2018 年 9 月，Microsoft 针对同时服务消费者和企业用户的应用程序需求，推出了一个通用的密钥元数据发布端点。Microsoft 后来的说法是，文档已更新以解释密钥范围验证，但辅助库未更新以自动执行该范围检查。Exchange 邮件系统于 2022 年开始使用该通用元数据端点。开发者假设库执行了完整验证，并未添加所需的发行者或范围检查。因此，通用端点在提升互操作性的同时，也制造了一个信任边界风险：加密有效性被错误地视为在正确身份域内的授权。
CSRB 的重建记录了 2021 年的另一相关事件。Storm-0558 在 4 月至 8 月期间通过一名工程师的账号入侵了 Microsoft 公司网络。该工程师受雇于 Affirmed Networks（Microsoft 于 2020 年收购），Microsoft 认为该设备在收购前已遭入侵，随后以公司凭证连接至 Microsoft 环境。攻击者捕获并重放了一个认证令牌，访问了 SharePoint 中的材料，包括与 Azure 服务管理和身份相关的信息。委员会批评 Microsoft 未能在允许该已入侵的收购公司设备接入公司网络前检测到其被入侵状态。
此次 2021 年入侵是攻击者存在访问与兴趣的证据，但并非其当时获取 2016 年 MSA 密钥的证据。Microsoft 向委员会表示，2021 年入侵很可能与该事件关联，因为这是有记录以来唯一已知的 Storm-0558 对 Microsoft 网络的另一次入侵，但公司未提供将其与密钥盗窃联系起来的具体证据。严谨的陈述必须保留这一缺口。
2023 年 5-6 月：在提供商察觉前即已开始访问
Storm-0558 于 2023 年 5 月 15 日前建立了已识别的外部基础设施，并开始访问目标 Exchange Online 账户。CSRB 警告称，妥协窗口可能开始得更早，因为 Microsoft 的标准 30 天日志保留限制了一旦调查启动后可用的回顾性视野。因此，“首次出现”是一个证据边界，而非攻击的真实起点。
目标反映了情报优先事项。CSRB 最终统计确认了全球 22 个组织和 500 余名个人受害者，包括美国、英国和其他地区的受害者。账户包括商务部长吉娜·雷蒙多、美国驻华大使尼古拉斯·伯恩斯、负责东亚和太平洋事务的助理国务卿丹尼尔·克里滕布林克，以及国会议员唐·培根。Microsoft 的最初7 月 11 日事件通知提到约 25 个组织及相关消费者账户。差异最好被视为早期公司通知与后来独立重建之间的事件统计变化，而非新入侵的证据。
是国务院而非 Microsoft 检测到了该活动。6 月 15 日，国务院安全运营中心观察到异常。6 月 16 日，一条内部称为“Big Yellow Taxi”的自定义规则从 MailItemsAccessed 审计事件生成警报（该事件记录对 Exchange Online 邮箱项目的访问）。尽管可能存在误报，国务院仍进行了调查，并于当日联系了 Microsoft。至 6 月 19 日，国务院已确定 6 个账户被访问，包括与国务卿北京之行准备相关的账户。它确认了 6 月 21 日至 24 日期间另有 6 个账户被访问，另通过分析一台被扣押的虚拟专用服务器确认了另一个账户。
这些日期显示发现与遏制过程与持续访问同时发生。国务院的警报是一次检测成功，但它并未立即揭示伪造的平台凭证。Microsoft 起初调查了常见解释，如设备入侵和失窃的正确签发令牌。其分析人员随后发现 Exchange Online 认证制品与预期日志中的 Azure AD 令牌不符。大约在 6 月 26 日，Microsoft 确认攻击者正使用 2016 年消费者密钥创建同时适用于消费者和企业邮件的令牌。
CISA-FBI 联合咨询 AA23-193A对缓解能力的分配异常直白。它指出，由于受影响的基础设施是云端的，所有针对此活动的缓解行动均为 Microsoft 的责任。并称相关机构不了解其他任何能够检测此活动的审计日志或事件。客户发现了事件，但只有提供商能够关闭该技术。
