انویدیا می‌گوید فعالیت غیرمجاز در پلتفرم توسعه ابری Brev این شرکت ممکن است اطلاعات ذخیره‌شده در آن، از جمله کلیدهای SSH مرتبط با دستگاه‌های مشتریان را فاش کرده باشد. به گزارش Tom’s Hardware، در اطلاعیه‌ای برای مشتریان، بازه این فعالیت از 4 اکتبر تا 20 اکتبر اعلام شده است. در اطلاعیه سال این تاریخ‌ها ذکر نشده است.
کلید SSH یک اعتبارنامه دیجیتال برای اتصال به رایانه یا سرور است. کلیدهای مورد بحث را Brev پیکربندی کرده بود و از آن‌ها برای دسترسی به ماشین‌های مجازی مشتریان، یا VMها، استفاده می‌شد؛ رایانه‌های نرم‌افزاری‌ای که در فضای ابری اجرا می‌شوند. افشای یک کلید می‌تواند خطر دسترسی غیرمجاز را به همراه داشته باشد، هرچند انویدیا می‌گوید مدرکی نیافته است که نشان دهد از این کلیدها سوءاستفاده شده باشد.
انویدیا چه اقدامی کرد؟
انویدیا می‌گوید کلیدهای تحت‌تأثیر را چرخش داد؛ یعنی آن‌ها را با کلیدهای تازه جایگزین کرد و نمونه‌های مشتریان را نیز با کلیدهای جدید به‌روزرسانی کرد. هدف از این تغییر، جلوگیری از استفاده از اعتبارنامه‌های قبلی برای اتصال به آن دستگاه‌هاست. در اطلاعیه شرکت آمده بود که اطلاعات مشتریان در شبکه Brev «ممکن است تحت‌تأثیر قرار گرفته باشد».
در جزئیاتی که Tom’s Hardware گزارش کرده، شرکت نگفته است فعالیت غیرمجاز چگونه آغاز شد، کدام حساب‌ها درگیر بودند یا آیا کسی داده‌های مشخص مشتریان را کپی کرده یا دیده است. همچنین تعداد مشتریانی را که این اطلاعیه را دریافت کرده‌اند اعلام نکرده است. با توجه به این موارد نامشخص، نمی‌توان بر اساس اطلاعات موجود گستردگی این رخنه را به‌درستی ارزیابی کرد.
چه چیزهایی هنوز روشن نیست؟
اینکه انویدیا می‌گوید مدرکی از استفاده نادرست نیافته، به این معنا نیست که قطعاً از کلیدها استفاده نشده است؛ این گفته شرح نتیجه‌ای است که شرکت می‌گوید در بررسی خود به آن رسیده است. در اطلاعیه گزارش‌شده توضیحی درباره فعالیتی که بررسی‌کنندگان مشاهده کرده‌اند یا روش بررسی احتمال سوءاستفاده ارائه نشده است.
اقدام تأییدشده برای مشتریان Brev این است که انویدیا کلیدهایی را که احتمال می‌داد تحت‌تأثیر قرار گرفته باشند جایگزین کرده و نمونه‌ها را به‌روزرسانی کرده است. در اطلاعیه گزارش‌شده توصیه دیگری برای مشتریان نیامده و مشخص نشده است که آیا لازم است اعتبارنامه‌های دیگری را هم تغییر دهند یا نه. همچنین از اختلال در سرویس یا دسترسی تأییدشده به VMهای مشتریان سخنی به میان نیامده است.
چرا مهم است
مشتریان Brev ممکن است بخواهند بدانند آیا ماشین‌های ابری یا داده‌هایشان در معرض خطر قرار گرفته‌اند، اما در اطلاعیه گزارش‌شده انویدیا حساب‌های تحت‌تأثیر مشخص نشده و دسترسی به VMهای مشتریان نیز تأیید نشده است. شرکت می‌گوید کلیدها را جایگزین کرده و مدرکی از سوءاستفاده نیافته است؛ مشخص نیست مشتریان لازم است اقدام دیگری انجام دهند یا نه.
