Azure Cosmos DB'deki Kritik CosmosEscape Güvenlik Açığının Kapatılması ve Master Key'in Kaldırılması

Giriş

Microsoft, CosmosEscape olarak adlandırılan ve Azure Cosmos DB platformunu etkileyen ciddi bir güvenlik açığını gidermek için küresel bir düzeltme çalışması tamamladı. Bu açıktan kaynaklanan tehditler, tüm müşteri tenant'larına ait veritabanlarının yetkisiz erişime maruz kalmasına neden olabilecek nitelikteydi. Microsoft'un yaptığı araştırmalar sonucunda, hiçbir müşteri verisinin yetkisiz erişime uğramadığı ve müşterilerin ek bir adım atmasına gerek olmadığı belirtildi.

Sorun Tanımı

CosmosEscape olarak adlandırılan bu güvenlik açığı, Azure Cosmos DB platformunda kullanılan ana imzalama anahtarının (Master Key) kötüye kullanımına dayanıyordu. Bu anahtar, tüm veritabanlarına erişim sağlama yetkisine sahipti ve yetkisiz bir kullanıcı tarafından ele geçirilmesi durumunda, tüm müşteri verilerine erişim mümkün hale geliyordu. Microsoft, bu açıktan kaynaklanan risklerin büyüklüğünü değerlendirerek acil bir düzeltme süreci başlattı.

Etkilenen Bileşenler

Aşağıdaki Azure Cosmos DB bileşenleri ve özellikleri bu güvenlik açığından etkilenmiştir:

• Cosmos DB hesapları: Tüm hesap türleri (SQL, MongoDB, Cassandra, Gremlin ve Table API) potansiyel olarak risk altındaydı.
• Anahtar yönetimi: Platform genelinde kullanılan master key'in güvenliği tehlikeye girmişti.
• Veri erişimi: Yetkisiz kullanıcılar, master key'in kötüye kullanımı yoluyla veritabanlarına erişim sağlayabiliyordu.

Risk Seviyesi

Yüksek: Bu açıktan kaynaklanan riskler, tüm müşteri verilerinin yetkisiz erişime açık hale gelmesine neden olabilecek nitelikteydi. Microsoft'un yaptığı araştırmalar sonucunda, hiçbir müşteri verisinin yetkisiz erişime uğramadığı doğrulansa da, bu açıktan kaynaklanan tehditlerin ciddiyeti nedeniyle acil müdahale gerekiyordu.

Çözüm Adımları

Microsoft, CosmosEscape güvenlik açığını gidermek için aşağıdaki adımları izledi:

1. Kritik Düzeltmenin Uygulanması

1. Master Key'in Kaldırılması:

   Microsoft, platform genelinde kullanılan master key'i kaldırarak yerine daha güvenli bir anahtar yönetim sistemi getirdi. Bu adım, yetkisiz kullanıcıların master key'i kötüye kullanmasını engelledi.

2. Yeni Anahtar Yönetim Sistemi:

   Master key'in yerine, her müşteri için ayrı ayrı üretilen ve yönetilen yeni bir anahtar sistemi devreye alındı. Bu sistem, anahtarların daha güvenli bir şekilde saklanmasını ve yönetilmesini sağladı.

3. Tüm Hesapların Yeniden Yapılandırılması:

   Microsoft, tüm Azure Cosmos DB hesaplarını yeni anahtar yönetim sistemine geçirmek için otomatik bir yeniden yapılandırma süreci başlattı. Bu süreç, müşterilerin ek bir eylemde bulunmasına gerek kalmadan tamamlandı.

2. Güvenlik Denetimlerinin Gerçekleştirilmesi

1. Yetkisiz Erişim Kontrolleri:

   Microsoft, tüm müşteri hesaplarını yetkisiz erişim açısından denetledi. Bu denetimler sonucunda, hiçbir müşteri verisinin yetkisiz erişime uğramadığı doğrulandı.

2. Sistem Loglarının İncelenmesi:

   Microsoft, CosmosEscape açıklamasından önceki ve sonraki sistem loglarını inceleyerek herhangi bir yetkisiz erişim girişimi olup olmadığını kontrol etti. Bu incelemeler sonucunda, herhangi bir yetkisiz aktivite tespit edilmedi.

3. Müşteri Bildirimi ve Destek

1. Resmi Duyuru:

   Microsoft, CosmosEscape güvenlik açığı ve yapılan düzeltme hakkında resmi bir duyuru yayınladı. Bu duyuruda, müşterilerin ek bir eylemde bulunmasına gerek olmadığı belirtildi.

2. Destek Kanalları:

   Müşteriler, bu süreçle ilgili sorularını ve endişelerini Microsoft'un destek kanalları aracılığıyla iletebildi. Microsoft, tüm müşteri sorularına yanıt vermek için ek destek ekipleri oluşturdu.