6 月 26 日-7 月 3 日：分阶段缓解而非一刀切
Microsoft 的详细时间线记录了若干不同行动：
- 6 月 26 日，OWA 停止接受由 GetAccessTokenForResource 签发的令牌进行续期，关闭了攻击者滥用的续期行为。
- 6 月 27 日，Microsoft 阻止 OWA 使用由已泄露 MSA 密钥签名的令牌，防止通过已观察路径进一步访问企业邮件。
- 6 月 29 日，Microsoft 完成密钥替换，撤销了事件期间有效的所有 MSA 签名密钥，并从强化系统签发新密钥。
- 7 月 3 日，Microsoft 阻止将该密钥用于受影响的消费者客户，以防止使用先前签发的令牌。
这一顺序展示了为什么仅说“密钥被撤销”不足以描述遏制行为。伪造令牌活动可能涉及缓存的验证元数据、下游访问制品、续期接口、消费者和企业服务以及已签发的令牌。持久的遏制需要映射旧信任决定可能残存的每个位置。
Microsoft 表示，在已知令牌伪造路径被阻断后，观察到 Storm-0558 转向钓鱼和其他技术，且未再见到与密钥相关的活动。这支持了针对已观察方法的即时缓解措施的有效性，但并不证明原始获取路径已被识别，或攻击者从未获取其他敏感材料。CSRB 明确表示，访问其他密钥和数据的可能性仍未解决。
2023 年 7 月-2024 年 3 月：披露、日志改革与更正的根本原因声明
Microsoft 于 7 月 11 日公开披露了此次活动，并于 7 月 14 日发布了更深入的技术分析。其早期帖子正确描述了密钥滥用和验证错误，同时指出密钥获取仍在调查中。7 月 19 日，在与 CISA 协调后，Microsoft 宣布将向标准层客户免费提供详细电子邮件访问日志及 30 余种其他审计事件类型。公司还表示，审计标准版的默认保留期将从 90 天延长至 180 天。Microsoft 的日志扩展公告是一项实质性回应，因为它改变了谁能够看到检测提供商起源滥用行为所需的证据。
9 月 6 日，Microsoft 发布了其称为重大技术调查结果的内容。最初叙述声称，2021 年 4 月消费者签名系统崩溃产生了一个崩溃转储；竞争条件导致密钥进入该转储；该转储从隔离的生产环境移至与互联网连接的企业调试环境；凭证扫描器未发现它；随后 Storm-0558 入侵了一个有权访问该环境的工程师账户。由于相关日志已过时，Microsoft 将此称为最可能的获取机制。
这一叙述提供了一条连贯的链条，但该链条缺乏直接证据支持。Microsoft 的含版本 9 月报告现在以 2024 年 3 月 12 日更新开头。公司称其主要假设仍然是，操作失误导致关键材料离开安全签名环境，且该材料通过一个已入侵的工程师账号被访问。同时承认，未找到包含受影响密钥的崩溃转储，引用的竞争条件影响的是转储是否能离开签名环境，而非密钥材料能否出现在转储中，且移除此类材料并非标准流程，但在当时未被禁止。
这一更正改变了叙述的认识论状况。一个看似合理的假设并非根本原因发现。CSRB 报告称，Microsoft 在 2023 年 11 月告诉委员会，其在发布后不久即意识到 9 月声明不准确，但直到 2024 年 3 月才在委员会反复询问后发布更正。这一延迟成为委员会安全文化发现的一部分，因为客户依靠根本原因披露来判断实际获取路径是否已被关闭。
根本原因、触发因素与检测失败
当将触发因素与根本原因及检测与响应失败区分开时，事件分析会更加精确。
触发因素
操作触发因素是 Storm-0558 利用窃取的 2016 年 MSA 私钥创建令牌并通过 Exchange Online 访问路径呈现。攻击者选择了目标、操作了基础设施、铸造了身份断言、访问了邮件并外泄了消息。攻击者对恶意入侵负有责任。将事件归因于与中华人民共和国关联的情报行为者是一项 Microsoft 和 CSRB 报告的情报评估；本文不独立归因国家指挥。
技术根本原因与促成条件
