Danh tính phi người không hoạt động có thể tạo lỗ hổng tin cậy trong môi trường cloud
"Security researcher Aleksandr Krasnov reported that dormant non-human identities can create hidden security blind spots in cloud environments by leaving trust paths exposed. He also released NHI Hound, an open source tool designed to identify these identity and trust relationships; no CVE was mentioned and no specific vendor fix was described."
Rủi ro chủ yếu đến từ điểm mù do danh tính phi người không hoạt động và việc đường dẫn tin cậy vẫn tồn tại, làm tăng khả năng bị khai thác nếu quyền không được quản trị chặt chẽ.
Có thể dẫn đến tăng chi phí kiểm toán và xử lý sự cố do phát hiện muộn các quan hệ tin cậy bất ngờ; đồng thời ảnh hưởng đến mức độ tuân thủ khi quyền truy cập không được chứng minh đầy đủ.
Nhà nghiên cứu bảo mật Aleksandr Krasnov cho biết các danh tính phi người (non-human identities) không còn hoạt động có thể để lại các đường dẫn tin cậy (trust paths) trong môi trường cloud, từ đó tạo ra điểm mù bảo mật khó phát hiện. Theo công bố, rủi ro nằm ở việc những thực thể đã “ngủ” vẫn có thể duy trì quan hệ tin cậy với các tài nguyên hoặc dịch vụ khác, làm tăng khả năng bị lạm dụng khi cấu hình hoặc quyền truy cập không được rà soát định kỳ.
Để hỗ trợ đánh giá, ông cũng phát hành NHI Hound dưới dạng mã nguồn mở. Công cụ này được thiết kế nhằm phát hiện các mối quan hệ danh tính và trust giữa các thực thể trong hệ thống, giúp đội vận hành nhìn rõ các đường đi quyền lực tiềm ẩn.
Khuyến nghị: doanh nghiệp nên kiểm tra định kỳ vòng đời của service account/identity, rà soát các quan hệ tin cậy và thu hẹp quyền cho các danh tính không còn sử dụng; đồng thời cân nhắc dùng NHI Hound như một bước bổ sung trong quy trình kiểm toán cấu hình và quyền truy cập. Không có thông tin CVE hoặc hướng dẫn khắc phục theo nhà cung cấp được nêu trong công bố.