NVIDIA zegt dat onbevoegde activiteit op zijn cloudontwikkelplatform Brev mogelijk informatie heeft blootgelegd die daar was opgeslagen, waaronder SSH-sleutels die horen bij machines van klanten. Tom’s Hardware meldt dat de activiteit volgens een klantmelding plaatsvond tussen 4 en 20 oktober. In de melding staat niet om welk jaar het gaat.
Een SSH-sleutel is een digitale toegangscode waarmee verbinding wordt gemaakt met een computer of server. De betreffende sleutels waren door Brev ingesteld en werden gebruikt om toegang te krijgen tot virtuele machines (VM’s) van klanten: computers die met software in de cloud draaien. Als een sleutel wordt blootgelegd, kan dat het risico op onbevoegde toegang vergroten. NVIDIA zegt echter geen aanwijzingen te hebben gevonden dat de sleutels zijn misbruikt.
Wat heeft NVIDIA gedaan?
NVIDIA zegt de betrokken sleutels te hebben geroteerd, oftewel vervangen door nieuwe, en de klantinstanties te hebben bijgewerkt met die vervangende sleutels. Daarmee moeten de oude inloggegevens onbruikbaar worden om verbinding te maken met die machines. In de melding schreef het bedrijf dat klantgegevens uit het Brev-netwerk „mogelijk zijn getroffen”.
In de details waarover Tom’s Hardware berichtte, heeft het bedrijf niet uitgelegd hoe de onbevoegde activiteit begon, om welke accounts het ging of of iemand specifieke klantgegevens heeft gekopieerd of bekeken. Ook heeft NVIDIA niet bekendgemaakt hoeveel klanten een melding hebben ontvangen. Door die ontbrekende informatie is op basis van de beschikbare gegevens moeilijk vast te stellen hoe groot het incident was.
Wat is nog onduidelijk?
Dat NVIDIA zegt geen aanwijzingen voor misbruik te hebben gevonden, betekent niet hetzelfde als dat de sleutels zeker niet zijn gebruikt; het beschrijft wat het bedrijf naar eigen zeggen bij zijn onderzoek heeft vastgesteld. In de gemelde klantmelding staat niet welke activiteit onderzoekers hebben waargenomen of hoe ze hebben gecontroleerd op misbruik.
Voor Brev-klanten is de bevestigde reactie dat NVIDIA de mogelijk getroffen sleutels heeft vervangen en de instanties heeft bijgewerkt. De gemelde klantmelding bevat geen verdere aanwijzingen voor klanten en zegt niet of zij andere inloggegevens moeten wijzigen. Ook wordt geen dienstonderbreking of bevestigde toegang tot VM’s van klanten beschreven.
Waarom het ertoe doet
Brev-klanten willen mogelijk weten of hun cloudmachines of gegevens zijn blootgelegd, maar in de klantmelding waarover bericht is, noemt NVIDIA geen getroffen accounts en bevestigt het geen toegang tot VM’s van klanten. Het bedrijf zegt de sleutels te hebben vervangen en geen aanwijzingen voor misbruik te hebben gevonden; of klanten nog andere stappen moeten zetten, staat er niet in.