第一个根本原因问题——私钥如何脱离 Microsoft 控制——尚未解决。应记录为公开的实体事实，而非以崩溃转储假设填充。
第二个原因则确定得多：旧密钥仍被信任。2021 年一次中断后，手动消费者密钥轮换停止，自动化替代方案未准备好，且没有有效的超龄警报强制解决。一个短命或及时退役的密钥失窃会产生较小的机会。一个被接受多年的密钥失窃则产生持久的签名权力。
第三个原因是令牌验证范围失败。服务根据通过通用元数据获取的密钥材料检查签名，但未充分证明该密钥的身份域被授权为请求的企业资源提供服务。Microsoft 当前关于访问令牌验证的文档要求资源服务器验证令牌签名、受众、发行者、租户及签名密钥发行者。Storm-0558 案例显示了这些检查为何非冗余。一个数学上有效的签名回答了谁持有私钥；它本身并不回答该密钥是否为此租户、账户类别、服务或资源所授权。
第四个原因是 OWA 令牌续期设计缺陷。一旦通过合法流程接受了伪造的身份，GetAccessTokenForResource 允许一个令牌获取另一个，其方式 Microsoft 后来更改为区分 Azure AD 和 MSA 签发。这并未创造原始的签名能力，但使访问路径更有用且更持久。
第五个促成条件是提供商端异常检测不足。Microsoft 表示，攻击者的令牌模式在回顾时是显而易见的，因为没有任何一个合法的 Microsoft 系统会以该组合签发令牌。然而，在客户报告邮箱行为前，提供商并未对该不可能或高度异常的状态发出警报。CSRB 发现其他云提供商拥有 Microsoft 缺乏的控制措施，并建议提供商在令牌生成算法和验证信号中使用专有数据，以检测即使签名通过验证的伪造断言。
检测与响应失败
检测依赖于一个拥有高级许可证、自定义分析、熟练操作员并愿意追查之前产生过误报的中等程度警报的客户。这是美国国务院一项了不起的控制措施。但这也是一个不稳定的系统级安全模式。不能指望成千上万的客户通过可选邮箱事件重建提供商的加密妥协，尤其是当该活动所需的事件对标准许可证用户不可用时。
当时，MailItemsAccessed 通过 Microsoft Purview Audit Premium 提供，并要求 E5 或 G5 许可证。国务院拥有 G5 并能创建 Big Yellow Taxi。其他缺乏高级日志记录的受害者缺乏同样的历史可视性。因此，CISA 和 FBI 的咨询敦促组织启用高级日志记录，同时明确指出许可证要求。七天后，Microsoft 承诺取消关键事件类型的层级障碍。CISA 局长珍·伊斯特利在CISA 7 月 19 日声明中将此变化描述为迈向安全设计实践的一步。
响应也受到提供商证据保留的限制。Microsoft 没有确定密钥如何或何时被盗所需的日志。30 天窗口限制了可观测到的最早客户活动，而 2021 年假设所需的更早公司和生产事件则不可用。日志保留始终伴随着成本、隐私和访问控制义务，但若其证据视野短于高级行为者可能潜伏的时间，提供商就不能可信地声称保护加密皇冠明珠。
最后，对 9 月因果叙述的延迟更正是一项响应失败。它虽未促成原始入侵，但损害了公共保证。事后报告应区分事实、评估假设、置信度、矛盾证据和未解决问题。发布一个听似完整的机制并在六个月后才更正，使得客户和监督者更难确定修复是否针对实际路径。
日志记录与许可证问题
日志记录有时被视为辅助产品功能。在此事件中，它是安全控制和信息不对称的来源。
Microsoft 拥有任何客户都无法获得的服务范围遥测和内部身份系统可见性。每个客户仅能观察其租户，以及其订阅和配置中包含的事件类型。决定性的警报来自 MailItemsAccessed，该事件旨在显示邮箱项目何时被访问。CISA 和 FBI 表示，他们不知晓任何其他能检测此活动的审计事件。没有该事件的客户仍可能注意到背景迹象，但缺乏同样的直接证据表面。
