Tudo certificado pela Microsoft está contaminado

• O texto discute um grande caso de violação de segurança na nuvem Azure da Microsoft, em que uma quantidade significativa de dados foi comprometida.
• Como resultado dessa violação, 60.000 e-mails foram roubados de 10 contas do Departamento de Estado dos EUA.
• O autor sugere que tudo o que é autenticado pela Microsoft, incluindo o Windows, pode estar potencialmente contaminado por causa dessa violação.
• O autor também levanta preocupações sobre um possível comprometimento do GitHub devido à sua ligação com a Microsoft.
• O autor migrou alguns hosts para o NixOS, mas expressa preocupação com a segurança desse sistema operacional por causa da forte dependência do GitHub.
• O autor explica que a Microsoft perdeu uma de suas chaves mestras, o que abriu partes críticas de sua nuvem e se conectava a todos os serviços da MS.
• O autor afirma que a Microsoft teria de reiniciar toda a sua infraestrutura do zero para resolver completamente o problema, mas duvida que isso aconteça.
• O autor também destaca que essa violação afeta não só a Microsoft e seus serviços diretos, mas também todos os clientes do Azure e seus serviços.
• O texto inclui uma discussão sobre os possíveis impactos dessa violação, com vários usuários expressando suas preocupações e opiniões.

[GN⁺]

Comentários do Hacker News

• A postagem no blog da Microsoft detalha as medidas tomadas para mitigar o incidente de segurança, incluindo interromper o abuso da renovação de tokens, bloquear o uso de tokens assinados com a chave MSA obtida e substituir a chave para impedir que agentes de ameaça forjem tokens.
• A Microsoft reforçou o isolamento dos sistemas, refinou o monitoramento e moveu a chave de assinatura MSA para um armazenamento mais seguro.
• Alguns usuários criticam as práticas de segurança insuficientes da Microsoft, especialmente em comparação com AWS e GCP.
• Outros afirmam que, embora esta violação seja grave, ela pode não ser tão abrangente quanto foi sugerido, e que a Microsoft tomou medidas para proteger seus sistemas com segurança.
• Há preocupações com a qualidade insuficiente do relatório do incidente e com o impacto potencial, além de críticas ao fato de a chave vazada ainda estar assinando tokens mesmo dois anos após o vazamento.
• Alguns usuários sugerem que a migração para serviços baseados em nuvem pode se reverter em favor de hardware on-premises e hospedagem simples de servidores.
• Há debate sobre o alcance da violação, com alguns sugerindo que todos os sistemas da Microsoft que usam autenticação em nuvem, incluindo todos os hosts Windows, podem estar comprometidos.
• Os usuários expressam preocupação com a complexidade desse problema e com a dificuldade de pessoas comuns entenderem seu impacto.
• Alguns defendem uma mudança de perspectiva, argumentando que é preciso aceitar que privacidade e segurança não são garantidas no mundo digital.
• Um cenário hipotético é apresentado para mostrar a gravidade potencial de um ciberataque em nível estatal, sugerindo que a resposta da Microsoft pode não ser adequada nesses casos.