Så gick det stora Microsoft 365-hacket till

Och varför lagras inte nyckeln i en HSM?
Och har de verkligen "åtgärdat" det genom att faktiskt införa HSMer?

Säkerligen är detaljer utlämnade.

Verkar dock som att hela det systemet, kanske t.o.m. HSM blev komprometterat, då blir det stökigt om så är fallet. https://therecord.media/microsoft-changes-signing-key-system

Jag är inte jättebekant med detaljerna, men det de skriver får det att låta som att det var en "consumer key", och att det var en bugg specifikt i Outlook-lösningen som gjorde att den fungerade även för enterprise också just i den tjänsten (det är åtminstone det specifika stället de säger hade denna bugg).

Så det låter på dem som att den eventuellt fungerat för just: allt consumer + email för enterprise?

Sedan om någon haft tillgång till email kan de förstås ha fått tillgång till mer grejer indirekt genom att ha tillgång till email (lösenordsåterställning via email är väl ett typexempel), men sett till vad de fick tillgång till med hjälp av den där nyckeln i sig så låter det som att det varit just email om man nu talar om enterprise?

Så det går inte att uppmärksamma, utbilda eller guida utvecklare? utan dom måste sparkas

Om det sker ett fel på ditt jobb och det är en anställd som har gjort fel, är inte samtliga problem lösta om han får mer utbildning?
Eller är samtliga problem lösta först när han får sparken?

BMac gjorde sig väl bara lustig över att de "åtgärdat samtliga fel"?

Men man kan inte (tillförlitligt) åtgärda problem man inte känner till, eller utbilda folk om problem man inte känner till... så de har förmodligen åtgärdat (åtminstone försökt åtgärda) just de fel som upptäcktes i detta fall.

Om man ska åtgärda "samtliga fel" landar man ju lätt i mer radikala lösningar, i stil med vad BMac föreslog om att lägga ned hela MS365 (eller hela Microsoft, beroende på hur brett man ska tolka det) och göra sig av med samtliga anställda...

Jag kan ha fel men som det presenterades för mig så hette nyckeln något med consumer som du säger, men alla tokens skapade med nyckeln var giltiga för enterprise i många fler fall inte bara outlook. De kunde skapa giltiga tokens för hela office365/azure om jag förstått det rätt, men ska hitta lite mer länkar innan jag lovar för mycket

Här är en i alla fall:
https://www.bleepingcomputer.com/news/security/stolen-microso...

Haha, gick in i tråden för att påpeka att Office 365 fortfarande tycks finnas till salu, men du förekom mig

Ja, där låter det ju som att den felaktiga hanteringen varit mycket bredare än det framgår i den Microsoft-rapport som artikeln hänvisar till... håller med, rätt så smutsigt om så är fallet.

Jag reagerar över detta:

Ganska många icke-fungerande kontrollsystem där!

https://www.bleepingcomputer.com/news/microsoft/hackers-stole...

Mer artiklar om det nu, nyckeln stals i en kraschdump redan 2021 och har varit läckt och i deras händer sedan dess…

” As Tamari said, the key could be used to impersonate any account within any impacted customer or cloud-based Microsoft application.”

Ja, det luktar lite efterhandskonstruktion, de kanske inte hade några kontrollsystem på plats överhuvudtaget.

Alla ni som jobbat i större organisationer bör veta att det är så hela tiden då ingen har grepp om hela helheten eller det är satt på resurser för att just finna den här typen av 'hål' då det inte går att slänga på vilken anställd som helst på den här typen av uppgift - då sådant kostar pengar, bli beroende av specialister (vilket de som håller i pengarna hatar mer än allt annat) och ev. resultatet av detta är svårmätt om det gör nytta eller inte - tills sådana här händelser sker och hela affärskonceptet kan börja ifrågasättas från kundsidan.

dvs. hanterar man känsligt material (och det inkluderad GDPR-material) så är det närmast tjänstefel om det hanteras via molntjänster som man inte själv äger och online-mjukvaror som office365 och windatorer som är kopplade till MS-konto, då efter x uppdateringar framåt smyger in onedrive som kopierar allt på desktopen utan brukarens vetskap etc. och andra snik-grejor som gör att datorerna börja läcka känslig information utan att användare egentligen har någon chans att upptäcka det eller i förväg stoppa det.

Hela marknadsföringen med molntjänster till låg pris handlar egentligen att med lockelse som låga kostnader för ekonomiavdelningarna att komma över användarens IP (intellektuella propery) och den vägen extrahera information och data som dels kan användas strategiskt mot kunderna (för hårdare inlåsning och göra dem mer beroende av olika tjänster som tex. att bygga lösningar som är beroende av MS Azure och inte går att flytta till annan miljö hos annat leverantör eller att man kan hosta det helt själv) och att sälja metadata kring den insamlade informationen utan att det kan spåras tillbaka till den aktuella datat som det hela bygger på.

Kort sagt det är som katolska kyrkans biktning - en underrättelstjänts och informationsinsamling för att värna om och skydda sin egna organisations intresse och bara den - inte 'boskapen' man mjölkar data ifrån och lever på...