**UN BUCKET AWS S3 VUOTO PRESENTA AL PROPRIETARIO UN CONTO DA OLTRE 1.200 EURO IN APPENA 48 ORE**
I vari hyperscaler sono aziende che forniscono servizi di cloud computing su larga scala, caratterizzate da una presenza globale, infrastrutture estese e capacità di gestire enormi volumi di dati e carichi di lavoro particolarmente impegnativi. Queste aziende hanno costruito data center di grandi dimensioni in tutto il mondo e offrono una vasta gamma di servizi cloud, tra cui l’archiviazione, l’elaborazione dei dati, il calcolo distribuito, la gestione delle reti e molto altro. Un bucket AWS è un contenitore virtuale per l’archiviazione dei dati sul cloud: utilizza il servizio S3 (Amazon Simple Storage Service) per gestire la memorizzazione delle informazioni.
**LE MOTIVAZIONI DEL CONTO SALATISSIMO PRESENTATO DA AWS**
Il ricercatore e sviluppatore ha potuto accertare, durante le sue verifiche, che diverse organizzazioni stavano involontariamente tentando di memorizzare i loro dati nel suo bucket S3. Nello specifico, un noto strumento open source utilizzava, per impostazione predefinita, la stessa denominazione del bucket S3. Ogni istanza del Software open source in questione, tentava quindi – per default – di accedere al bucket S3 creato da Pocwierz. Ovviamente senza successo, perché le credenziali non erano note pubblicamente.
Quanto scoperto ha portato alla generazione di una vera e propria tempesta di richieste non autorizzate verso il bucket S3 creato dall’ingegnere software. Come confermato dal supporto AWS, la piattaforma cloud di Amazon addebita al proprietario del bucket S3 anche le richieste non autorizzate. Ad esempio, se una richiesta genera un errore “Access Denied”, al gestore del bucket è comunque fatturato il traffico generato.
**GLI ASPETTI DA TENRE A MENTE PER EVITARE ADBITI FOLLI**
Quando si utilizza un bucket S3, è fondamentale tenere a mente gli eventuali problemi che possono presentarsi. Chiunque conosca il nome dei bucket S3 AWS, può causare un aumento imprevisto dei costi, anche senza avere accesso diretto al contenuto del servizio di archiviazione.
Aggiungere un suffisso casuale ai nomi dei bucket può migliorare la Sicurezza, riducendo l’esposizione ad eventuali errori di configurazione o attacchi intenzionali. Infine, quando si eseguono molte richieste S3, è fondamentale specificare esplicitamente la regione AWS per evitare costi aggiuntivi dovuti al reindirizzamento del traffico.
Pocwierz racconta di aver segnalato il problema da egli sperimentato agli sviluppatori dello strumento open source coinvolto. Inoltre, ha riassunto l’accaduto al team di sicurezza AWS. Tuttavia, i vari soggetti coinvolti non hanno fornito alcun riscontro.
Soltanto AWS ha deciso di annullare la fattura e stornare ogni addebito rimarcando però che si tratta di un’eccezione, nell’intento di venire incontro all’utente.