Брутфорс AWS IAM MFA

Matthew Skillman

28.03.2023, 19:10

Вопрос. Учитывая, что злоумышленник получает доступ к идентификатору aws_access_key_id пользователя, а также к ключу aws_secret_access_key, хранящемуся в файле ~/.aws/credentials, сможет ли злоумышленник быстро получить доступ к этому пользователю при условии, что требуется MFA? (т. е. реализует ли AWS какую-то отсрочку, связанную с неудачными попытками MFA?)

Предположения: у субъекта нет доступа к устройству MFA, но он может программно перебирать все возможные значения кода MFA, а также пытаться войти в систему для каждого возможного значения MFA.

0 + 0

амазон-веб-сервисы

Matthew Skillman

28.03.2023, 19:16

Чтобы уточнить, я предполагаю, что в этом случае будет ограничение на количество неудачных попыток, но я не могу найти документацию, в которой подробно описывается эта функция.

Ответить

djdomi

28.03.2023, 23:29

я не уверен, но безопасность была бы лучшим способом задать этот вопрос, имхо, это хороший вопрос, но, возможно, он не подходит для serverfault.com

Ответить

Tim

28.03.2023, 23:57

Я думаю, что это нормально для SF, я просто не знаю ответа. Интересный вопрос.

Ответить

Рейтинг:1

Server

Matthew Skillman

02.06.2023, 20:50

Быстро получить доступ невозможно. Из того, что я вижу, вы получаете только 5 догадок [относительно кода MFA] каждые 4 минуты. После слишком большого количества неудачных попыток AWS временно заблокирует пользователя IAM. Это означает, что все дальнейшие попытки получить доступ к этому пользователю будут бессмысленными, поскольку даже правильный код MFA не позволит вам получить доступ.

0 + 0

Admin

Этот вопрос на других языках:

EN: Brute Force AWS IAM MFA

TH: กำลังดุร้าย AWS IAM MFA

RO: Brute Force AWS IAM MFA

RU: Брутфорс AWS IAM MFA

VI: Brute Force AWS IAM MFA

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.