绝密文件！100g！泄露！nsa！amazon s3!-k8凯发棋牌

承包商再出事：美国陆军及nsa情报平台绝密文件暴露在amazon s3服务器上。

想想绝密文件都能放在可公开访问的aws s3存储桶中，nsa机密数据也未必非得要告密者爆料才会泄露。该服务器上存有的敏感数据属于美国陆军情报与安全司令部——一个陆军与nsa的联合部门。

该可公开访问的机密数据存储仓库，是在今年9月被安全公司upguard的克里斯·维克利发现的。此事距离upguard发现美军中央司令部(centcom)和太平洋司令部(pacom)不安全amazon s3存储桶的新闻爆发，甚至不到2周时间。上一波新闻头条中暴露的s3存储桶里，包含有某军方支持web监视项目的数十tb数据。未能履行保护这些服务器安全职责的，是为国防部工作的某第三方，服务器上存放的至少18亿条被该项目收集到的社交网络帖子曝光。

机密信息毫无防护存于网上

这一次，维克利发现的这个错误配置的s3存储桶，只要输入正确的url，任何人都能看到aws子域名“inscom”上存储的内容。包含有47个文件和目录，其中3个甚至任由下载。

upguard称：“存储桶中的3个可下载文件，证实了这些内容的高度敏感性，暴露了国家安全数据，其中一些明显是机密的。”

其中一个文件是oracle虚拟设备文件(.ova)，含有1个虚拟硬盘镜像和1个基于linux的操作系统，可能是用于远程接收国防部数据的。据传，该虚拟硬盘上装有超过100gb的数据，源自代号为“红盘”的陆军情报项目。

退回到2013年，“红盘”指的是一个“战场情报平台”，从陆军的分布式通用地面系统(dcgs-a)收集数据，索引数据、视频和卫星图像，让这些数据可以实时搜索。但在涉及阿富汗战场的测试阶段，该平台会崩溃，速度慢，且被证明是不可靠的。在往“红盘”里扔了至少9300万美元后，国防部在2014年放弃了这个平台。

upguard指出，该虚拟硬盘有6个分区，操作系统也可以被浏览；但大多数数据还是需要连上国防部的系统才可以访问。尽管如此，该虚拟硬盘上文件的属性，暴露出了被标为“绝密”的技术设置，其他文件则被归类为“noforn”，也就是外国盟友都不能看。

该s3存储桶是国防承包商invertix用的

元数据揭示，该存储桶的使用者，是现已消亡的第三方国防承包商invertix（注：现已并入altamira technologies）。同时暴露的，还有invertix管理员用于访问分布式情报系统的私钥，以及口令散列值。

该虚拟硬盘上另一份可下载的文件，是一份readme自述文件，含有.ova文件内容和“红盘”其他数据包获取地址的说明，还有一个“训练快照”。

该存储桶中的数据毫无口令保护——尽管分类中表明了“绝密”和“外国人不可看”的属性。inscom这个子域名，也让恶意黑客或外国情报机构非常明确该信息的价值。

用upguard网络风险团队另一成员丹·奥沙利文的话说，“说白了，多家国防部情报机构赖以传播信息的网络，其访问工具，不应该是往浏览器中输个url就能随便用的东西。”

他将第三方供应商的风险称之为“网络弹性的沉默杀手”。本案例中，通往承包商invertix的数据传输，让国防部直面了数据泄露的后果——哪怕国防部对该数据的处理方式没有完全监管。