这造成了一个有问题的商业边界。高级安全产品可以合理地收取高级分析、自动化、长保留和托管调查费用。但了解一个由供应商运营的服务是否访问了客户数据所需的最少证据则不同。当提供商单独控制系统，而客户必须额外付费才能观察由提供商自身身份故障导致的访问时，客户是在被迫购买对自身无法直接修复的风险的可见性。
事后变更认识到了此区别。Microsoft 承诺在全球范围内免费提供更广泛的云安全日志，将详细电子邮件访问事件添加至审计标准版，并将默认标准保留期翻倍至 180 天。2024 年 2 月，CISA、美国行政管理和预算局、国家网络主任办公室及 Microsoft 宣布，扩展日志记录将面向所有使用 Purview Audit 的联邦机构提供，无论层级，并自动启用及延长默认保留期。其联合实施公告将无需额外费用或配置的高质量审计日志框定为安全设计的期望。
该改革并未消除客户责任。日志必须路由至可搜索系统，根据风险和法律要求保留，建立基线，查询并连接至响应程序。CISA 的咨询推荐了这些措施。但客户的操作纪律只有在提供商发出相关事件并使其可访问后才有意义。遥测的可用性和遥测的使用是由不同方拥有的两个独立控制。
许可证也影响了受害者之间的取证平等。国务院的 G5 环境拥有比标准层环境更强大的历史记录。事后启用事件无法重建从未记录的内容。这意味着，同一提供商故障可能因客户订阅而产生不同的影响置信度，尽管没有客户控制底层签名密钥。因此，最低取证证据应被视为服务安全基准的一部分，而非仅是一个升级销售项目。
联邦客户影响与公共部门连续性
此次妥协影响的是非机密邮件，但“非机密”并不意味着操作上无关紧要。高级官员的邮箱包含日程、政策审议、联系网络、谈判立场、草案语言及政府日常运行的普通连接组织。情报机构可通过聚合、时序、关系及上下文获取价值，而无需获得正式机密文件。
美国国务院后来表示，大约 6 万封邮件从 10 个账户被下载。在2023 年 9 月 28 日新闻发布会上，国务院称受影响材料为非机密，并没有机密邮件系统被黑。CSRB 更广泛的重建确认了更多国务院账户被访问，反映了计算账户访问量和消息被下载的子集的不同方式。本文不推断消息内容，超出机构披露的范围。
商务部长吉娜·雷蒙多的官方和个人邮箱均受影响，据 CSRB 所述。美国众议院也在受影响之列，包括国会议员唐·培根。2023 年 8 月，众议院监督调查要求国务院和商务部就发现、影响、响应及未来安全进行简报。这些事实确立了敏感的公共部门暴露和监管关注；它们并未确立具体政策决策因入侵而改变。
在此语境下，连续性至少有五个维度。
第一是保密连续性：官员需要对日常云通信不会被外国情报行为者无声复制的持久期望。
第二是决策连续性：准备外交行程或经济政策的团队必须能够在无需假定对手同步访问其邮件的情况下进行审议。
第三是证据连续性：各机构需要足够的保留数据，以重建谁在何时访问了什么。没有它，领导者无法自信地界定事件或决定哪些关系和决策需重新验证。
第四是响应连续性：提供商妥协迫使各机构分散安全、法律、外交、档案和领导力能力。即使邮件仍可用，使命工作也会吸收隐藏的事件响应税。
第五是信任连续性：联邦对共享云服务的采用依赖于这样一种保证：提供商将检测其自身控制平面的故障，准确披露，并向客户提供可用的证据。一项服务可能满足正常运行时间目标，却未能通过这一更广泛的连续性测试。
该事件还暴露了集中风险。Microsoft 在政府和私营部门的大部分领域提供身份、邮件、生产力、操作系统、安全和云服务。集成可以改善管理和检测，但也可能允许一个提供商侧的身份缺陷在全球范围内跨越组织边界。CSRB 将 Microsoft 的中心地位描述为要求最高安全、问责和透明度标准的理由。
集中并不自动导向每个机构都应放弃 Microsoft 或维护重复邮件系统的结论。迁移本身会产生成本和风险，且多个提供商可能再现类似的身份弱点。更强的结论是，采购和监管必须明确对常见模式身份故障进行定价：密钥分段、提供商侧异常检测、审计访问、证据保留、事件通知、独立测试以及退出或连续性安排应被视为服务需求。
CSRB 的发现及其重要性
