Tout ce qui est certifié par Microsoft est contaminé

• Le texte traite d’un important incident de sécurité dans le cloud Azure de Microsoft, au cours duquel une quantité considérable de données a été compromise.
• À la suite de cette violation, 60 000 e-mails ont été volés sur 10 comptes du département d’État américain.
• L’auteur suggère que tout ce qui est certifié par Microsoft, y compris Windows, pourrait potentiellement être contaminé en raison de cet incident.
• L’auteur fait également part de ses inquiétudes concernant une compromission potentielle de GitHub en raison de son lien avec Microsoft.
• L’auteur a aussi migré certains hôtes vers NixOS, mais exprime des préoccupations quant à la sécurité de cet OS en raison de sa forte dépendance à GitHub.
• L’auteur explique que Microsoft a perdu l’une de ses clés maîtresses, ce qui a permis de déverrouiller des parties critiques de son cloud et d’accéder à tous les services MS.
• L’auteur estime que Microsoft devrait probablement redémarrer toute son infrastructure depuis zéro pour résoudre complètement le problème, mais doute que cela arrive.
• L’auteur souligne également que cette violation affecte non seulement Microsoft et ses services directs, mais aussi tous les clients d’Azure et leurs services.
• Le texte comprend une discussion sur l’impact potentiel de cette violation, dans laquelle divers utilisateurs expriment leurs inquiétudes et leurs avis.

[GN⁺]

Avis Hacker News

• Le billet de blog de Microsoft détaille les mesures prises pour atténuer l’incident de sécurité, notamment l’arrêt de l’abus du renouvellement de jetons, le blocage de l’utilisation de jetons signés avec la clé MSA obtenue, et le remplacement des clés afin d’empêcher les acteurs malveillants de falsifier des jetons.
• Microsoft a renforcé l’isolation des systèmes, affiné la surveillance et déplacé les clés de signature MSA vers un stockage plus sécurisé.
• Certains utilisateurs critiquent les pratiques de sécurité insuffisantes de Microsoft, en particulier en comparaison avec AWS et GCP.
• D’autres estiment que, bien que cette compromission soit grave, elle n’est peut-être pas aussi étendue que ce qui est avancé, et que Microsoft a pris des mesures pour protéger ses systèmes.
• Des inquiétudes portent sur l’insuffisance du rapport sur l’incident et sur son impact potentiel, avec des critiques soulignant que la clé divulguée signait encore des jetons deux ans après la fuite.
• Certains utilisateurs suggèrent que la migration vers des services cloud pourrait s’inverser au profit du matériel on-premise et d’un hébergement serveur plus simple.
• Le périmètre de la compromission fait débat, certains avançant que tous les systèmes Microsoft utilisant une authentification cloud, y compris tous les hôtes Windows, pourraient être compromis.
• Des utilisateurs expriment leur inquiétude face à la complexité du problème et à la difficulté pour le grand public de comprendre son impact.
• Certains plaident pour un changement de perspective, affirmant qu’il faut accepter que la confidentialité et la sécurité ne sont pas garanties dans le monde numérique.
• Un scénario hypothétique est présenté pour illustrer la gravité potentielle d’une cyberattaque de niveau étatique, laissant entendre que la réponse de Microsoft pourrait ne pas être adéquate dans un tel cas.