Komutlar ve Kod Örnekleri

CosmosEscape güvenlik açığından etkilenmiş olabileceğinizi düşünüyorsanız veya yeni anahtar yönetim sistemine geçiş hakkında daha fazla bilgi edinmek istiyorsanız, aşağıdaki komutlar ve kod örnekleri yardımcı olabilir.

Azure CLI ile Anahtar Yönetimi

# Yeni bir Cosmos DB hesabı oluşturma
az cosmosdb create --name  --resource-group  --capabilities EnableServerless

# Hesap anahtarlarını listeleme
az cosmosdb keys list --name  --resource-group 

# Anahtarları yenileme (isteğe bağlı)
az cosmosdb keys renew --name  --resource-group  --key-kind primary

Azure PowerShell ile Anahtar Yönetimi

# Yeni bir Cosmos DB hesabı oluşturma
New-AzCosmosDBAccount -Name  -ResourceGroupName  -Location  -EnableAutomaticFailover $true

# Hesap anahtarlarını alma
Get-AzCosmosDBAccountKey -Name  -ResourceGroupName 

# Anahtarları yenileme (isteğe bağlı)
New-AzCosmosDBAccountKey -Name  -ResourceGroupName  -KeyKind Primary

Cosmos DB SDK'ları ile Anahtar Yönetimi

Aşağıdaki örnek, .NET SDK kullanarak Cosmos DB hesap anahtarlarını yönetmeyi göstermektedir:

using Microsoft.Azure.Cosmos;

// Cosmos DB hesabına bağlanma
var cosmosClient = new CosmosClient(
    accountEndpoint: "https://.documents.azure.com:443/",
    authKeyOrResourceToken: ""
);

// Veritabanı ve container'ları listeleme
var databases = cosmosClient.GetDatabaseQueryIterator();
while (databases.HasMoreResults)
{
    foreach (var db in await databases.FetchNextSetAsync())
    {
        Console.WriteLine(db.Id);
    }
}

Önemli Uyarılar ve İpuçları

Uyarı: CosmosEscape güvenlik açığı nedeniyle master key'in kötüye kullanılması riski bulunduğundan, tüm müşterilerin hesaplarını yeni anahtar yönetim sistemine geçirmek için Microsoft tarafından otomatik olarak yapılan düzeltmeyi beklemeleri önemlidir. Manuel bir müdahaleye gerek yoktur.

İpucu: Cosmos DB hesaplarınızın güvenliğini artırmak için, anahtar rotasyonunu düzenli olarak gerçekleştirin. Bu, yetkisiz erişim riskini azaltmaya yardımcı olur. Anahtar rotasyonunu Azure portalı veya CLI/PowerShell komutları aracılığıyla gerçekleştirebilirsiniz.

İpucu: Cosmos DB hesaplarınızın günlük loglarını ve erişim denetimlerini düzenli olarak inceleyin. Bu, yetkisiz erişim girişimlerini erken tespit etmenize yardımcı olur.

Sıkça Sorulan Sorular (SSS)

CosmosEscape güvenlik açığı nedir?

CosmosEscape, Azure Cosmos DB platformunda kullanılan master key'in kötüye kullanımına dayanan bir güvenlik açığıdır. Bu açıktan kaynaklanan tehditler, tüm müşteri tenant'larına ait veritabanlarının yetkisiz erişime maruz kalmasına neden olabilecek nitelikteydi.

Bu güvenlik açığı nedeniyle müşterilerin ek bir eylemde bulunması gerekiyor mu?

Hayır, Microsoft tarafından yapılan otomatik düzeltme nedeniyle müşterilerin ek bir eylemde bulunmasına gerek yoktur. Tüm hesaplar yeni anahtar yönetim sistemine otomatik olarak geçirildi.

Cosmos DB hesaplarımın güvenliğini nasıl artırabilirim?

Cosmos DB hesaplarınızın güvenliğini artırmak için aşağıdaki adımları izleyebilirsiniz:

• Anahtar rotasyonunu düzenli olarak gerçekleştirin.
• Günlük logları ve erişim denetimlerini inceleyin.
• İki faktörlü kimlik doğrulama (2FA) kullanın.
• Azure Security Center'ı kullanarak hesaplarınızı izleyin.

Sonuç

Microsoft'un CosmosEscape güvenlik açığını gidermek için yaptığı küresel düzeltme çalışması, Azure Cosmos DB platformunun güvenliğini önemli ölçüde artırdı. Master key'in kaldırılması ve yeni anahtar yönetim sisteminin devreye alınması, yetkisiz erişim risklerini önemli ölçüde azalttı. Müşterilerin ek bir eylemde bulunmasına gerek olmaması, bu sürecin ne kadar sorunsuz gerçekleştirildiğini göstermektedir. Tüm Azure Cosmos DB kullanıcılarının, hesaplarını yeni sistemle uyumlu hale getirmek için herhangi bir adım atmasına gerek yoktur. Microsoft, gelecekte de benzer güvenlik açıklarını önlemek için sürekli olarak platformunu izlemeye ve iyileştirmeye devam edecektir.