CSRB 的发布页面将该报告描述为对操作和战略决策的独立审查，并称其推荐了行业和政府实践。其核心发现严厉而具体。
委员会总结认为，Microsoft 的安全文化不足并需要全面改革。该结论基于：一系列本可避免的失效，未能检测到关键签名密钥的泄露，依赖客户发现，与其他提供商的控制措施对比，2021 年收购设备入侵，对不准确公开声明的延迟更正，以及不在本次审查范围内的 2024 年另一国家入侵事件，使该发现成为组织性结论，因为没有任何单一编码错误能解释为何密钥仍被接受，为何域分离失败，为何不可能令牌模式未报警，为何证据不可用，以及为何因果声明超越了证据。
委员会还提供了具体的反事实。如果手动轮换没有在自动化替换完成前暂停，或如果有老化密钥警报强制行动，该 2016 年密钥在 2023 年就不会仍然有效。如果消费者和企业验证正确分离，攻击者的触及范围将窄得多，且不会包括企业客户。如果 Microsoft 检测到了不符合其自身生成算法的令牌，该次活动本可被阻止或在提供商侧被发现。如果存在更强的取证保留，Microsoft 或许能回答密钥获取问题。
这些反事实展示了分层安全原则。入侵并不要求每个控制在同一时间以同一方式失效。若干独立控制中的任何一个本可阻止企业入侵或实质性地缩短它：
- 安全保管本可防止密钥丢失。
- 频繁自动轮换本可使被盗密钥在 2023 年之前失效。
- 范围感知验证本可将消费者密钥限制在消费者服务内。
- 有状态或专有令牌检查本可检测到 Microsoft 自身永不会签发的令牌。
- 全提供商范围的监控本可发现不可能的签名-域组合。
- 基准客户日志本可使更多受害者检测并限制访问。
- 更长的提供商保留本可提高根本原因可信度。
这就是为何未解决的盗窃路径并不妨碍问责分析。未知很重要，但有多个独立充分或限制影响的失败已记录在案。提供商不能因缺失根本原因环节，就将整个链条视为不可知。
委员会的建议也超出了 Microsoft。它们呼吁实施现代密钥管理实践、自动化且频繁的轮换、硬件保护密钥、通用认证库、更强的数字身份标准、不额外收费的最低客户日志、至少 6 个月适当的客户可访问日志、更好的受害者通知，以及对云漏洞的更透明披露。这些措施针对一个行业结构，其中提供商既拥有特权控制，也掌握最优证据。
Microsoft 的响应
Microsoft 的即时响应纠正了已知的验证器和续期缺陷，阻断了被盗密钥，撤销了当时活跃的 MSA 签名密钥，将消费者密钥迁移向加固的企业密钥存储，增加了隔离并优化了密钥系统监控。这些行动直接解决了已观察到的活动。Microsoft 还通知了受影响组织，并为防护者发布了基础设施指标。
随后，公司通过扩展审计访问实施了一项商业控制变革。该行动在产品承诺和联邦推广中可独立观察，尽管事件覆盖的实际完整性仍取决于服务、配置、保留和客户操作。
2023 年 11 月，Microsoft 启动了“安全未来倡议”。其SFI 初步公告承诺建立一个统一、全自动的消费者和企业密钥管理系统，采用机密计算和硬件安全模块，其架构设计确保即使底层进程遭入侵，密钥也不可访问。随附的工程帖子承诺实现无需人工访问的高频自动轮换。
在 CSRB 报告及另一次俄罗斯国家入侵 Microsoft 企业邮件后，公司于 2024 年 5 月扩展了 SFI。Microsoft 的扩展计划设定了目标，包括签名密钥的快速自动轮换和硬件保护、跨应用标准身份 SDK、对身份令牌的有状态持久验证、更精细的密钥分区、消除横向身份移动、安全日志两年保留，以及为客户提供至少六个月适当日志。公司还表示，部分高管薪酬将取决于安全里程碑。
2024 年 6 月，Microsoft 副主席兼总裁布拉德·史密斯在众议院国土安全委员会上表示，公司接受 CSRB 报告中指出的每一个问题的责任。其书面证词称，Microsoft 正就委员会向公司提出的全部 16 项建议采取行动，已投入相当于 3.4 万名全职工程师的资源至 SFI，正将消费者和企业身份系统过渡到硬件支持的密钥管理系统，并在自动轮换、通用认证库和令牌验证信号方面取得进展。国会听证记录提供了公众监督背景和质询。
截至 2024 年 9 月，Microsoft 报告设立了网络安全治理委员会、工程部门副首席信息安全官、将安全纳入员工绩效评估，以及定期的执行和董事会层审核。公司的SFI 进展更新是治理变革和所述实施进度的证据。
这些回应是实质性的承诺。在缺乏独立验证的情况下，它们仍应被描述为承诺和公司报告的进展。CSRB 推荐了特定的架构和控制，但并未认证其后期完成。一个可信的收尾标准需要可衡量的密钥轮换覆盖、证明旧验证器已退役、显示消费者和企业边界在故障条件下保持关闭、保留足够调查密钥事件的遥测数据，以及确保例外情况无法静默持久的外部保证。
基于控制能力的问责
一个有用的问责地图从谁能够预防、检测、限制或缩短每个故障开始。
Microsoft 控制了密钥生成、存储、轮换、退役及生产信任集。控制了通用元数据架构、辅助库、Exchange Online 验证器、OWA 令牌续期接口，以及服务全局检测逻辑。控制了内部生产和企业证据保留。还控制了公开技术披露的准确性和时机。这些表面的责任主要归于 Microsoft。
美国国务院控制了其租户监控、自定义警报逻辑、分类、升级，以及与 CISA 和 FBI 的协调。它有效执行了这些任务，足以发现一次提供商级入侵。其他客户在其可用的遥测范围内控制着自身的监控和响应。客户责任依然真实，但无法替代客户无法看到或改变的提供商控制。
CISA、OMB 及各机构采购官员控制了联邦基线的部分内容：日志要求、配置指南、合同预期、跨机构协调，以及要求更安全默认值的影响力。其事后日志记录工作减少了一项不平等。一个成熟的采购制度不应依赖危机来确立客户需要访问邮箱访问证据。
Storm-0558 控制了敌对操作并对入侵负责。这一明显事实并未抹除可预防性。安全调查例行审查为何一个恶意或危险输入能到达受保护系统，尽管行为者有罪。归因和防御性问责回答的是不同问题。
企业董事会和高管控制资源分配、风险接受、激励和截止日期。中断后手动密钥轮换的暂停不仅仅是一个孤立的工程错误；安全后果持续存在，因为自动化和报警未获得或维持足够优先级。Microsoft 随后将领导薪酬与安全里程碑挂钩的决定，隐含承认了相关控制级别高于编写验证器的团队。
责任分配不应机械地转化为法律责任百分比。合同、主权豁免、损害赔偿、因果关系、披露义务和监管管辖权各不相同。参议员罗恩·怀登 2023 年 7 月的请求要求司法部、联邦贸易委员会和 CSRB 调查 Microsoft 的做法。该请求是监管关注的证据，而非被请求机构已做出执法结论的证据。本文所用任何来源公共记录均不构成针对 Storm-0558 的终局法律判决。
持久修复应证明什么
仅就观察到的 2016 密钥技术而言，该事件可被视为操作上已关闭。更广泛的保证问题仍属开放，直到修复在多个维度得到证明。
密钥保管与生命周期
Microsoft 应能够展示消费者和企业签名密钥在硬件保护系统内生成和使用，不能导出至调试或通用企业环境，以与其能力相称的频率自动轮换，并在超出年龄或策略限制时产生可操作的警报。应急轮换应在不导致 2021 年那种中断的情况下进行演练。密钥分段应减少任何单一密钥所暴露的租户、服务和账户类别数量。
验证正确性
每个依赖服务应使用经批准的库，验证签名、发行者、受众、租户、账户类别、密钥发行者、生命周期及服务特定授权。Microsoft 的OpenID Connect 文档解释道，发现元数据暴露了提供商端点和公共签名密钥；它并不使每个列出的密钥对每个资源均可互换。一致性测试应有意识地呈现签名正确但范围错误的令牌并验证拒绝。
超越无状态签名的防伪能力
一个仅基于签名的持有者令牌在签名密钥被盗后，仍可能保持可信。有状态验证、持有证明方法、专有签发标记、有限生命周期和快速撤销可以降低该风险。目标不是放弃标准，而是确保一个密钥的拥有不会创建不可观测的全局权限。
提供商与客户遥测
提供商应能检测全服务中的不可能令牌组合，并为高级活动保留足够长的内部证据。客户应默认接收邮箱访问和身份事件，无需高级付费门槛，并使用一个可导出至独立分析工具的文档化架构。至少六个月客户可访问日志，如 CSRB 推荐并作为 SFI 目标采纳的，应作为高价值云身份活动的底线，而非一个志向天花板。
事件沟通
技术披露应附带版本历史、置信度级别及明确的未决问题。当已发布的假设失去证据支持时，更正应迅速且突出。提供商不应要求监督机构反复询问是否将修正不准确的根因叙述。
独立保证
公司进度报告是有用的，但对于依赖公共部门的控制平面而言是不足的。联邦客户需要能够在无需暴露机密的情况下测试轮换、密钥隔离、验证器覆盖、报警性能和取证保留的保证机制。重点不是发布敏感架构，而是证明所述控制在生产中运作，包括遗留系统和被收购环境。
对云客户和公共采购者的实际教训
客户无法修复提供商的签名系统，但他们可以使依赖性更易于治理。
第一，采购证据，而不仅仅是功能。合同和服务基准应确定哪些访问、身份、管理、令牌和邮箱事件可用；它们多快到达；它们保持可搜索的时间；以及客户是否能够导出它们。日志记录应在事件发生前用模拟事件测试。
第二，围绕数据访问构建分析，而不仅仅是登录。伪造令牌可能绕过防御者从密码盗窃中预期的异常。MailItemsAccessed 之所以重要，是因为它观察了受保护的动作，而非仅仅是认证仪式。高价值环境应基准异常邮箱访问、应用标识符、地理位置、客户端行为和访问量。
第三，维护一条假设提供商可能是事件一部分的升级路径。租户团队应知晓如何联系提供商的安全响应组织、CISA 或相关国家机构、执法部门及高管领导层，而不依赖于可能已遭入侵的邮件渠道。
第四，将身份集中视为连续性风险。采购者应了解哪些关键服务共享一个身份根，全提供商范围的密钥泄露可能触及什么，以及在云信任重建期间哪些功能可以继续。这可能证明需要为最敏感工作流进行分段、使用单独的管理身份、独立日志存储或有选择地多样化。
第五，测试提供商的通知和证据承诺。承诺通知“受影响客户”的用处仅等同于提供商识别它们的能力。在 Storm-0558 中，只有 Microsoft 能够识别大多数受害者，因为伪造令牌在其服务内部运作。这使得全提供商范围的遥测和及时外联成为客户检测架构的一部分。
最后，不要将共同责任与同等能力混淆。客户应保障其控制的方面。提供商应为提供商独有控制负责。监管者和采购者应聚焦二者之间的边界，因为那里是安全要求最可能变得模糊、可选或被货币化的地方。
评估
Storm-0558 Exchange Online 入侵是一次本可预防的云身份故障，其初始密钥获取路径未解决。公开证据高度支持以下结论：Microsoft 允许一个旧的消费者签名密钥保持可信，未能强制执行消费者与企业令牌验证之间的边界，对自身系统不会签发的令牌组合缺乏充足的提供商侧检测，且保留了太少的证据来重建密钥的泄露。证据同样支持，高级付费门槛的客户日志实质上塑造了谁能够检测和调查该次活动。
Microsoft 的响应处理了已观察到的访问路径，并随后扩展到密钥管理、验证、日志、治理和激励改革。布拉德·史密斯对 CSRB 发现的接受具有重大意义。同样重要的还有对核心事件取消日志付费墙，以及迈向硬件支持的自动轮换。剩余的问责问题在于，这些变化是否全面、持久，并能在 Microsoft 的遗留和现行身份基础设施中独立验证。
此事件的更广泛教训并非云服务固有地不如客户自运行系统安全。大型提供商可以部署大多数客户无法企及的控制、情报和修复规模。教训在于，规模也集中了隐藏的权力。当一个签名密钥和一个验证错误能够触及全球组织时，安全依赖于提供商内部的密钥纪律以及客户无法自行生成的证据。
因此，公共部门连续性需要更广泛的服务可靠性定义。可用性是必要的，但保密性、可信身份、可重建证据、及时披露以及提供商侧妥协后恢复信任的可靠路径同样必要。Storm-0558 让 Exchange Online 保持运行，却破坏了政府使用它的前提。正因如此，这一事件应作为云问责失败载入记录，而不仅仅是另一次成功的间谍行动。